As equipes de cibersegurança das empresas voltaram sua atenção para a segurança de APIs, e com razão. Na economia digital, as APIs são a porta de entrada para os negócios, um ponto de acesso para dispositivos de IoT, aplicativos web e móveis e, cada vez mais, para aplicações baseadas em IA que estão transformando a forma como fazemos negócios. Infelizmente, as APIs também são a porta de entrada para criminosos, muitos dos quais recorrem a bots para realizar ataques. Portanto, é fundamental que as equipes de segurança protejam as APIs e mitiguem os bots usados para atacá-las.
A lista das dez principais vulnerabilidades de segurança de APIs da OWASP identifica claramente o papel central que os bots desempenham em ataques a APIs. Três das dez principais vulnerabilidades de APIs estão diretamente relacionadas a bots:
- Falha na autenticação: bots comprometem a autenticação por meio de ataques de força bruta, de dicionário e de preenchimento de credenciais que resultam em invasões de contas, fraudes, perdas financeiras e clientes insatisfeitos.
- Consumo Irrestrito de Recursos: os bots se aproveitam do consumo irrestrito de recursos, esgotando a memória e a capacidade de processamento das APIs. Quando os bots têm como alvo APIs projetadas para uso por aplicativos interativos (aplicativos web e móveis usados por pessoas), o impacto no desempenho e nos custos pode ser catastrófico.
- Acesso irrestrito a fluxos de negócios sensíveis: O acesso excessivo a determinados fluxos de negócios pode prejudicar a empresa. Revendedores não autorizados podem esgotar o estoque de produtos e revendê-los por um preço significativamente mais alto. Spammers podem explorar um fluxo de comentários/publicações. Invasores podem usar um sistema de reservas para reservar todos os horários disponíveis. Nesses casos, bots são utilizados para explorar esses fluxos de negócios.
Em seu livro Hacking APIs: Breaking Web Application Programming Interfaces, o renomado especialista em segurança cibernética e APIs Corey J. Ball explica como ferramentas automatizadas de descoberta de APIs (OWASP ZAP, Gobuster, Kiterunner) e fuzzing (Postman, Wfuzz e Burp Suite) podem ser usadas por invasores para enviar milhares de solicitações a APIs em busca de vulnerabilidades. É necessário implementar o gerenciamento de bots para identificar tentativas de sondagem e reduzir sua eficácia.
Os bots não afetam todas as APIs da mesma forma. Normalmente, as APIs são protegidas por TLS mútuo, portanto, o risco de falhas de autenticação é baixo, e a limitação de taxa pode ser aplicada por cliente autenticado. As APIs que esperam tráfego apenas de aplicativos interativos para Web e dispositivos móveis são as mais vulneráveis a bots.
A defesa contra bots tem se tornado cada vez mais difícil para APIs que esperam tráfego iniciado por humanos. As bibliotecas de código aberto facilitam evitar a detecção por meio da identificação de cabeçalhos, e serviços para burlar CAPTCHAs e usar proxies para encaminhar solicitações por redes que contêm dezenas de milhões de endereços IP residenciais estão amplamente disponíveis para operadores de bots. Técnicas antigas de análise de cabeçalhos, listas de bloqueio de IPs e CAPTCHA não são mais eficazes, o que significa que as equipes de segurança de aplicações que buscam mitigar bots precisam recorrer à coleta abrangente de sinais no lado do cliente, utilizando JavaScript e SDKs para dispositivos móveis, além de aprendizado de máquina sofisticado para distinguir ferramentas de ataque e comportamentos de bots.
À medida que as aplicações de IA se tornam mais amplamente utilizadas, será fundamental proteger as APIs e esses endpoints contra ataques automatizados. Em resposta, a OWASP publicou sua lista Os 10 principais riscos e medidas de mitigação de 2025 para LLMs e aplicações de IA generativa. Para saber mais, confira minha publicação recente, Como os bots atacam modelos de linguagem de grande porte.
Quais APIs da sua organização estão vulneráveis a bots? Qual é a probabilidade de ataque e qual seria o custo do impacto? Como projetar controles de segurança que garantam a proteção necessária contra bots? Essas são questões importantes a serem abordadas na modelagem de ameaças. Para saber mais sobre o impacto dos bots nos negócios, leia o white paper da F5 sobre o tema ou solicite uma consultoria gratuita
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...