A Perda Econômica Causada por APIs e Bots Inseguros

As organizações estão perdendo entre $94 e $186 bilhões anualmente devido a APIs (Interfaces de Programação de Aplicações) vulneráveis ou inseguros e ao abuso automatizado por bots. Isso é corroborado pelo relatório The Economic Impact of API and Bot Attacks da Imperva, uma empresa da Thales. O estudo destaca que essas ameaças de segurança representam até 11,8% dos eventos e perdas cibernéticas globais, enfatizando os riscos crescentes que elas representam para empresas em todo o mundo.

Baseando-se em um estudo abrangente realizado pelo Marsh McLennan Cyber Risk Intelligence Center, o relatório analisa mais de 161.000 incidentes cibernéticos únicos. As descobertas demonstram uma tendência preocupante: as ameaças apresentadas por APIs vulneráveis e pelo abuso automatizado por bots estão cada vez mais interconectadas e prevalentes. A Imperva alerta que não abordar os riscos de segurança associados a essas ameaças pode levar a danos financeiros e reputacionais substanciais.

Adoção de APIs e a Ampla Superfície de Ataque

As APIs tornaram-se indispensáveis para as operações comerciais modernas, permitindo uma comunicação e troca de dados contínuas entre aplicações e serviços. Elas alimentam tudo, desde aplicativos móveis até plataformas de eCommerce e bancos abertos. No entanto, essa adoção generalizada criou desafios significativos de segurança. De acordo com dados da Imperva Threat Research, a média de endpoints de API gerenciados por empresas foi de 613 no ano passado, e esse número deve crescer à medida que as empresas confiam cada vez mais nas APIs para impulsionar a transformação digital e a inovação.

Essa dependência crescente de APIs expandiu dramaticamente a superfície de ataque, com incidentes de segurança relacionados a APIs aumentando em 40% em 2022 e em mais 9% em 2023. Esses ataques são particularmente perigosos porque as APIs muitas vezes servem como caminhos diretos para a infraestrutura subjacente de uma organização e dados sensíveis. O relatório estima que a insegurança das APIs seja responsável por até $87 bilhões em perdas anuais, um aumento de $12 bilhões em relação a 2021. Isso pode ser atribuído a uma variedade de razões, incluindo a adoção rápida de APIs, a inexperiência de muitos desenvolvedores de APIs, a falta de práticas de segurança padronizadas e a colaboração limitada entre equipes de desenvolvimento e segurança.

Ameaças de Bots: Um Risco Persistente e Evolutivo

Juntamente com o aumento nos ataques a APIs, os ataques de bots tornaram-se uma ameaça generalizada e onerosa, resultando em perdas de até $116 bilhões anualmente. Bots — programas de software automatizados projetados para realizar tarefas específicas — são frequentemente utilizados para atividades maliciosas, como injeção de credenciais, scraping de web, fraudes online e ataques de negação de serviço distribuído (DDoS).

Em 2022, os incidentes de segurança relacionados a bots aumentaram em 88%, seguidos por um acréscimo adicional de 28% em 2023. Esse crescimento alarmante foi impulsionado por uma combinação de fatores, incluindo o aumento nas transações digitais, a proliferação de APIs e tensões geopolíticas, como o conflito Rússia-Ucrânia. A ampla disponibilidade de ferramentas de ataque e modelos de IA generativa também aprimoraram significativamente as técnicas de evasão de bots, permitindo que mesmo atacantes com pouca habilidade realizem ataques sofisticados.

De acordo com a Imperva, os bots agora representam uma das ameaças mais críticas à segurança das APIs. No ano passado, 30% de todos os ataques a APIs foram impulsionados por ameaças automatizadas, com 17% especificamente ligadas a bots explorando vulnerabilidades de lógica de negócios. A crescente dependência de APIs — e seu acesso direto a dados sensíveis — as tornou alvos principais para os operadores de bots. O abuso automatizado de APIs sozinho agora está custando às empresas até $17,9 bilhões anualmente. À medida que os bots se tornam mais sofisticados, os atacantes estão cada vez mais os utilizando para explorar a lógica de negócios da API, contornar medidas de segurança e exfiltrar dados sensíveis, tornando a detecção e mitigação mais desafiadoras para organizações.

Grandes Empresas em Maior Risco

Grandes empresas, especialmente aquelas com receitas anuais superiores a $1 bilhão, enfrentam um risco desproporcionalmente maior de ataques de APIs e bots. De acordo com o relatório, essas organizações são de 2 a 3 vezes mais propensas a experimentar abusos automatizados de APIs por bots em comparação a pequenas ou médias empresas. Essa maior exposição é principalmente impulsionada pela complexidade e escala de suas infraestruturas digitais.

