0
0
Por Tim Chang, Global Vice President and General Manager of Application Security for the Cyber Security Products business line da Thales
As APIs costumavam ser a equipe de bastidores silenciosa que fazia os aplicativos parecerem mágicos. Hoje, os atacantes aprenderam o roteiro — eles sobem ao palco, entregam falas perfeitamente educadas e saem levando os “adereços”. No primeiro semestre de 2025, a Imperva observou mais de 40.000 incidentes de API em mais de 4.000 ambientes monitorados, incluindo um ataque DDoS em camada de aplicação que atingiu 15 milhões de solicitações por segundo contra uma API financeira.
A parte mais assustadora? A maioria desses ataques não são sondagens barulhentas — são solicitações perfeitamente válidas que exploram a lógica de negócios: loops de promoções que esgotam descontos, campanhas de cracking de cartões-presente, raspagem de dados direcionada e sequestros furtivos de contas. Esses ataques se escondem dentro dos próprios fluxos que seu produto usa para atender os clientes, de modo que ferramentas baseadas apenas em assinaturas e limites de taxa grosseiros os ignoram enquanto o dano se acumula.
É por isso que este relatório é importante. Ele não é apenas telemetria — é um manual: como encontrar endpoints esquecidos ou ocultos, como validar ações em tempo de execução (não apenas o formato da solicitação), como aplicar autorização por objeto e como vincular defesas contra bots a KPIs de negócio (resgates de promoções, picos de reembolso, velocidade de reservas) para impedir ataques que parecem “normais”, mas não são.
Leia a seguir as tendências, estudos de caso reais e um checklist prático e priorizado que você pode usar ainda esta semana para reduzir riscos — e se quiser os dados completos e templates de remediação, baixe o Imperva API Threat Report.
Como os atacantes mudaram o jogo — uma explicação simples
As APIs fazem o trabalho real dos aplicativos modernos: verificam saldos, aplicam descontos, movimentam dinheiro e retornam perfis de usuário. Os atacantes perceberam que enviar chamadas de API com aparência válida que abusam desses fluxos lhes dá dinheiro, dados ou inventário — muitas vezes sem disparar alarmes clássicos de segurança.
Três fatores possibilitaram essa mudança:
- Escala + furtividade: Automação barata e redes de proxy permitem que atacantes executem milhões de solicitações “normais” em larga escala, permanecendo abaixo de alarmes de volume.
- Abuso da lógica de negócios: Bots seguem exatamente o contrato da API (portanto WAFs e regras de assinatura não veem nada suspeito), mas exploram lacunas semânticas — por exemplo, permitindo que uma promoção seja aplicada repetidamente.
- Pontos cegos operacionais: APIs de parceiros ocultas ou mal configuradas (endpoints “shadow”) e validação inconsistente de tokens deixam portas abertas.
O resultado: os atacantes focam onde há valor — acesso a dados (~37%), checkout/pagamento (~32%) e autenticação (~16%) — e extraem impacto desproporcional com ruído mínimo.
As cinco verdades mais importantes do relatório (o que todo executivo deve saber)
- APIs são a superfície de ataque principal agora. Atacantes priorizam endpoints que geram receita ou identidade. Proteja-os primeiro.
- Válido ≠ seguro. Os ataques mais danosos são solicitações válidas que quebram a lógica de negócios; eles exigem contexto, não assinaturas.
- Descoberta é obrigatória. Organizações frequentemente têm 10–20% mais endpoints ativos do que imaginam. APIs shadow são uma das principais fontes de comprometimento.
- Raspagem automatizada e loops de promoção drenam receita silenciosamente. Operações de leitura não são inofensivas — aplique regras por objeto.
- Combine defesas — assinaturas sozinhas não bastam. Aplicação de esquema em tempo de execução, análise de comportamento, limitação adaptativa e tokens de curta duração são capacidades essenciais.
Manual real do atacante: como eles entram e o que fazem
- Reconhecimento e descoberta: escaneie endpoints não documentados; teste integrações de parceiros.
- Ferramentas: navegadores sem interface (Puppeteer, Selenium), pools de proxy/botnet, scripts Postman/Burp; bots emulam timing humano e características de navegador.
- Execução: manipulação de parâmetros, loops de promoção, ciclagem de gift cards, stuffing de credenciais seguido de replay de token.
- Objetivo: exfiltração de dados, roubo imediato de receita, sequestro de contas ou preparação para intrusões maiores.
Um manual de defesa simples e priorizado (o que fazer amanhã)
Para executivos — ações em alto nível
- Mandate descoberta contínua de APIs e classifique-as por impacto no negócio (dinheiro, PII, fluxos críticos).
- Atribua propriedade das APIs (produto + segurança) e reporte um pequeno conjunto de KPIs de API ao conselho (ex.: % de APIs descobertas vs. documentadas, % de APIs de alto risco protegidas).
Para profissionais — controles táticos
- Descoberta e inventário: combine descoberta passiva e ativa; feche ou proteja APIs shadow.
- Aplicação de esquema e contrato: aplique contratos OpenAPI/GraphQL em tempo de execução; rejeite campos inesperados.
- Autorização por objeto: não trate todas as leituras igualmente — aplique permissões por objeto e filtragem de campos.
- Detecção comportamental vinculada a KPIs de negócio: monitore resgates de promoções, picos de reembolso e taxas de reserva; acione respostas para anomalias.
- Limites de taxa adaptativos e gerenciamento de bots: use limitação baseada em contexto (baseada em risco), não limites globais grosseiros.
- Tokens de curta duração + MFA step-up: reduza eficácia de replay de token e sequestros de contas.
- Higiene da cadeia de suprimentos e patching: priorize exposições Log4j/WebLogic/Joomla e valide escopos de APIs de terceiros.
Vitórias rápidas que mostram ROI em semanas
- Execute descoberta automatizada e bloqueie um endpoint shadow de alto risco — você frequentemente elimina um vetor de ataque real no mesmo dia.
- Aplique autorização por objeto e validação de regras de negócios em tempo de execução — interrompa manipulação de parâmetros, loops de promoções e raspagem direcionada validando quem pode acessar cada objeto e em quais condições.
- Aplique limitação adaptativa em endpoints de alto valor durante promoções — preserva a experiência do usuário real enquanto bloqueia abusos automatizados.
Indicadores de sucesso
- % de APIs descobertas vs. documentadas
- Número de endpoints shadow fechados por trimestre
- Redução de incidentes de abuso de promoções (contagem e valor em $)
- Tempo para revogar tokens comprometidos após detecção
- % de endpoints de alto risco protegidos com aplicação em tempo de execução
Conclusão — o que você deve levar
APIs não são apenas mais uma superfície web — elas são o negócio. Os atacantes se adaptaram: automatizam, emulam humanos e abusam de fluxos de negócios válidos. A resposta defensiva não é firewalls mais altos; é segurança inteligente, consciente do negócio: descubra tudo, entenda o impacto de cada endpoint e aplique contratos e regras por objeto em tempo real, usando defesas de bots baseadas em comportamento para proteger os fluxos críticos.
Se você tratar a segurança de APIs como um checkbox técnico, perderá os ataques que realmente importam. Se tratar como um problema de negócio e aplicar o manual defensivo acima, transformará as APIs de uma exposição em um gateway controlado.
Quer os dados completos, gráficos e playbook?
Baixe o Imperva API Threat Report completo para ver telemetria, segmentações por indústria e etapas detalhadas de remediação.
Esse artigo tem informações retiradas do blog da Imperva. A Neotel é parceira da Imperva e, para mais informações sobre as soluções e serviços da empresa, entre em contato com a gente.