Il data breach Apify riguarda una piattaforma che molte aziende usano senza saperlo: dietro un flusso n8n, Make o Zapier che raccoglie lead, prezzi dei concorrenti o recensioni c'è spesso un Actor di Apify. Il 9 e il 10 novembre 2026 un attaccante è entrato in parti dei sistemi interni di Apify, la società di Praga ha rilevato l'accesso l'11 novembre e da allora ha ruotato tutti i token API dei clienti. Se la tua azienda usa Apify, direttamente o tramite un fornitore, ci sono alcune cose da fare oggi.
Scriviamo questo articolo anche da clienti. Selli usa Apify per arricchire i dati di due CRM e il 12 novembre abbiamo ricevuto sia l'email sulla rotazione dei token, mandata a tutti i clienti, sia quella sui dati dell'account consultati, mandata solo agli utenti coinvolti. La mattina del 13 il nostro job automatico è andato in errore 401 alla prima chiamata: il token salvato non esisteva più.
Cosa è successo ad Apify
Apify è una piattaforma di web scraping e automazione del browser: chi la usa lancia degli Actor, piccoli programmi già pronti o scritti in casa, che leggono siti, motori di ricerca e social e restituiscono dati strutturati. Secondo la pagina aziendale ha 91.000 clienti nel mondo.
La cronologia, come la racconta la pagina di stato di Apify:
- 9 e 10 novembre 2026: un terzo non autorizzato accede a parti dei sistemi interni;
- 11 novembre, 12:13 UTC: Apify rileva l'attività, interrompe l'accesso e apre un'indagine;
- 11 novembre sera: primo avviso pubblico e revoca precauzionale di alcune connessioni OAuth, tra cui GitHub;
- 12 novembre: Apify spiega che l'attaccante ha usato una credenziale compromessa per ottenere altre credenziali di account e accedere agli account collegati, dice di aver chiuso quel percorso e di aver notificato le autorità competenti;
- 12 novembre pomeriggio: email ai clienti i cui dati sono stati consultati. Chi non l'ha ricevuta, per ora, non risulta coinvolto.
L'indagine è ancora aperta e Apify ha promesso un post-mortem. Quello che segue si basa sulle comunicazioni ufficiali uscite fino al 13 novembre e sulla copertura di BleepingComputer: alcuni dettagli potrebbero cambiare.
Quali dati sono stati esposti
Nell'email agli utenti coinvolti Apify divide i dati visti dall'attaccante in quattro gruppi:
| Gruppo | Cosa comprende |
|---|---|
| Dati dell'account | foto profilo, email, nome, username, profili social indicati |
| Dati d'uso | piano, storico di fatturazione, metriche interne, browser e dispositivo, indirizzi IP degli accessi recenti |
| Dati di fatturazione | intestatario, indirizzo, partita IVA, email di fatturazione; delle carte solo ultime quattro cifre, scadenza e titolare |
| Dati di autenticazione | password salvate con hash e salt, impostazioni della verifica in due passaggi (codici di recupero e numeri di telefono compresi), token di accesso via Google o GitHub |
Per Apify non sono stati esposti i numeri completi delle carte, i codici di sicurezza, le variabili d'ambiente segrete e gli input segreti degli Actor. La società dice anche di non aver trovato prove di accessi ad Actor, esecuzioni e dataset, cioè ai dati che i clienti raccolgono con la piattaforma.
Il punto delicato sono i codici di recupero della verifica in due passaggi. Con quelli un attaccante che conosce la password può aggirare il secondo fattore, ed è per questo che Apify ha azzerato le impostazioni 2FA degli account coinvolti e chiede di riconfigurarle.
Token API Apify: perché le automazioni si sono fermate
Molte PMI non hanno mai aperto la console di Apify. Ci arrivano attraverso un consulente marketing che ha montato uno scenario su Make per scaricare lead da LinkedIn o Google Maps, attraverso un'agenzia che monitora i prezzi su Amazon, o attraverso un'integrazione costruita da uno sviluppatore esterno. In tutti questi casi il token Apify è salvato da qualche parte: in un nodo n8n, in una variabile di Zapier, in un file .env su un server, in un foglio con «le chiavi» condiviso con il fornitore.
Dal 12 novembre quei token, e le password del Proxy Apify, non funzionano più. Le conseguenze pratiche sono due.
La prima è operativa: i flussi si sono fermati. Il problema è che non sempre se ne accorge qualcuno. Uno scenario che gira di notte e scrive nel CRM può fallire in silenzio per giorni, e la prima persona a notarlo è il commerciale che non vede arrivare i lead del lunedì. Se l'automazione non manda avvisi quando una chiamata risponde 401, oggi è il giorno buono per controllarla a mano.
La seconda riguarda il phishing. Chi ha visto nome, indirizzo di fatturazione, partita IVA, ultime cifre della carta e piano sottoscritto può scrivere email molto credibili: una finta fattura Apify con i dati giusti, un «rinnovo non riuscito» con le ultime quattro cifre corrette, un link per «riattivare il token». Apify scrive chiaramente che non chiederà mai la password. Avvisa l'amministrazione: con questi dati è facile costruire una falsa fattura che sembra vera.
