Bots maliciosos provocarán aumento de ciberfraudes por falta de protección

Por Ricardo Cazares, Vicepresidente de Imperva en Latinoamérica.
La rápida proliferación de las interfaces de programación de aplicaciones (API) está encabezando la
transformación digital, ya que ayudan a los desarrolladores a unir aplicaciones de forma rápida y
eficiente, al tiempo que proporcionan una mejor experiencia de usuario. Una encuesta de Imperva
descubrió que el número medio mínimo de API que una institución gestiona hoy en día es de 300.
Sin embargo, a medida que crece el volumen de API, se amplía la superficie de ataque. Por lo tanto,
cabe esperar que, en los próximos años, las API se conviertan en uno de los principales objetivos de
los ciberdelincuentes.
Las API no sólo amplían la superficie de ataque al proporcionar más puntos de entrada a los
cibercriminales, sino que también son más susceptibles al abuso de la lógica empresarial y al fraude,
lo que las convierte en un objetivo ideal para los ataques automatizados. Éstos están aumentando a
un ritmo alarmante. Como se indica en nuestro informe "Bad Bot Report 2023", el 17% de todos los
ataques dirigidos a API en 2022 procedían de bots, y el 21% eran otros tipos de amenazas
automatizadas. No debería sorprendernos que la falta de protección sea uno de los desafíos del
2023. Pero, ¿por qué las API son un vector cada vez más atacado?
Las organizaciones carecen de visibilidad
Las organizaciones deben identificar y documentar todas sus API. Muchas existen y están expuestas
públicamente, pero las instituciones no han hecho el inventario ni las conocen activamente. Son las
denominadas “API en la sombra”. Los ejemplos incluyen: antiguos puntos finales de API que están
obsoletos, pero nunca se eliminaron, nuevos puntos finales de API que no están documentados, o
cuando un desarrollador realiza un cambio que expone puntos finales de API no públicos a Internet.
Esto nos lleva a preguntarnos: ¿Cómo se puede proteger lo que no se sabe que está ahí?
También está el reto de distinguir entre el tráfico humano y de bots, y también diferenciar los bots
buenos y maliciosos. El problema radica en el hecho de que para una API todo parece un bot, ya que
están diseñadas para clientes automatizados. Esto hace que sea difícil para las organizaciones
proteger sus API contra los ataques de bots. Estas API manejan grandes volúmenes de peticiones,
pero carecen de mecanismos de defensa incorporados. Esto dificulta la detección y el bloqueo del
tráfico de bots maliciosos, lo que permite a los atacantes utilizar la automatización sin riesgo de que
salten las alarmas.
Las API proporcionan acceso directo a datos sensibles
Las API son una vía directa de acceso a datos confidenciales, funcionalidades empresariales, recursos
y otra información sensible. Un análisis reciente de Imperva descubrió que el 13% de las API
manejan información altamente sensible, como números de tarjetas de crédito, números de la
seguridad social, direcciones de particulares, etc. Si un atacante consigue acceder a una API que
maneja datos, podría obtener potencialmente esta información, lo que daría lugar a una violación de
datos.
La lógica empresarial suele pasarse por alto

Según Postman, el 44% de los desarrolladores de API tienen menos de 2 años de experiencia.
Cuando se trata de protegerlas, los desarrolladores suelen aplicar un conjunto estándar de reglas,
exponiendo así las API a vulnerabilidades.
Incluso si los desarrolladores intentan mitigar el tráfico de bots, a menudo utilizan herramientas y
técnicas de seguridad tradicionales. Entre ellas se encuentran la limitación de velocidad, la detección
basada en firmas, los protocolos de bloqueo, etc. Estas técnicas suelen ser ineficaces contra los
sofisticados ataques de bots que se dirigen a las API.
No se trata sólo de la función empresarial
Scraping y Account Takeover son dos ejemplos de ataques de bots que pueden explotar la lógica de
negocio de una API. Los bots pueden atacar las API de muchas otras formas. Un ejemplo son los
ataques distribuidos de denegación de servicio (DDoS). Los bots pueden utilizarse para lanzar
ataques DDoS contra las API, saturándolas de tráfico y haciéndolas inaccesibles para los usuarios
legítimos.
En conclusión, las organizaciones dependen cada vez más de las API, lo que lleva a un rápido
crecimiento en su adopción y uso. A su vez, la superficie de ataque que las empresas deben ser
capaces de proteger hoy en día ha aumentado significativamente. Los bots, cada día más
sofisticados, y la facilidad con la que pueden atacar la logística empresarial de las API, suponen un
riesgo significativo que, según nuestras previsiones, no hará más que crecer.
Acerca de Imperva
Imperva es el líder en ciberseguridad que ayuda a las organizaciones a proteger aplicaciones críticas,
API y datos, en cualquier lugar, a escala y con el mayor ROI. Con un enfoque integrado que combina
edge, seguridad de aplicaciones y seguridad de datos, Imperva protege a las empresas en todas las
etapas de su viaje digital. Imperva Research Labs y nuestra comunidad de inteligencia global
permiten a Imperva mantenerse a la vanguardia del panorama de amenazas e integrar a la
perfección los últimos conocimientos sobre seguridad, privacidad y cumplimiento normativo en
nuestras soluciones.
2023 Imperva, Inc. Todos los derechos reservados. Imperva es una marca registrada de Imperva, Inc.