Câu hỏi: Điều gì xảy ra với tổ chức của tôi nếu các API bị xâm phạm hoặc lạm dụng?
Michael Isbitski, nhà truyền bá kỹ thuật, Salt Security: Tác động từ việc lạm dụng API bao gồm câu trả lời rõ ràng là vi phạm dữ liệu và thiệt hại thương hiệu, nhưng các nhà bảo mật đang phải vật lộn với nhiều mối lo ngại khác. Khoản thanh toán Equifax trị giá 700 triệu đô la do lạm dụng API đã trở thành thước đo cho tác động kinh doanh tiềm năng. Quan sát các sự cố bảo mật API gần đây, một số tác động lớn nhất bao gồm mất dữ liệu, xói mòn quyền riêng tư, chiếm tài khoản, gian lận và thỏa hiệp chuỗi cung ứng.
Mất dữ liệu tràn lan trong các trường hợp API không thực thi đầy đủ xác thực và ủy quyền, một lỗi phổ biến mà các tổ chức mắc phải khi nới lỏng các biện pháp kiểm soát truy cập để thúc đẩy việc áp dụng API. Chúng tôi cũng đã chứng kiến nhiều sự cố trong đó các tác nhân độc hại thu thập dữ liệu hàng loạt thông qua các API, ngay cả đối với các API yêu cầu xác thực. Các ví dụ về việc cạo sửa gần đây bao gồm các sự cố API tại Facebook và LinkedIn, cũng như các sự cố với Experian và Peloton, nơi mà các nhà nghiên cứu bảo mật đã tiết lộ sớm về khả năng cạo hàng loạt. Mặc dù quan điểm của công ty đối với các tổ chức nạn nhân thường là những sự cố này không phù hợp với định nghĩa về vi phạm dữ liệu, nhưng ngôn ngữ quy định có thể khác nhau và các tác động về quyền riêng tư đối với khách hàng là rõ ràng.
Những kẻ tấn công cũng lạm dụng các API với các kỹ thuật ép buộc và nhồi nhét thông tin xác thực với mục tiêu xâm phạm thông tin đăng nhập của người dùng hoặc chiếm đoạt tài khoản (ATO). Mối quan tâm về ATO là phổ biến trong tất cả các ngành, nhưng nó ảnh hưởng đặc biệt đến các dịch vụ tài chính và công nghệ tài chính. Sau khi kẻ tấn công chiếm được tài khoản, chúng sẽ sử dụng quyền truy cập đó để nâng cao đặc quyền hơn nữa hoặc tiếp tục thực hiện hành vi gian lận khác. Chúng tôi cũng đã thấy các cuộc tấn công chuỗi cung ứng kỹ thuật số và chuỗi tấn công phức tạp trong đó các API là vectơ tấn công ban đầu hoặc chính. Sau khi những kẻ tấn công có được quyền truy cập thông qua API, chúng sẽ lạm dụng quyền truy cập đó để xâm phạm các hệ thống khác hoặc trục trong mạng của tổ chức. Các cuộc tấn công Microsoft Exchange Server vào tháng 2021 năm XNUMX là một ví dụ tuyệt vời về kiểu tấn công API này.