Cosa fare subito: la checklist
Se usi Apify, o se un tuo fornitore lo usa per conto tuo:
- Chiedi chi usa Apify e dove. Fai un giro veloce con marketing, commerciale e fornitori esterni. Spesso l'account è intestato a un consulente, non all'azienda: in quel caso è lui che deve fare i passi seguenti, ma tocca a te verificarlo.
- Prendi il nuovo token e la nuova password del Proxy dalla console Apify e sostituiscili ovunque: script, pipeline di CI/CD, credenziali di n8n, Make e Zapier, variabili d'ambiente dei server. Se il token era scritto in più posti, è il momento di tenerlo in uno solo.
- Se hai ricevuto l'email sui dati consultati, riconfigura la verifica in due passaggi seguendo le istruzioni di Apify e conserva i nuovi codici di recupero fuori dalla casella di posta e fuori dai documenti condivisi.
- Ricollega GitHub se costruisci Actor da repository privati: dall'Actor, «Change provider», poi GitHub e autorizza, una volta per ogni account e organizzazione. Controlla anche l'attività recente su GitHub, come suggerisce Apify.
- Ricollega le integrazioni per cui Apify ti ha mandato un'email separata.
- Rilancia a mano i job saltati dal 12 novembre in poi (dall'11 se dipendono da GitHub), se i dati che producono servono ancora (lead, listini, report).
- Avvisa chi paga le fatture di diffidare di email «Apify» che chiedono pagamenti, credenziali o azioni urgenti, e di verificare sempre il mittente.
Per l'aggiornamento successivo vale la pagina di stato, dove Apify pubblicherà il post-mortem.
Data breach del fornitore e GDPR: quando l'incidente diventa anche tuo
I dati visti dall'attaccante sono quelli del tuo account presso Apify: per quelli il titolare del trattamento è Apify, che dice di aver già notificato le autorità. Diverso è il caso dei dati che la tua azienda raccoglie con la piattaforma, per esempio contatti di persone fisiche estratti da profili pubblici: lì di norma il titolare sei tu e Apify agisce come responsabile del trattamento, secondo l'accordo sul trattamento dei dati (DPA) che accetti con il servizio.
Il Garante Privacy ricorda le regole: il responsabile che scopre una violazione deve informare subito il titolare, e il titolare deve notificarla al Garante senza ingiustificato ritardo, se possibile entro 72 ore, a meno che sia improbabile un rischio per le persone. Ogni violazione va comunque annotata nel registro interno, anche quando non serve notificarla.
A oggi Apify dice di non aver trovato accessi ai dataset. Se non hai ricevuto comunicazioni diverse, per i dati raccolti con la piattaforma probabilmente non c'è nulla da notificare. Scrivi comunque nel registro cosa è successo, cosa ti ha comunicato il fornitore, quando, e cosa hai fatto: se l'indagine di Apify cambiasse conclusione, avrai già tutto pronto. Per i casi dubbi la scelta va fatta con il tuo DPO o consulente privacy, non con un articolo di blog.
La lezione per chi costruisce automazioni
Il token di un servizio esterno è una chiave di casa. In molte PMI quella chiave è copiata in cinque posti, la conosce un consulente che nel frattempo ha cambiato lavoro, e nessuno sa dire quali flussi si fermerebbero se la si cambiasse. L'incidente di Apify lo ha fatto scoprire a molti in un giorno.
Le regole che applichiamo nei progetti di integrazione tra sistemi sono poche e noiose:
- ogni servizio esterno ha un account intestato all'azienda, non a una persona;
- ogni chiave sta in un solo posto (un vault o le variabili d'ambiente del server) e il codice la legge da lì;
- c'è un elenco aggiornato di quali chiavi esistono, chi le può vedere e quali flussi le usano;
- ogni automazione che chiama un'API esterna manda un avviso quando riceve un 401 o un 403, invece di fallire in silenzio;
- si può cambiare una chiave in pochi minuti senza fermare tutto, e lo si prova almeno una volta prima che serva davvero.
Sono le stesse cose che chiede un sistema di gestione della sicurezza come quello descritto nella nostra guida alla ISO 27001: sapere quali asset hai, chi li controlla e come reagisci quando un fornitore ha un problema. Se vuoi un quadro più ampio, abbiamo scritto anche una guida alla sicurezza informatica per PMI e una spiegazione semplice di come funzionano le API.
Nel nostro caso il job fermo è stato segnalato dal suo stesso log alla prima esecuzione. Non tutte le automazioni fatte in fretta con strumenti no-code hanno questo livello di controllo, ed è il motivo per cui conviene ricontrollarle adesso, finché il problema è ancora fresco.
Parliamone
Se dopo l'incidente di Apify hai scoperto automazioni che non sai bene chi abbia costruito, dove tengano le chiavi o cosa facciano quando si rompono, possiamo aiutarti a mapparle e a metterle in ordine. Selli lavora con certificazione ISO 27001 e progetta integrazioni con chiavi centralizzate, avvisi e procedure di rotazione già pronte. Scrivici e fissiamo una call di mezz'ora per guardare insieme i tuoi flussi.