Organisaties verliezen jaarlijks tussen de $94 en $186 miljard aan kwetsbare of onveilige API’s (Application Programming Interfaces) en geautomatiseerd misbruik door bots. Dat blijkt uit het rapport The Economic Impact of API and Bot Attacks van Imperva, een Thales-bedrijf. Het rapport benadrukt dat deze veiligheidsbedreigingen verantwoordelijk zijn voor maar liefst 11,8% van de wereldwijde cybergebeurtenissen en -verliezen, en benadrukt de escalerende risico’s die ze voor bedrijven over de hele wereld met zich meebrengen.
Het rapport is gebaseerd op een uitgebreid onderzoek uitgevoerd door het Marsh McLennan Cyber Risk Intelligence Center en analyseert meer dan 161.000 unieke cyberveiligheidsincidenten. De bevindingen laten een zorgwekkende trend zien: de bedreigingen die uitgaan van kwetsbare of onveilige API’s en geautomatiseerd misbruik door bots zijn steeds meer met elkaar verbonden en komen steeds vaker voor. Imperva waarschuwt dat het niet aanpakken van de veiligheidsrisico’s die met deze bedreigingen gepaard gaan, kan leiden tot aanzienlijke financiële schade en reputatieschade.
API-adoptie en het zich uitbreidende aanvalsoppervlak
API’s zijn onmisbaar geworden voor de moderne bedrijfsvoering en maken naadloze communicatie en gegevensuitwisseling tussen applicaties en diensten mogelijk. Ze ondersteunen alles, van mobiele applicaties tot e-commerceplatforms en open bankieren. De wijdverbreide toepassing ervan heeft echter tot aanzienlijke veiligheidsproblemen geleid. Volgens gegevens van Imperva Threat Research beheerde de gemiddelde onderneming vorig jaar 613 API-eindpunten in productie, en dat aantal zal naar verwachting groeien naarmate bedrijven steeds meer afhankelijk zijn van API’s om digitale transformatie en innovatie te stimuleren.
Deze grotere afhankelijkheid van API’s heeft het aanvalsoppervlak dramatisch vergroot, waarbij API-gerelateerde beveiligingsincidenten in 2022 met 40% zijn toegenomen en in 2023 met nog eens 9%. Deze aanvallen zijn bijzonder gevaarlijk omdat API’s vaak dienen als directe toegangswegen naar de onderliggende infrastructuur van een organisatie en gevoelige gegevens. Het rapport schat dat de onveiligheid van API’s verantwoordelijk is voor tot wel 87 miljard dollar aan jaarlijkse verliezen, een stijging van 12 miljard dollar ten opzichte van 2021. Dit kan aan verschillende redenen worden toegeschreven, waaronder de snelle adoptie van API’s, de onervarenheid van veel API-ontwikkelaars, het gebrek aan gestandaardiseerde beveiligingspraktijken en beperkte samenwerking tussen ontwikkelings- en beveiligingsteams.
Botaanvallen: een aanhoudende en evoluerende dreiging
Naast de toename van aanvallen op API’s zijn botaanvallen een wijdverbreide en kostbare bedreiging geworden, die jaarlijks tot wel 116 miljard dollar aan verliezen tot gevolg heeft. Bots (geautomatiseerde softwareprogramma’s die zijn ontworpen om specifieke taken uit te voeren) worden vaak ingezet voor kwaadaardige activiteiten zoals het opvullen van inloggegevens, webscrapen, onlinefraude en gedistribueerde denial-of-service (DDoS)-aanvallen.
In 2022 stegen de veiligheidsincidenten gerelateerd aan bots met 88%, gevolgd door nog eens 28% in 2023. Deze alarmerende groei werd aangewakkerd door een combinatie van factoren, waaronder de toename van digitale transacties, de proliferatie van API’s en geopolitieke spanningen zoals het conflict tussen Rusland en Oekraïne. De wijdverbreide beschikbaarheid van aanvalstools en generatieve AI-modellen heeft ook de technieken voor botontduiking aanzienlijk verbeterd en zelfs laagopgeleide aanvallers in staat gesteld geavanceerde botaanvallen uit te voeren.
Volgens Imperva vormen bots nu een van de meest kritische bedreigingen voor API-beveiliging. Vorig jaar werd 30% van alle API-aanvallen veroorzaakt door geautomatiseerde bedreigingen, waarbij 17% specifiek verband hield met bots die misbruik maakten van kwetsbaarheden in de bedrijfslogica. De groeiende afhankelijkheid van API’s (en hun directe toegang tot gevoelige gegevens) heeft ervoor gezorgd dat ze een belangrijk doelwit zijn geworden voor botoperators. Geautomatiseerd API-misbruik alleen al kost bedrijven nu jaarlijks tot 17,9 miljard dollar. Naarmate bots geavanceerder worden, gebruiken aanvallers ze steeds vaker om API-bedrijfslogica te misbruiken, beveiligingsmaatregelen te omzeilen en gevoelige gegevens te exfiltreren, waardoor detectie en mitigatie voor organisaties een grotere uitdaging worden.
