La adopción de interfaces de programación de aplicaciones, más conocidas como API, ha aumentado drásticamente en los últimos años. En muchos sentidos, son consideradas la columna vertebral de Internet, un componente esencial de la transformación digital que permiten a las aplicaciones, contenedores y microservicios intercambiar datos e información rápidamente para que los consumidores experimenten una mayor comodidad en sus dispositivos digitales. Sin embargo, el creciente volumen de API creará más oportunidades de ciberataques para los hackers.

Según nuevo reporte de Imperva sobre el Estado de la Seguridad de las APIs en 2024 destaca cómo las API y su creciente uso están cambiando significativamente el panorama de las ciberamenazas. En 2023, el número de ciberataques dirigidos a las API aumentó significativamente.

El tráfico de API está superando al tráfico web

Las interfaces de programación de aplicaciones (API) desempeñan un papel tan fundamental en la modernización de las aplicaciones que el tráfico relacionado con las API está superando al tráfico web normal. Según el informe, el tráfico de API constituyó más del 71% del tráfico web el año pasado.

Las API ofrecen muchas ventajas, facilitan la conectividad sin fisuras y mejoran las experiencias en línea e impulsan la innovación, pero su adopción generalizada está planteando a las organizaciones toda una nueva gama de retos de seguridad que no siempre están preparadas para afrontar.

Llamadas a API y automatización: una receta para el abuso

El reporte revela que el número promedio de llamadas API a sitios empresariales es de 1.5 billones a nivel global.  Los elevados volúmenes de tráfico automatizado no humano están innegablemente relacionados con un aumento de los ciberataques automatizados a las API y exigen medidas de seguridad sólidas para defenderse de los ataques de bots maliciosos y otros ataques automatizados, como los ataques de denegación de servicios distribuidos (DDoS) y la toma de control de cuentas (ATO). El 46% de todos los ataques de apropiación de cuentas se dirigieron a terminales de API. Los atacantes también son cada vez más astutos en sus estrategias, y el 28% de todos los ataques DDoS a API se dirigen a organizaciones de servicios financieros, el principal sector objetivo de este tipo de ataques.

A medida que las organizaciones se vuelven más dependientes de las API, nunca ha sido más importante comprender plenamente los riesgos que pueden introducir en la infraestructura de su aplicación. El reporte revela los principales retos entorno a ciberataques a las API para las organizaciones:

• 1 – Descubrimiento, un primer paso crucial: El reporte reconoce la urgente necesidad de que las organizaciones tengan visibilidad de sus ecosistemas API para permitir una identificación meticulosa de cada API. El descubrimiento de éstas es un paso inicial crucial para establecer una postura de ciberseguridad sólida. Aprovechando técnicas avanzadas y aprendizaje automático.

El análisis de Imperva ha descubierto una media de 613 API por organización, destacando riesgos potenciales como terminales obsoletos y Broken Object Level Authorization (BOLA), reconocido como uno de los 10 principales riesgos de seguridad de API de OWASP en 2023.

• 2 – Ataques automatizados y abuso de la lógica empresarial: Los atacantes aprovechan cada vez más los ataques automatizados, o bots maliciosos, para atacar la lógica empresarial de las API o su funcionalidad básica. Al imitar el tráfico automatizado habitual de la API, los ataques pasan desapercibidos, lo que permite a los autores de las amenazas llevar a cabo sus actividades maliciosas sin interrupción. En 2023, un 27% de todos los ataques a API se dirigieron a la lógica empresarial.
• 3 – Las medidas de seguridad tradicionales no pueden detectar el abuso de las API: Las herramientas de seguridad tradicionales, como un firewall de aplicaciones web (WAF), tienen dificultades para detectar y mitigar esta forma de abuso, ya que los ataques a las API se disfrazan hábilmente de tráfico normal.
• 4 – Protección contra robots maliciosos, un paso crítico: El equipo de Investigación de Amenazas de Imperva descubrió una correlación cada vez mayor entre el abuso de API y los bots maliciosos, lo que pone de relieve la necesidad urgente de aumentar la visibilidad de las infraestructuras de API. Esta visibilidad es vital para permitir una evaluación exhaustiva y la implementación de las soluciones de seguridad necesarias y las herramientas de evaluación de riesgos de API.

El reporte también examina los desafíos y vulnerabilidades que las organizaciones enfrentan al asegurar su infraestructura API, reforzando la importancia primordial de una estrategia integral de Seguridad API, combinando Web Application Firewall (WAF) y API Discovery con Advanced Bot Protection y medidas avanzadas de Seguridad API, incluyendo evaluación de riesgos, detección de anomalías y mitigación. abogando por un enfoque integrado crucial para asegurar la protección robusta de APIs.

–  Ricardo Cazares, Vicepresidente de Latinoamérica en Imperva.