Han sido unas semanas complicadas para las cadenas de hamburgueserías.
Primero, el chatbot McHire de McDonald’s fue descubierto exponiendo datos de candidatos a través de API inseguras. Luego, Restaurant Brands International (RBI), matriz de Burger King, Tim Hortons y Popeyes, vio sus API vulneradas por atacantes que descubrieron que podían generar tokens sin autenticación, escalar privilegios e incluso escuchar el audio en vivo del autoservicio.
Cuando las API se convierten en el ingrediente secreto, dejarlas desprotegidas es una receta para el desastre.
El Autoservicio de la Perdición
Esto es lo que los atacantes pidieron del menú de API inseguras de RBI:
- Registros abiertos: Cualquiera podía crear una cuenta (sin necesidad de patatas fritas).
- Introspección GraphQL: Esquemas y puntos finales de mutación expuestos como un menú de un dólar.
- Tokens sin autenticación: La
createTokenmutación expedía credenciales sin problemas y sin verificar la identidad. - Escalada de privilegios: Pasar de cliente a administrador fue más fácil que un “¿Le gustaría agrandar su pedido?”.
- Acceso a audio e Información de Identificación Personal (PII): Los atacantes podrían literalmente escuchar su pedido del autoservicio mientras extraen datos de clientes.
Mientras tanto, las API de McHire de McDonald’s ofrecían currículums y datos de solicitantes de empleo de forma paralela. No es precisamente una situación muy feliz.
Cómo Salt Security habría salvado el día
1. Descubrimiento de API: Se acabó el “menú secreto”
Salt Illuminate encuentra cada API, ya sea oculta, obsoleta o abandonada. ¿Ese punto final GraphQL que RBI dejó por ahí? Lo habríamos detectado antes que los hackers.
2. Autenticación: Sin acceso anónimo
¿No se requiere inicio de sesión para createToken? Salt aplica una autenticación y autorización adecuadas, para que nadie obtenga un pase libre de administrador.
3. Análisis de comportamiento: Detectando los pedidos sospechosos
¿Registros masivos, generación masiva de tokens, consultas extrañas al chatbot? Salt detecta actividades que parecen menos de un cliente y más de un hacker en el mostrador.
4. Protección de datos: No más Información de Identificación Personal (PII) como extra
Salt evita que datos sensibles como currículums, tarjetas de crédito o archivos de audio sean entregados a las personas equivocadas. Porque sus datos no deberían ser un extra.
5. Protección en tiempo de ejecución: Lo sentimos, este autoservicio está cerrado
Los atacantes dependen de la velocidad y la automatización. Salt aplica bloqueo en tiempo real y limitación de velocidad, deteniendo los ataques antes de que se complete el pedido.
El panorama general
Ya sea contratando empleados o tomando pedidos en el autoservicio, las API impulsan el negocio. ¿El problema? A menudo se tratan como servilletas: se reparten libremente, rara vez se inventarían y solo se echan de menos cuando ya no están.
Salt Security protege sus API para que no se convierta en el próximo titular viral sobre una brecha de seguridad. Porque nada arruina la lealtad a la marca más rápido que un “Oímos cuando pedías tus nuggets”.
Conclusión
Las cadenas de comida rápida pueden competir por hamburguesas, patatas fritas y aplicaciones de fidelización. Pero últimamente, compiten por ver quién filtra datos más rápido. Con Salt Security, sus API están blindadas, sus clientes permanecen protegidos y su marca no termina en la freidora.
Las API impulsan su negocio. Salt las protege.
Vea cómo Salt Illuminate protege su tejido de API y detiene las brechas.
Si desea obtener más información sobre Salt y cómo podemos ayudarle en su recorrido de seguridad de API a través del descubrimiento, la gobernanza de la postura y la protección contra amenazas en tiempo de ejecución, por favor contáctenos, programe una demostración, o visite nuestro sitio web.