LAS DEFICIENCIAS DE INTEGRACIÓN EN LAS API A MENUDO PROVOCAN VIOLACIONES DE SEGURIDAD

Muchas empresas consideran que los problemas de seguridad de las API son algo que solo les ocurre a las grandes empresas (más de 250 empleados), como T-Mobile y McDonalds. Es cierto: los ciberataques suelen dirigirse a empresas que poseen grandes cantidades de datos que pueden ser robados con el mínimo esfuerzo.

Aunque las empresas de ese tamaño logran superar estas situaciones sin sufrir grandes pérdidas en su base de clientes, se trata de algo perturbador y posiblemente peligroso. Cuando las pequeñas y medianas empresas son atacadas, tienen aún más que perder. Con el rescate de datos, el robo financiero y una miríada de nuevos ataques en libertad, ya no es seguro dar por sentado que la seguridad es sólida.

El tiempo de inactividad necesario para revertir el daño debería ser suficiente para que los directores de informática, los directores de seguridad de la información, los directores de seguridad y otros miembros del equipo de seguridad tomen medidas. Se necesita una cantidad excesiva de tiempo de inactividad para:

• Encontrar los fallos de la API y las brechas de seguridad.
• Proteger los datos (cifrado, tokenización, desidentificación).
• Centralizar el control de los usuarios de datos.
• Contactar con los clientes que puedan verse afectados.
• Reforzar los eslabones débiles (automatizados y humanos).

Para cuando se toman estas medidas, se ha perdido el impulso de las ventas y los clientes pueden haber perdido la confianza y el interés en la marca, lo que supone otra capa de agitación.

Según la Encuesta canadiense sobre ciberseguridad y ciberdelincuencia, las empresas de todo el mundo han experimentado un aumento del 57,5 % en los ciberataques durante la temporada navideña de 2017, lo que supone más del doble que en 2016. Según Statistics Canada, más de una de cada cinco empresas canadienses sufrió un ciberataque en 2018.

Un portavoz de StatCan nos recuerda: «Las empresas canadienses siguen adoptando rápidamente Internet y las tecnologías digitales, lo que las expone a mayores riesgos y amenazas de ciberseguridad. Sin embargo, el impacto de estos riesgos y amenazas en la inversión y las decisiones cotidianas de las empresas no se comprende fácilmente, ya que los incidentes de ciberseguridad a menudo no se denuncian».

Las fallas de las API son atractivas para los ciberdelincuentes

Las API proporcionan la integración digital entre aplicaciones, recursos en la nube, datos y servicios de aplicaciones, lo que supone un gran aliciente para los ciberdelincuentes.

Piénselo… Las API proporcionan acceso a los datos de los clientes y, a menudo, a todo su entorno digital. Además, muchas API tienen fallos importantes que no se detectan fácilmente sin las pruebas adecuadas y sin repetirlas periódicamente. Los fallos de las API facilitan el robo de datos, por lo que es fundamental verificar la integración sólida de los distintos componentes. Solo en 2018, se ha producido un aumento del número de violaciones y exposiciones de datos de alto perfil debido a la deficiente seguridad de las API. Salesforce, Instagram y Venmo fueron víctimas de la inseguridad de las API, por nombrar algunas.

Dado que las API se proporcionan a los desarrolladores y a los usuarios públicos con el fin de aumentar el uso del software, existen enormes oportunidades para los ciberdelincuentes. Según un estudio de Imperva, la empresa media gestiona una media de 363 API debido al aumento del uso de microservicios.

Pruebas de API: ahora fundamentales para el mantenimiento de la seguridad

Las pruebas de API se pueden realizar durante el desarrollo; sin embargo, cuando se añaden, modifican o actualizan API, se recomienda repetir las pruebas. En el pasado, las pruebas de la interfaz de usuario parecían suficientes, pero las pruebas de API son mucho más rápidas y eficientes que esperar a que los usuarios descubran los errores durante un periodo de tiempo más largo. Las pruebas de API permiten la comunicación entre los sistemas de software integrados y pueden descubrir vulnerabilidades que se pueden corregir y marcar como cibernéticamente seguras.

En el caso del fallo de API que sufrió el Servicio Postal de los Estados Unidos durante un año (noviembre de 2018), se pudo acceder fácilmente a gran cantidad de información confidencial de los clientes sin necesidad de una autorización especial. Esto significa que prácticamente cualquier persona podía acceder a más de 60 millones de direcciones de correo electrónico, direcciones postales, números de teléfono, etc. de usuarios corporativos. Este defecto podría haber sido responsable de una incidencia épica de phishing, engaños sociales y fraudes en múltiples direcciones. En este momento, el USPS afirma que la vulnerabilidad no se ha aprovechado. Sin embargo, después de casi un año de exposición, puede que sea solo cuestión de tiempo que las ramificaciones salgan a la luz.

Otros ejemplos destacados son Air Canada, el Banco de Montreal, el Banco Imperial de Comercio de Canadá y Equifax. Las pruebas de API habrían evitado todos y cada uno de estos incidentes.

Marque sus API como seguras

Según todas las fuentes, los abusos cibernéticos de las API serán la causa más importante de violaciones de datos para 2022. Aunque la seguridad en Internet se ha convertido en uno de los aspectos más importantes para las empresas minoristas y de comercio electrónico, la integración de las API a menudo se pasa por alto. Para superar estas dificultades, es necesario probar los sistemas para poder corregir los puntos débiles. A medida que avanza la tecnología, las pruebas deben seguir siendo una prioridad para todas las empresas que deseen mantener los más altos estándares en materia de ciberseguridad. Gane confianza en sus integraciones de API adelantándose a las amenazas inminentes que podrían paralizar temporalmente (o permanentemente) su negocio.

Nuestro equipo de Orenda Security, altamente capacitado y experimentado, se especializa en la evaluación de aplicaciones y las pruebas de API, entre todos los tipos de seguridad en Internet. Podemos probar su software para determinar si cumple con las expectativas de funcionalidad, fiabilidad, rendimiento y seguridad. Gane tranquilidad evitando situaciones que puedan afectar negativamente a su negocio en crecimiento.

Póngase en contacto con nosotros hoy mismo en info@orendasecurity.com para obtener una consulta y un presupuesto gratuitos.