Las Interfaces de Programación de Aplicaciones (API) son los puentes que conectan el mundo moderno. Desde las instituciones bancarias hasta los servicios de salud y gobierno, las API están por todas partes, y esa ubicuidad las ha convertido en un objeto de deseo para los criminales.

¿Sabía que entre enero de 2023 y junio de 2024 se registraron 108.000 millones de ataques a API? Esta cifra, extraída del estudio «Digital Fortresses Under Siege» elaborado por Akamai, revela una realidad: estos eslabones que unen al mundo digital tal como lo conocemos están en riesgo.

Las razones de esta tendencia obedecen a varias causas, pero especialmente a una: su popularidad. El 70 % del tráfico de Internet se ejecuta a través de las llamadas a API, según el informe «Continuous API Sprawl: Challenges and Opportunities in an API-Driven Economy» de F5, y esta cifra continúa creciendo.

¿Qué son las API?

Según Gartner, una interfaz de programación de aplicaciones (API) es una interfaz que proporciona acceso programático a la funcionalidad y datos de un servicio dentro de una aplicación o una base de datos. Dicho de otra forma, las API son los puentes que permiten a las empresas modernizar sus sistemas heredados, construir arquitecturas nativas de la nube e integrar servicios de terceros.

Pero esta dependencia de las empresas modernas y la manera como manejan datos sensibles las convierten en objetivos atractivos para los ciberdelincuentes. A medida que las organizaciones dependen cada vez más de las API, la superficie de ataque se expande.

Y como si el tráfico no fuera suficiente, las transacciones generadas por la “API economy” son otro aliciente, se trata de un mercado que superará los 14.200 millones de dólares para 2027, según estadísticas de Kong.

¿Cómo son los ataques a API?

En términos simples, los ataques a las API consisten en explotar vulnerabilidades en las interfaces de programación para obtener acceso no autorizado, extraer datos sensibles, interrumpir servicios o manipular la lógica de sistemas informáticos. De forma más específica, sus principales modalidades son:

• Ataques de inyección: Consisten en insertar código malicioso (como SQL, comandos del sistema operativo o scripts) en las solicitudes de la API para ejecutar acciones dañinas o acceder a información confidencial.
• Ataques de intermediario (Man-in-the-Middle, MITM): El atacante intercepta y potencialmente modifica la comunicación entre el cliente y el servidor API, permitiendo el robo o la alteración de datos transmitidos.
• Denegación de servicio (DoS/DDoS): Los atacantes envían una gran cantidad de solicitudes a la API para saturar sus recursos, ralentizando o bloqueando el servicio para usuarios legítimos.
• Brechas de autenticación y autorización: Explotan implementaciones deficientes en los mecanismos de autenticación o autorización, permitiendo el acceso no autorizado a cuentas, datos o funciones restringidas.
• Exposición de datos sensibles: Ocurre cuando la API entrega más información de la necesaria en sus respuestas, permitiendo que los atacantes obtengan datos confidenciales.

Y como ocurre con múltiples incidentes de ciberseguridad, para enfrentar estos ataques API no existe una solución única y en su lugar es un conjunto de medidas y procesos que involucran tecnología, procesos y cultura, todo enmarcado en una estrategia de ciberseguridad robusta.

Si quieres saber cómo desde Movistar Empresas te podemos ayudar a impulsar la transformación de tu negocio y a hacerlo de manera sostenible ingresa aquí.

Foto de Freepik

La validación de identidad es un tema crucial en innumerables industrias, desde el entretenimiento hasta la banca; sin embargo, las nuevas tecnologías como la IA ponen en riesgo los métodos tradicionales para asegurarla. La prueba de vida o proof of life viene al rescate.

En 2024, un empleado de una multinacional asiática giró 25 millones de dólares tras una videollamada con varios de sus compañeros de trabajo, que incluían al director financiero de la entidad. Lo que desconocía era que ninguno de sus interlocutores era real (deepfakes). ¿Cómo combatir estas ilusiones? La detección de vida o proof of life es la respuesta.

El concepto de “prueba de vida” en ciberseguridad surgió principalmente en la década de 1990 y principios de la de 2000, a medida que se generalizaba el uso de Internet y aumentaba la preocupación por la seguridad, evolucionando con los años y adoptando diferentes herramientas tecnológicas como la biometría.

De esta forma, en la actualidad, la detección de vida puede definirse como un conjunto de técnicas que permiten a los sistemas biométricos determinar si una muestra presentada proviene de una persona viva y presente en el momento de la captura, en lugar de una representación falsa como una fotografía, una máscara o una grabación.

Uso de tecnologías en la prueba de vida

Como mencionamos, la prueba de vida esencialmente no es una tecnología nueva. Antes del surgimiento de los biométricos se utilizaron varias técnicas de autenticación como las contraseñas, los certificados digitales, además de los conocidos sistemas CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart).

Sin embargo, el concepto formal de detección de la vitalidad en biometría comenzó a consolidarse a principios de la década de 2000, con la aparición de investigaciones académicas sobre métodos para diferenciar los rasgos biométricos auténticos de los falsos.

Por cierto, en 2004 se introdujo el término «Detección de Ataques de Presentación» (PAD, por sus siglas en inglés), que significaba un esfuerzo más centrado en abordar la creciente amenaza de la suplantación biométrica. Como dato curioso, incluso antes de los deepfakes se logró engañar a los sistemas biométricos usando máscaras de silicona. Estos experimentos sirvieron como un aliciente para desarrollar mejores herramientas y técnicas de validación.

El auge biométrico

Cuando hablamos de verificación biométrica se suelen incluir huellas dactilares y escáneres faciales; sin embargo, las pruebas de vida dan un paso más allá incluyendo técnicas como el parpadeo o la sonrisa (en sistemas faciales), el pulso o flujo sanguíneo (para las huellas dactilares) e incluso micromovimientos únicos que los bots no pueden simular.

Otro nicho es la llamada biometría del comportamiento, que incluye patrones de escritura o los movimientos del ratón, donde una vez que se detectan anomalías, estos generan solicitudes de verificación adicionales o incluso pruebas de vida continua a lo largo de toda una sesión.

Ahora, con el auge de la Inteligencia Artificial y los deepfakes, las pruebas de vida se han vuelto aún más importantes, al mismo tiempo que los sistemas de validación siguen evolucionando e incluso tienen competencias como LivDet (Liveness Detection), que inicialmente se centró en la detección de vida en huellas dactilares y posteriormente se expandió a otras modalidades como el iris y el rostro.

Para cerrar y como muestra del mercado, solo en el segmento de biometría aplicada en pagos se proyecta que superará los 3.500 millones de dólares para 2030.

Si quieres saber cómo desde Movistar Empresas te podemos ayudar a impulsar la transformación de tu negocio y a hacerlo de manera sostenible ingresa aquí.

Foto de Freepik