O seu negócio depende de APIs, que são essenciais para as experiências digitais contemporâneas, abrangendo desde aplicações móveis e dispositivos IoT até ao cenário de IA em rápida evolução. Com mais de 80% do tráfego da internet a ser atualmente encaminhado através de APIs — um número que deverá aumentar significativamente devido aos desenvolvimentos da IA —, a sua segurança é crucial. Infelizmente, esta infraestrutura vital enfrenta ataques crescentes, sendo estas ameaças um perigo real e atual para muitos.
O aumento notável destes incidentes serve como um alerta: a maioria, 64% das organizações, sofreu um ataque ou uma violação de segurança de API apenas no último ano. O atual cenário de ameaças generalizadas gera, compreensivelmente, uma preocupação considerável quanto à proteção de dados sensíveis.
Esta preocupação é sentida em vários setores, uma vez que 87% das organizações reconhecem o seu desconforto em relação à governação de dados e/ou problemas de exposição de dados resultantes especificamente de APIs inseguras. Um descuido frequente intensifica o problema: muitas organizações acreditam ter muito menos APIs do que realmente possuem, com uma margem de subestimação de 70-80%. Este erro de avaliação deixa inúmeras APIs, incluindo as ocultas ou negligenciadas, expostas, resultando numa superfície de ataque vasta e muitas vezes invisível que pode levar a violações de dados significativas quando comprometida.
Vejamos alguns exemplos reais do que está em jogo:
- Meta (Facebook): Em 2018, atacantes exploraram uma vulnerabilidade na funcionalidade "Ver como" do Facebook, que interagia com as APIs da plataforma. Isto comprometeu os tokens de acesso e expôs os dados pessoais de aproximadamente 29 milhões de utilizadores, resultando numa multa pesada de 251.000.000 €.
- PayPal: No final de 2022, cibercriminosos exploraram fraquezas nos sistemas do PayPal, possivelmente envolvendo vulnerabilidades de API. Esta violação levou ao acesso não autorizado a informações pessoais de clientes, incluindo números de Segurança Social, resultando numa multa de 2.000.000 $.
- AT&T: Uma violação de dados em janeiro de 2023 afetou 8,9 milhões de clientes da AT&T wireless. Embora os detalhes específicos do envolvimento de APIs não tenham sido totalmente divulgados, tais violações, especialmente as que envolvem fornecedores de nuvem, implicam frequentemente falhas de segurança de API. A multa neste caso foi de 13.000.000 $.
Embora estes sejam exemplos proeminentes, inúmeros outros incidentes de segurança relacionados com APIs destacam o crescente cenário de ameaças:
- Optus: Em 2022, a empresa de telecomunicações australiana sofreu uma grande violação de dados na qual os detalhes pessoais de quase 10 milhões de clientes foram expostos. Relatórios indicaram que uma API não autenticada foi o ponto de entrada para os invasores.
- Twitter (agora X): Também em 2022, uma vulnerabilidade em uma API do Twitter permitiu que invasores acessassem os números de telefone e endereços de e-mail de 5,4 milhões de usuários, mesmo que esses usuários tivessem ocultado essas informações em suas configurações de privacidade.
- Peloton: Pesquisadores de segurança descobriram em 2021 que as APIs da Peloton permitiam acesso não autorizado a dados do usuário, incluindo IDs de usuário, idade, peso, gênero e estatísticas de treino, independentemente de os perfis estarem definidos como privados.
Esses incidentes destacam uma verdade crucial: as medidas de segurança tradicionais são frequentemente inadequadas para enfrentar os desafios distintos associados à segurança de APIs. Soluções de borda, como CDNs e WAAPs, podem fornecer apenas inspeção básica ou depender de defesas baseadas em assinatura/esquema, enquanto ferramentas CNAPP/CSPM oferecem apenas cobertura parcial de ambientes em nuvem. Nenhuma das abordagens combate efetivamente ataques complexos à lógica de negócios de APIs ou oferece visibilidade e governança abrangentes em todas as APIs, o que inclui aquelas locais ou dentro de tráfego criptografado.
O problema é agravado pela natureza em constante mudança das APIs, com 75% passando por atualizações semanalmente. Esse ritmo acelerado de mudança, combinado com uma subestimação comum do número total de APIs dentro de uma organização, cria um ambiente ideal para invasores.
É evidente que uma estratégia proativa e comprometida para a segurança de APIs tornou-se um requisito fundamental, não um luxo. As organizações precisam:
- Descobrir e Criar um Inventário Unificado: Obter visibilidade total de todas as APIs internas, externas, "shadow" e de terceiros.
- Governança de Postura e Conformidade: Avaliar o risco das APIs, aplicar políticas de segurança e detectar configurações incorretas em tempo real.
- Bloquear Ataques Comportamentais a APIs: Identificar e bloquear ameaças que exploram a lógica de negócios ou funcionalidades legítimas, indo além de regras e assinaturas simples.
As ameaças são reais, os riscos são altos e a hora de agir é agora. Não espere por uma violação para expor suas vulnerabilidades. Proteja suas APIs para salvaguardar seus dados, seus clientes e seu negócio.
Se você deseja saber mais sobre a Salt e como podemos ajudá-lo em sua jornada de Segurança de APIs por meio de descoberta, governança de postura e proteção contra ameaças em tempo de execução, por favor, entre em contato conosco, agende uma demonstração, ou confira nosso site.