ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Apify, novembre 2026: una credenziale e due giorni negli account
Il 9 e 10 novembre 2026 un attaccante è entrato in parti dei sistemi interni di Apify, piattaforma per la raccolta automatica di dati dal web. Con una credenziale compromessa ne ha ottenute altre e ha visto dati di account, fatturazione, hash delle password e codici di recupero dell'autenticazione a due fattori di una parte dei clienti. Apify lo ha scoperto l'11 novembre e ha cambiato tutti i token.
- Vittima
- Apify e i suoi clienti
- Settore
- Piattaforma software
- Paese
- Più paesi
- Data
- 9 novembre 2026
- Categoria
- Violazione di dati personali
- Causa
- Non nota
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy
Le cause in breve
- Credenziale compromessa. L'attaccante ha usato una credenziale per ottenere altre credenziali e accedere ad account collegati (SMTPedia).
- Origine non nota. Non è noto come sia stata compromessa la prima credenziale (SQ Magazine).
L'impatto
- Esposti dati di account, uso e fatturazione, con nome del titolare, scadenza e ultime quattro cifre della carta (SMTPedia).
- Esposti hash delle password, impostazioni e codici di recupero della 2FA e token di accesso Google e GitHub (SMTPedia).
- Nessuna prova di accesso ad Actors, esecuzioni e dataset dei clienti, secondo Apify (SMTPedia).
- Circa 91.000 clienti in tutto; numero dei coinvolti non comunicato (SQ Magazine).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine, consulenza legale, notifiche ai clienti e alle autorità rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa rotazione di token e password del proxy, il reset delle sessioni e della 2FA rientrano nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Risponde con limitiPer i clienti il costo è soprattutto aggiornare token e integrazioni, non un fermo.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeRisponde per i dati di account e fatturazione dei clienti coinvolti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti, per esempio per fatture false con i loro dati reali, rientrano nella garanzia, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon risulta un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Responsabilità professionale. Le richieste dei clienti verso il fornitore vanno nella garanzia tecnologica.
- Requisiti di sicurezza. Una sola credenziale che apre altre credenziali può pesare sulla valutazione delle misure dichiarate.
- Frodi successive. Eventuali frodi contro i clienti con i dati rubati sono danni di terzi, non dell'assicurato.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Nessun fermo, ma credenziali e codici di recupero di clienti esposti su una piattaforma usata da molte aziende.
Segnale di cumulo per il portafoglio.
Cumulo sui clienti: token e integrazioni di molte aziende da sostituire insieme.