Безопасность API

Эта статья основана на отчете Imperva 2025 Malicious Robots Report, который выявляет три основные тенденции:
Новая норма автоматизированного трафика: в 2024 году автоматизированный трафик впервые превысил человеческий, составив 511 TP3T, из которых 371 TP3T - вредоносные боты, и рос шесть лет подряд, что свидетельствует о структурных изменениях в моделях взаимодействия в Интернете и новом этапе в решении проблем безопасности предприятий.
Эволюция атак с помощью ИИ: распространение искусственного интеллекта (ИИ) и больших языковых моделей (LLM) значительно снизило порог атаки, увеличив масштаб и изощренность вредоносных автоматизированных атак. ИИ используется не только для создания ботов, но и для их анализа, обучения и оптимизации методов уклонения, порождая усовершенствованные боты с более широкими возможностями уклонения и приводя к росту числа атак на бизнес-логику.
API становятся новым объектом атак: с ростом популярности микросервисов и мобильных приложений API стали главной мишенью для вредоносных ботов из-за их высокой ценности, относительно слабой защиты и простоты автоматизации.44% трафика современных ботов было направлено на API, причем наиболее сильно атакованы отрасли финансовых услуг и телекоммуникаций, где основными тактиками атак являются перехват данных, мошенничество с платежами и захват аккаунтов.
Кроме того, в статье подробно анализируется возрождение атак на захват учетных записей (ATO), отмечается их ежегодный рост до 40% в 2024 году, а также рассматриваются причины резкого увеличения числа ATO-атак, наиболее пострадавшие отрасли и возможные штрафные санкции со стороны регулирующих органов. Наконец, в документе предлагается многоуровневая адаптивная стратегия "защита в глубину", включающая выход за рамки традиционных WAF, укрепление безопасности API, противодействие ATO, построение единого представления о безопасности, непрерывный мониторинг и анализ угроз, которая призвана помочь организациям эффективно противостоять все более интеллектуальной и масштабной угрозе вредоносных ботов и защитить цифровые активы и непрерывность бизнеса.

Недавно была обнаружена уязвимость разрешения на выполнение серверного API в исторической версии приватизации корпоративного WeChat. Злоумышленник может получить информацию адресной книги и разрешения приложений, отправив определенные сообщения. Через API с риском уязвимости https://cncso.com/cgi - Интерфейс bin/gateway/agentinfo может напрямую получать конфиденциальную информацию, такую как корпоративные секреты WeChat, без авторизации, что может привести к получению всех корпоративных данных WeChat, получению файлов и использованию корпоративных легких приложений WeChat для отправки фишинговых файлов и ссылок. внутри предприятия.