Ciberataques a las APIs se duplicaron en un año y elevan los riesgos para las finanzas abiertas
Notipress.- Los ataques diarios contra las interfaces de programación de aplicaciones (APIs)aumentaron 113% entre 2024 y 2025, al pasar de un promedio de 121 a 258, de acuerdo con cifras presentadas por Akamai. Este crecimiento representa un riesgo para las instituciones financieras que utilizan estas conexiones para procesar pagos, consultar información y ofrecer servicios digitales.
Durante el webinar Open Banking & Open Finance: el desafío de abrir sin perder el control, Juan Carlos Rivera, especialista en ciberseguridad de Akamai para Latinoamérica, explicó que la expansión de las finanzas abiertas incrementa los puntos de acceso a información sensible. También indicó que el 87% de los encuestados en los estudios citados reportó incidentes relacionados con APIs durante el periodo analizado.
El problema no siempre comienza con una contraseña robada. Los atacantes también pueden aprovechar conexiones autorizadas para realizar consultas indebidas sin activar las alertas tradicionales.
Los ataques pueden parecer operaciones legítimas
De acuerdo con los datos expuestos por Rivera, el 61% de los ataques mencionados involucró actividades anormales o flujos no autorizados. Estas operaciones pueden pasar inadvertidas cuando los sistemas de protección únicamente buscan amenazas conocidas.
Una API puede aceptar una solicitud correctamente autenticada y entregar más información de la permitida. Entre los comportamientos que requieren vigilancia destacan:
- Consultas excesivas: extracción de cantidades inusuales de registros.
- Reutilización de tokens: uso repetido de credenciales digitales para mantener el acceso.
- Operaciones fuera de lo habitual: solicitudes desde ubicaciones o con frecuencias poco habituales.
- Abuso de permisos: consultas que exceden las autorizaciones concedidas.
La dificultad radica en que una solicitud técnicamente válida no necesariamente corresponde a una operación legítima.
De 50 a 3,000 registros extraídos
Rivera relató el caso de un cliente que recibía habitualmente consultas desde una aplicación utilizada en México. Cada solicitud devolvía cinco registros, pero se detectó una petición originada en Sudamérica que reutilizó un token para obtener 50.
La institución recibió una alerta sobre la anomalía, aunque su revisión quedó pendiente. Al día siguiente apareció una operación similar desde Asia. “Se llevó tres mil registros”, señaló el especialista.
El incidente muestra cómo una vulnerabilidad puede seguir siendo aprovechada después de su detección. También evidencia la importancia de actuar ante variaciones en el volumen de información solicitada y el origen de las conexiones.
Autenticar usuarios ya no garantiza la seguridad
En los modelos de Open Banking y Open Finance, bancos, aplicaciones y proveedores externos intercambian información mediante integraciones digitales. Cada conexión requiere controles para determinar quién puede acceder a los datos y bajo qué condiciones.
Sin embargo, verificar la identidad de un usuario no basta para impedir que utilice indebidamente una API. Los atacantes pueden estudiar su funcionamiento y aprovechar los límites de autorización para obtener información adicional.
Frente a este escenario, Rivera planteó la necesidad de combinar distintas medidas de protección:
- Mantener un inventario actualizado de las APIs activas.
- Evaluar vulnerabilidades antes de poner nuevas conexiones en funcionamiento.
- Supervisar continuamente las solicitudes y detectar comportamientos anómalos.
- Controlar los permisos de terceros y verificar la vigencia de los consentimientos.
La vigilancia también debe extenderse a las operaciones realizadas con credenciales válidas, especialmente cuando involucran información financiera sensible.
Para las instituciones, el desafío consiste en identificar no solo quién accede a una plataforma, sino qué información consulta y si cada operación respeta los permisos otorgados. Esta capacidad de seguimiento permite detectar abusos que podrían permanecer ocultos detrás de solicitudes aparentemente normales.
