Порушення даних T-Mobile показує, що безпеку API не можна ігнорувати

Перегляньте всі сеанси Smart Security Summit за запитом тут.

Безпека підприємства непроста. Невеликі недогляди в системах і вразливості можуть призвести до витоку даних, що вплине на мільйони користувачів. На жаль, одна з найпоширеніших недоглядів стосується API.

Буквально вчора T-Mobile виявив, що зловмисник викрав особисту інформацію 37 мільйонів облікових записів клієнтів із післяплатою та передоплатою за допомогою викритого API (з яким він працював у період з 25 листопада 2022 року по 5 січня 2023 року). Провайдер не пояснив, як хакери використовували API.

Цей інцидент показує, що безпека API має бути головним пріоритетом для CISO та організацій, якщо вони хочуть запобігти потраплянню даних клієнтів у чужі руки.

У зв’язку зі стрімким зростанням впровадження хмарних технологій за останні кілька років аналітики вже давно попереджають підприємства, що назріває хвиля видобутку API. У 2021 році компанія Gartner передбачила, що в 2023 році зловживання API переросте з рідкого вектора атак до найбільш частого вектора атак.

Саміт Smart Security за запитом

Дізнайтеся про важливу роль штучного інтелекту та машинного навчання в кібербезпеці та практичні приклади для окремих галузей. Дивіться сеанси за запитом сьогодні.

Ці прогнози здаються точними, оскільки дослідження показують, що 53% фахівців із безпеки та інженерних розробок повідомили, що в їхній організації стався злам даних мережі чи програми через маркери безпеки. Зламаний API.

Крім того, лише місяць тому хакери викрили облікові записи та електронні адреси 235 мільйонів користувачів Twitter після використання вразливості API, спочатку опублікованої в червні 2021 року, яку потім виправили.

Оскільки кіберзлочинці все частіше намагаються використовувати API, підприємства не можуть дозволити собі покладатися на застарілі рішення кібербезпеки для захисту цієї величезної поверхні атак. На жаль, оновити до сучасних рішень легше сказати, ніж зробити.

«Організаціям, особливо підприємствам, може бути надзвичайно важко відстежувати та розслідувати неавторизований доступ до API через його величезний обсяг», — сказав Кріс Доман, технічний директор і співзасновник Cado Security.

«Оскільки все більше організацій переміщують свої дані в хмару, безпека API стає ще актуальнішою з розподіленими системами», — сказав Доман.

Доман зазначає, що організації, які прагнуть захистити себе від інцидентів, подібних до тих, що трапилися з T-Mobile, повинні мати «належну видимість» доступу до API та активності поза традиційним журналюванням.

Це важливо, оскільки журналювання можна обійти, як це було з уразливістю в API AWS, яка дозволила зловмисникам обійти журналювання CloudTrail.

Хоча T-Mobile стверджував, що зловмисники не змогли отримати доступ до платіжної картки користувачів...