Vraag: Wat gebeurt er met mijn organisatie als API's worden gecompromitteerd of misbruikt?
Michael Isbitski, technisch evangelist, Salt Security: De gevolgen van API-misbruik zijn de voor de hand liggende antwoorden op datalekken en merkschade, maar beveiligingsprofessionals worstelen met veel meer zorgen. De Equifax-schikking van $ 700 miljoen die het gevolg was van API-misbruik, is een maatstaf geworden voor potentiële zakelijke impact. Bij het observeren van recente API-beveiligingsincidenten waren enkele van de grootste gevolgen gegevensverlies, privacyerosie, accountovername, fraude en inbreuk op de toeleveringsketen.
Gegevensverlies is wijdverbreid in gevallen waarin API's onvoldoende authenticatie en autorisatie afdwingen, een veelgemaakte fout die organisaties maken bij het versoepelen van toegangscontroles om API-acceptatie te bevorderen. We hebben ook talloze scraping-incidenten gezien waarbij kwaadwillende actoren massaal gegevens verzamelen via API's, zelfs voor API's die authenticatie vereisen. Recente voorbeelden van scraping zijn de API-incidenten op Facebook en LinkedIn, evenals de incidenten met Experian en Peloton, waar het potentieel voor massale scraping al vroeg werd onthuld door beveiligingsonderzoekers. Hoewel de bedrijfslijn voor slachtofferorganisaties vaak is dat deze incidenten niet passen binnen de definitie van een datalek, kan de taal van de regelgeving verschillen en zijn de gevolgen voor de privacy voor klanten duidelijk.
Aanvallers misbruiken API's ook met brute-forcing en credential-stuffing-technieken met als doel gebruikersreferenties of account takeover (ATO) in gevaar te brengen. De bezorgdheid over ATO komt in alle sectoren voor, maar treft vooral financiële diensten en financiële technologie. Zodra een aanvaller een account heeft overgenomen, gebruiken ze die toegang om privileges verder te verhogen of andere fraude in stand te houden. We hebben ook digitale supply chain-aanvallen en complexe aanvalsketens gezien waarbij API's de initiële of primaire aanvalsvector zijn. Zodra aanvallers toegang hebben verkregen via API's, misbruiken ze die toegang om andere systemen binnen te dringen of binnen de netwerken van een organisatie te draaien. De Microsoft Exchange Server-aanvallen in maart 2021 waren een goed voorbeeld van dit type API-aanval.
