In een wereld die steeds meer met internet verbonden is, worden application programming interfaces (API's), software waarmee computerprogramma's met elkaar kunnen communiceren, steeds gangbaarder. API's zorgen ervoor dat apparaten en applicaties informatie kunnen uitwisselen, en helpen ontwikkelaars om gemakkelijker en efficiënter betere en effectievere gebruikerservaringen te creëren. In werkelijkheid, 70% van de ontwikkelaars wordt verwacht toename API-gebruik in 2023, dus de prevalentie van API's zal blijven toenemen.

Maar wat zijn de gevolgen voor de veiligheid nu het API-gebruik toeneemt en apparaten steeds meer communiceren, terwijl ontwikkelaars steeds beter in staat worden gesteld betere, gebruiksvriendelijkere software aan te bieden? Welke invloed heeft het gebruik van API's op een bedrijf of onderneming? En zijn er sectoren die het meeste risico lopen, vooral nu we de feestdagen tegemoet gaan?

Uitpakken van de noodzaak om betalings-API's te beschermen

Onderzoek toont aan dat aanvallers steeds geavanceerder en API-specifiek worden in hun tactieken, en dat traditionele beschermingstechnieken ineffectieve verdedigingsmechanismen blijken te zijn. In de eerste helft van 2022 verloren Amerikanen een record van $ 3.56 miljard tot onlinefraude, en de Federal Trade Commission ontving 800,000 fraudeklachten, waarbij in 27% van de gevallen financieel verlies werd geleden. Aanvallers willen een deel van de actie, en betalings-API's lijken een gemakkelijk doelwit.

In de e-commercewereld verbinden API's verkopers met betalingsdienstaanbieders (PSP's) die de transactie van de klant voltooien. Onveilige API's kunnen echter gevoelige informatie vrijgeven. De geldfraudeurs die van PSP's en e-commercewebsites kunnen stelen door klantkaartgegevens af te nemen, zijn niet de enige kosten die met fraude gepaard gaan. Omdat slechte bots steeds geavanceerder en moeilijker te dwarsbomen worden, is het daarom van cruciaal belang om ze voor te blijven.

Hoe gaat het met de fraudeurs op de API Naughty List deze feestdagen?

Volgens Adobe Analytics zullen consumenten waarschijnlijk geld uitgeven $221.8 miljard via online winkelen tussen 1 november en het einde van het jaar. Dat gezegd hebbende, worden e-commerceplatforms tijdens flash-verkoopevenementen zoals Black Friday en Cyber ​​Monday doorgaans minstens vijf keer – en soms tot dertig keer – geconfronteerd met meer botaanvallen dan op gemiddelde dagen. Dus nu consumenten hun verlanglijstjes beginnen af ​​te strepen via online winkelen, zullen deze fraudeurs in de schaduw op de loer liggen, wachtend om geld te verdienen.

Grotendeels vanwege hun gebrek aan geavanceerde bescherming worden API's nu steeds vaker op grote schaal aangevallen door cybercriminelen die gebruik maken van zeer gecommoditiseerde (en dus beter toegankelijke) tools. Eén tactiek is het commoditiseren van tools en diensten voor kaartfraude die het voor iedereen gemakkelijker maken om creditcardfraude uit te voeren, vooral tegen front-end API's die onbeschermd blijven tegen geavanceerde slechte bots.

Aanvallers stelen bijvoorbeeld geldige creditcardnummers (via kaarten, het kraken van kaarten of aankopen op het Dark Web) om te gebruiken bij hun frauduleuze transacties. Bots worden vaak in bulk ingezet om kaartnummers en bijbehorende kaarthouderinformatie af te leiden (“testen” of “kraken”). Betalingsgegevens kunnen gemakkelijker te vinden zijn achter minder beschermde eindpunten, zoals een API die wordt gebruikt door de betalingsverwerker of de verkoper.

Zelfs de meest onervaren fraudeur kan nu grootschalige aanvallen uitvoeren met behulp van geavanceerde technieken, waardoor de potentiële schade voor bedrijven toeneemt.

API-betalingsfraude is beangstigend, maar deze best practices zijn zo verrukkelijk

An nauwkeurige en schaalbare API-beveiligingsoplossing kan bedrijven beschermen tegen API-aanvallen gedurende het hele klanttraject. Een succesvolle aanval kan een negatieve impact hebben op de omzet en onweerlegbare schade toebrengen aan de reputatie van een bedrijf. Er zijn verschillende strategieën en tools beschikbaar om bedrijven te helpen hun betalings-API's te beschermen tegen fraude en accountovername:

• Sterke authenticatiemechanismen: Tweefactorauthenticatie (2FA) en multifactorauthenticatie (MFA) worden vaak gebruikt om de identiteit van de gebruiker te bevestigen.
• Gegevensversleuteling en veilige overdracht: Gegevensversleuteling met zowel SSL als TLS is van cruciaal belang voor het beveiligen van internetverbindingen en het beschermen van gegevens tijdens het transport.
• Monitoring en detectie van afwijkingen: Voor het voorkomen van fraude is machine learning-detectie aan de rand nodig die veranderende bedreigingen identificeert en zich daaraan aanpast en die voortdurend wordt gemonitord door menselijke experts.
• Fraudedetectie en -preventie: Op het moment van betaling kunnen adresverificatiediensten (AVS) worden gebruikt om factuuradressen te verifiëren, maar deze zullen een frauduleuze betaling niet tegenhouden als de fraudeur het juiste adres kent.

Het begrijpen van deze API-beveiligingsrisico's is niet alleen een goed idee, het is ook een zakelijke noodzaak. Een enkele API-inbreuk kan resulteren in reputatieschade, financiële verliezen, juridische gevolgen en erger. Omdat bedrijven API-beveiliging vaak verwaarlozen ten gunste van web- of mobiele app-beveiliging, richten hackers zich steeds vaker op API's om gegevens te extraheren, de bedrijfslogica te verstoren of een applicatie offline te halen. De inzet is nog nooit zo hoog geweest.

Over de auteur

Benjamin Fabre is de CEO van DataDome, een bedrijf dat hij in 2015 mede heeft opgericht. Benjamin, een visionair op het gebied van cyberbeveiliging, voorzag de opkomst van botgestuurde fraude. Hij begreep al vroeg dat de race om geautomatiseerde onlinedreigingen te blokkeren een onmiddellijke reactie aan de rand zou vereisen; statische regels, hoe snel ze ook worden bijgewerkt, zouden altijd een stap achterlopen. Door gebruik te maken van zijn diepgaande expertise als technoloog, wilde Benjamin een transparante en eenvoudig te implementeren anti-botoplossing bouwen die een echte krachtvermenigvuldiger is voor IT-beveiligingsteams. Voer DataDome in.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• Plato Gezondheid. Intelligentie op het gebied van biotech en klinische proeven. Toegang hier.
• Bron: https://www.darkreading.com/vulnerabilities-threats/keep-your-organizations-apis-protected-this-holiday-season