Essas empresas normalmente gerenciam centenas ou até milhares de APIs em múltiplos departamentos e serviços, criando ecossistemas de APIs vastos que são desafiadores de monitorar e proteger. Dentro de tais ambientes, APIs sombras, APIs não autenticadas e APIs obsoletas representam vulnerabilidades significativas. Essas APIs mal geridas frequentemente não possuem medidas de segurança críticas, como atualizações regulares, autenticação e monitoramento contínuo, deixando-as abertas à exploração.

Do mesmo modo, grandes empresas são alvos primários para ataques de bots devido à sua extensa presença digital e ativos valiosos. Quanto mais complexo o ambiente digital, mais pontos de entrada potenciais existem para os bots explorarem, variando de páginas de login a sistemas de checkout. Com vastas quantidades de dados sensíveis fluindo através de suas aplicações e APIs, essas empresas constituem um alvo altamente lucrativo para os operadores de bots.

O risco é ainda mais acentuado para empresas com receitas anuais superiores a $100 bilhões, onde a insegurança de APIs e os ataques de bots representam até 26% de todos os incidentes de segurança. Esta cifra alarmante destaca a necessidade crítica de estratégias abrangentes de segurança de APIs e gerenciamento de bots em grandes empresas, onde um incidente de segurança pode resultar em interrupções operacionais significativas, perdas financeiras substanciais e danos reputacionais duradouros.

Protetendo-se contra Ataques de APIs e Bots

Juntas, as APIs vulneráveis ou inseguras e o abuso automatizado por bots representam bilhões de dólares em perdas anuais. À medida que as empresas aumentam a dependência de APIs para impulsionar a transformação digital, o risco de incidentes de segurança deve aumentar, colocando as organizações em um maior risco de danos financeiros e reputacionais. Simultaneamente, a evolução dos bots, muitas vezes impulsionada por IA generativa, ampliou os desafios de defender contra estas ameaças.

Para mitigar efetivamente esses riscos, a Imperva recomenda que as organizações adotem as seguintes etapas proativas:

• Fomentar a colaboração interfuncional: A colaboração entre as equipes de segurança e desenvolvimento é essencial para integrar a segurança em cada estágio do ciclo de vida da API. Essa parceria garante que as medidas de segurança sejam integradas desde o design até a implementação, permitindo a identificação e mitigação proativa de vulnerabilidades antes que possam ser exploradas. No caso do gerenciamento de bots, essa colaboração deve se estender ainda mais. Os bots são um desafio interfuncional que impacta várias áreas do negócio. Para combatê-los efetivamente, equipes de marketing, eCommerce, experiência do cliente, TI, linha de negócios e segurança devem trabalhar em estreita colaboração. Essa colaboração mais ampla ajuda a identificar recursos vulneráveis, como páginas de login, processos de checkout e formulários, que são particularmente suscetíveis a ataques de bots.
• Descoberta e monitoramento abrangentes de APIs: As organizações devem ter total visibilidade sobre todas as suas APIs, incluindo APIs sombras, obsoletas e não autenticadas, para garantir que nenhuma seja negligenciada. O monitoramento e auditoria contínuos são essenciais para identificar potenciais vulnerabilidades antes que sejam exploradas.
• Integrar segurança de APIs e gerenciamento de bots: O gerenciamento de bots e a segurança de APIs devem ser usados em conjunto para mitigar com sucesso os ataques automatizados nas bibliotecas de APIs. Essa abordagem combinada ajuda a identificar APIs vulneráveis, monitora continuamente ataques automatizados e fornece insights acionáveis para detecção e resposta rápidas. Ao integrar o gerenciamento de bots e a segurança de APIs, as empresas podem se proteger melhor contra ameaças automatizadas sofisticadas, enquanto obtêm visibilidade para detectar e mitigar riscos antes que causem um incidente de segurança.

À medida que os ecossistemas de APIs continuam a se expandir e os bots se tornem mais sofisticados, o custo da inação só aumentará. As organizações devem abordar os riscos de segurança associados a APIs e bots para proteger dados sensíveis, mitigar perdas financeiras e salvaguardar a reputação de sua marca.

#APIs #Bots #SegurançaCibernética #PerdasFinanceiras #Ciberameaças #TransformaçãoDigital #Empresas #SegurançaDeDados #Inovação

autor ref: The Hacker News
ref:https://thehackernews.com/2024/10/vulnerable-apis-and-bot-attacks-costing.html