0 
0 A Cequence Security divulgou seu relatório do primeiro semestre de 2022 intitulado “Relatório de proteção de API: APIs de sombra e explosão de abuso de API”. A principal das descobertas foi de aproximadamente 5 bilhões (31%) de transações maliciosas direcionadas a APIs desconhecidas, não gerenciadas e desprotegidas , comumente chamadas de APIs de sombra, tornando essa a principal ameaça que desafia o setor.
“A realidade são os luxos diários que desfrutamos, pois os consumidores, como serviços de compartilhamento de viagens e entrega de alimentos, são construídos em APIs”, disse Ameya Talwalkar , CEO da Cequence Security . “Nossa pesquisa descobriu que as maneiras inovadoras pelas quais as empresas podem melhorar as experiências dos clientes também são a maior ameaça à sua segurança, confiança do cliente e, finalmente, seus resultados. Essas empresas devem repensar o que é priorizado em sua estratégia de segurança, começando pela proteção da API.”
O relatório é baseado em uma análise de mais de 20 bilhões de transações de API observadas no primeiro semestre de 2022 e busca destacar as principais ameaças de API que assolam as organizações atualmente.
Maior ameaça nº 1: 31% de todos os ataques maliciosos visam APIs de sombra
Aproximadamente 5 bilhões (31%) dos 16,7 bilhões de solicitações maliciosas observadas visavam APIs desconhecidas, não gerenciadas e desprotegidas, comumente chamadas de APIs de sombra, abrangendo uma ampla variedade de casos de uso. Desde os bots de tênis altamente volumétricos que tentam pegar os Dunks ou Air Jordans mais recentes a invasores furtivos que tentam um fluxo lento de fraude de teste de cartão em cartões de crédito roubados a campanhas de preenchimento de credenciais de força bruta pura. Impulsionados pela extração de conteúdo de alto volume como precursor de ataques de bots de compras e cartões-presente, os ataques a APIs de sombra aumentaram em abril de 2022 e continuaram a aumentar em volume ao longo do ano.
Maior ameaça nº 2: abuso de API
Com base em 3,6 bilhões de ataques bloqueados pela equipe CQ Prime Threat Research, a segunda maior ameaça à segurança de API mitigada durante o primeiro semestre de 2022 foi o abuso de API, o que significa que os invasores têm como alvo APIs devidamente codificadas e inventariadas. Essa descoberta destaca a necessidade de usar listas padrão do setor, como OWASP , como ponto de partida, não como meta final. Os ataques mais bloqueados são indicativos das estratégias que os invasores estão usando. Estes incluíram:
- 3 bilhões de bots de compras visando tênis ou artigos de luxo
- 290 milhões de ataques de verificação de cartões-presente
- A tentativa de criação de aproximadamente 237 milhões de contas falsas em aplicativos populares de namoro e compras
Maior ameaça nº 3: A trindade profana: preenchimento de credenciais, APIs de sombra e exposição de dados confidenciais
Com base em 100 milhões de ataques, o uso combinado de API2 (Broken User Authentication), API3 (Excessive Data Exposure) e API9 (Improper Assets management) significa duas coisas: os invasores estão realizando uma análise detalhada de como cada API funciona, como eles interagem com cada um outros, e o resultado esperado e os desenvolvedores precisam estar sempre vigilantes em seguir as melhores práticas de codificação de API.
Mitigação de aquisição de contas economiza US$ 193 milhões
Destacando a popularidade contínua das aquisições de contas (ATO), a equipe CQ Prime Threat Research ajudou os clientes a mitigar cerca de 1,17 bilhão de solicitações de login de contas maliciosas – todas contra APIs. A popularidade dos ATOs pode estar ligada diretamente à sua versatilidade, que foi ampliada pela adoção de APIs para logins de contas e é mostrada ao longo deste relatório.
Mais importante ainda, o impacto de um ATO nos negócios é significativo, com cada incidente variando em custo de US$ 290 (Juniper Research) e cerca de 9 horas de trabalho investigativo a US$ 311 (Federal Trade Commission). Os esforços de mitigação protegeram cerca de 11,7 milhões de contas, o que equivale a uma economia de US$ 193 milhões em todos os clientes.
“Nossa análise e descobertas são baseadas em ataques reais na natureza”, disse William Glazier , Diretor de Pesquisa de Ameaças da Cequence Security. “Nossas descobertas ressaltam a importância de os líderes de TI e segurança terem uma compreensão completa de como as APIs codificadas corretamente, bem como aquelas com erros, podem ser atacadas. Apenas o tamanho da amostra de 20 bilhões significa que há uma alta probabilidade de que empresas de todos os setores sejam afetadas por esses tipos de ameaças.”
O relatório destaca a importância de entender as táticas, técnicas e procedimentos (TTPs) que os invasores usam para explorar os riscos e como os invasores reagirão à resistência. Isso significa não apenas garantir que as APIs não sejam suscetíveis ao OWASP API Security Top 10 como ponto de partida, mas também observar o que pode ser definido como API10+, uma categoria que abrange as muitas maneiras diferentes pelas quais uma API perfeitamente codificada pode ser abusada.
FONTE: HELPNET SECURITY