Grote ondernemingen lopen een groter risico
Grote ondernemingen, vooral bedrijven met een jaaromzet van meer dan $1 miljard, worden geconfronteerd met een onevenredig groter risico op API- en botaanvallen. Volgens het rapport hebben deze organisaties twee tot drie keer meer kans op geautomatiseerd API-misbruik door bots dan kleine of middelgrote bedrijven. Deze verhoogde blootstelling wordt voornamelijk veroorzaakt door de complexiteit en schaal van hun digitale infrastructuur.
Deze bedrijven beheren doorgaans honderden of zelfs duizenden API’s verspreid over meerdere afdelingen en diensten, waardoor uitgestrekte API-ecosystemen ontstaan die lastig te monitoren en te beveiligen zijn. Binnen dergelijke omgevingen vormen schaduw-API’s, niet-geverifieerde API’s en verouderde API’s aanzienlijke kwetsbaarheden. Bij deze slecht beheerde API’s ontbreken vaak kritische beveiligingsmaatregelen, zoals regelmatige updates, authenticatie en continue monitoring, waardoor ze vatbaar zijn voor misbruik.
Op dezelfde manier zijn grote ondernemingen een belangrijk doelwit voor botaanvallen vanwege hun uitgebreide digitale aanwezigheid en waardevolle activa. Hoe complexer de digitale omgeving, hoe meer potentiële toegangspunten er zijn voor bots om te exploiteren, variërend van inlogpagina’s tot kassasystemen. Omdat er enorme hoeveelheden gevoelige gegevens door hun applicaties en API’s stromen, zijn deze bedrijven een zeer lucratief doelwit voor botoperators.
Het risico is zelfs nog groter voor bedrijven met een jaaromzet van meer dan 100 miljard dollar, waar API-onveiligheid en botaanvallen maar liefst 26% van alle beveiligingsincidenten vertegenwoordigen. Dit duidelijke cijfer onderstreept de cruciale behoefte aan uitgebreide API-beveiligings- en botbeheerstrategieën in grote ondernemingen, waar een beveiligingsincident kan resulteren in aanzienlijke operationele verstoringen, aanzienlijke financiële verliezen en langdurige reputatieschade.
Bescherming tegen API- en Bot-aanvallen
Samen zijn kwetsbare of onveilige API’s en geautomatiseerd misbruik door bots verantwoordelijk voor miljarden dollars aan jaarlijkse verliezen. Nu bedrijven steeds meer afhankelijk zijn van API’s om digitale transformatie mogelijk te maken, wordt verwacht dat het risico op beveiligingsincidenten zal toenemen, waardoor organisaties een groter risico lopen op financiële schade en reputatieschade. Tegelijkertijd heeft de evolutie van bots, vaak aangedreven door generatieve AI, de uitdagingen bij de verdediging tegen deze bedreigingen vergroot.
Om deze risico’s effectief te beperken, raadt Imperva organisaties aan de volgende proactieve stappen te nemen:
- Bevorder cross-functionele samenwerking: Samenwerking tussen beveiligings- en ontwikkelingsteams is essentieel voor het inbedden van beveiliging in elke fase van de API-levenscyclus. Dit partnerschap zorgt ervoor dat beveiligingsmaatregelen worden geïntegreerd van ontwerp tot implementatie, waardoor proactieve identificatie en beperking van kwetsbaarheden mogelijk wordt voordat ze kunnen worden uitgebuit. Als het om botbeheer gaat, moet deze samenwerking nog verder reiken. Bots vormen een multifunctionele uitdaging die gevolgen heeft voor veel onderdelen van het bedrijf. Om deze effectief te bestrijden moeten teams op het gebied van marketing, e-commerce, klantervaring, IT, Line of Business en beveiliging nauw samenwerken. Deze bredere samenwerking helpt bij het identificeren van kwetsbare functies, zoals inlogpagina’s, betaalprocessen en formulieren, die bijzonder gevoelig zijn voor botaanvallen.
- Uitgebreide API-detectie en -monitoring: Organisaties moeten volledig inzicht hebben in al hun API’s, inclusief schaduw-, verouderde en niet-geverifieerde API’s, om ervoor te zorgen dat er geen enkele over het hoofd wordt gezien. Continue monitoring en auditing zijn essentieel om potentiële kwetsbaarheden te identificeren voordat ze worden uitgebuit.
- Integreer API-beveiliging en botbeheer: Botbeheer en API-beveiliging moeten samen worden gebruikt om geautomatiseerde aanvallen op API-bibliotheken met succes te beperken. Deze gecombineerde aanpak helpt bij het identificeren van kwetsbare API’s, controleert voortdurend op geautomatiseerde aanvallen en biedt bruikbare inzichten voor snelle detectie en respons. Door botbeheer en API-beveiliging te integreren, kunnen bedrijven zich beter beschermen tegen geavanceerde geautomatiseerde bedreigingen en tegelijkertijd inzicht krijgen in het detecteren en beperken van risico’s voordat deze een beveiligingsincident veroorzaken.
Naarmate API-ecosystemen zich blijven uitbreiden en bots geavanceerder worden, zullen de kosten van nietsdoen alleen maar stijgen. Organisaties moeten de beveiligingsrisico’s aanpakken die gepaard gaan met API’s en bots om gevoelige gegevens te beschermen, financiële verliezen te beperken en hun merkreputatie veilig te stellen.
