APIs 将商店与市场和系统连接起来。如果保护不足，它们很快就会成为在线商店及其客户的安全隐患。
在线零售商利用 API 无缝连接各种电子商务系统：数据库 API 调用提供搜索结果，加载数字购物车会生成基于 API 的结账流程并进行信用卡验证，而购买行为则通过第三方 API 触发电子邮件和发货确认。应用程序编程接口（Application Programming Interfaces，简称 API）在提升客户体验方面发挥着重要作用，是成功开展在线业务不可或缺的一部分。
然而，日益增长的使用也带来了负面影响：IT安全风险正在上升。因此，API在去年成为主要的攻击目标之一。除了专门寻找入侵途径的黑客外，自动化的机器人攻击构成了巨大风险。这些机器人被设计为能够自动化且往往在未被察觉的情况下对接口执行成千上万次的攻击。激增的攻击数量不仅针对单一漏洞，而是直接瞄准所有目标。当API遭受此类攻击时，可能导致数据泄露和严重的业务运营中断。
在线商店面临的四种典型 API 风险
- 最常见的应用场景之一是所谓的账户接管（ATO）。在此过程中，攻击者针对登录API，以获取合法用户账户的控制权。过去，攻击者随机测试凭据，但现在他们也开始使用被盗或泄露的用户数据和密码。这提高了攻击者的成功率，并增加了受影响企业发现攻击的难度。
- 礼品卡/代金券风险：在发生账户接管后，攻击者可以查询由该账户服务的API服务中的礼品卡余额，以便将这些信息出售或直接通过该账户非法购买商品。除了礼品卡和代金券的滥用外，忠诚度和奖励计划也成为此类网络攻击的目标。
- 与礼品卡盗窃不同，信用卡欺诈通常持续更长的时间。在此类攻击中，骗子利用免费的电子邮件服务（如Google邮箱）创建所谓的虚假账户。随后，这些虚假账户用于验证购物车/结账流程中的 stolen 信用卡数据，并将其用于在线欺诈。
- 购物机器人：此外，机器人自动化技术还常被用于所谓的“抢购套利”（Scalping）。 抢购套利 抢购套利”。未知用户（机器人）会在商店中以极快的速度大量抢购热门商品，随后在平台上转售。这对顾客来说非常令人烦恼，尤其是当这种情况持续很长时间时。例如，第五代索尼 PlayStation 曾连续数周缺货，但在交易平台上却以高于建议零售价（399 至 499 欧元）数百欧元的价格出售。如今，“机器人即服务”（Bots-as-a-Service）已将机器人的可用性商业化，使其能够专门用于闪电销售等场景。
零售商 API 安全检查清单
为什么零售商难以抵御这些攻击？许多由商店运营商采用的 Web 或 API 安全措施在应对此类自动化攻击时效果有限。原因在于，他们缺乏自动且持续地对 API 进行清点（即发现和记录）的能力。因此，企业往往对其系统中潜伏的、理论上构成安全风险的 API 感到惊讶。有效的保护需要一个整体方法，从接口的发现开始。
第一步：了解 API
企业内部运行着多少 API？如果从攻击者的视角来审视 API，就能获得对内部和公开暴露的 API 的全面概览。这有助于降低来自影子 API 或过时 API 的风险。编码错误可能导致数据丢失或业务中断。
第二步：测试与合规
借助生成式 AI 支持的 API 安全测试（结合适当的 API 测试），IT 团队可以发现并修复潜在漏洞。这样，企业能更快地确保其 API 符合合规要求，且不泄露敏感数据。
第三步：监控与保护
为了保护API免受整个自动化攻击谱系的全面威胁，在线零售商如今需要自动化工具来检测威胁，并配备无缝机制以化解潜在风险。
对于电子商务运营商而言，实施高标准的组织与技术API保护至关重要。仅在德国，就有94%的受访在线商店表示，过去曾遭遇过欺诈企图。专家圈估计由此造成的损失高达18亿欧元。通过全面的API安全概念，可以防止由机器人引发的各类干扰，例如网站宕机、扭曲的销售分析、因客户不满而造成的品牌与形象损害，以及失控的基础设施成本。
作者：Mario van Riesen负责Cequence Security在DACH地区（德国、奥地利、瑞士）以及中欧和东欧地区的销售活动。van Riesen在IT和安全领域已有超过25年的从业经验，其专长在于围绕API安全的 expertise。