La adopción de interfaces de programación de aplicaciones, más conocidas como API, ha aumentado drásticamente en los últimos años. Igualmente, las amenazas. En 2023, el número de ataques contra interfaces de programación de aplicaciones (Application Programming Interfaces, API) aumentó significativamente. El sector educativo recibió el 4.9% de dichos asaltos.
En muchos sentidos, las API son ahora la columna vertebral de Internet. De hecho, son un componente esencial de la transformación digital. Permiten a las aplicaciones, contenedores y microservicios intercambiar datos e información rápidamente para que los consumidores experimenten una mayor comodidad en sus dispositivos digitales.
Sin embargo, el creciente volumen de API crea más oportunidades para los hackers. El reporte Estado de la seguridad de las API en 2024, de Imperva, destaca cómo su uso cambia significativamente el panorama de las amenazas.
Amenazas automatizadas
Las API desempeñan un papel fundamental en la modernización de las aplicaciones y el tráfico relacionado con ellas está superando al tráfico web normal. Según el informe, el tráfico de API constituyó más del 71% del tráfico web el año pasado. Las API ofrecen muchas ventajas —facilitan la conectividad sin fisuras, mejoran las experiencias en línea e impulsan la innovación—, pero su adopción generalizada plantea a las organizaciones una nueva gama de retos de seguridad que no siempre están preparadas para afrontar.
El reporte revela que el número promedio de llamadas API a sitios empresariales es de 1.5 billones a nivel global. Los elevados volúmenes de tráfico automatizado no humano están innegablemente relacionados con un aumento de los ataques contra interfaces de programación de aplicaciones. Por ende, exigen medidas de seguridad sólidas para defenderse de los ataques de bots malignos y otros asaltos automatizados, como los ataques de denegación de servicios distribuidos (DDoS) y la toma de control de cuentas (ATO). El 46% de todos los ataques de apropiación de cuentas se dirigieron a terminales de API. (El sector más atacado fue el financiero, con el 28%). Los atacantes también son cada vez más astutos en sus estrategias.
Lógica empresarial y ataques contra interfaces de programación de aplicaciones
Conforme organizaciones se vuelven más dependientes de las API, es más importante comprender los riesgos que pueden introducir en la infraestructura de las aplicaciones. El reporte revela los principales retos para las organizaciones:
●Descubrimiento, un primer paso crucial. El reporte subraya la urgente necesidad de que las organizaciones tengan visibilidad de sus ecosistemas para permitir una identificación meticulosa de cada API. El descubrimiento de estas API es un paso inicial crucial para establecer una postura de ciberseguridad sólida.
Aprovechando técnicas avanzadas y aprendizaje automático, nuestro análisis ha descubierto una media de 613 API por organización, destacando riesgos potenciales como terminales obsoletas y Broken Object Level Authorization (BOLA), señalado en 2023 como uno de los 10 principales problemas de seguridad de las API por la organización internacional Open Worldwide Application Security Project (OWASP).
●Ataques automatizados y abuso de la lógica empresarial. Los hackers aprovechan cada vez más los bots maliciosos para automatizar los ataques contra interfaces de programación de aplicaciones, ya sea en su lógica empresarial o su funcionalidad básica. Al imitar el tráfico automatizado habitual de la API, los ataques pasan desapercibidos. Ello permite a los hackers llevar a cabo sus actividades maliciosas sin interrupción. En 2023, un asombroso 27% de todos los ataques contra interfaces de programación de aplicaciones se dirigieron a la lógica empresarial.
Fortalecer la ciberseguridad
Las herramientas de seguridad tradicionales, como los firewalls de aplicaciones web (WAF), tienen dificultades para detectar y mitigar esta forma de abuso, pues los ataques contra interfaces de programación de aplicaciones se disfrazan hábilmente de tráfico normal.
El equipo de investigación de amenazas de Imperva descubrió una correlación cada vez mayor entre el abuso de las API y los bots maliciosos. Eso pone en relieve la necesidad urgente de aumentar la visibilidad de las infraestructuras de API. Dicha visibilidad es vital para permitir una evaluación exhaustiva y la implementación de las soluciones de seguridad necesarias. Una de ellas es la Imperva Advanced Bot Protection y las herramientas de evaluación de riesgos de API. El reporte también examina los innumerables desafíos y vulnerabilidades que las organizaciones enfrentan al asegurar su infraestructura API. Eso resalta la importancia de una estrategia integral de seguridad para las API. Ésta debe incluir la evaluación de riesgos, detección de anomalías y su mitigación.