Интерфейсы прикладного программирования (API) уже давно служат невидимой основой онлайн-торговли. Они позволяют ритейлерам легко интегрировать сложную сеть систем электронной коммерции, организуя все: от обработки платежей до логистики доставки и управления запасами. Однако эта взаимосвязанность также сделала сектор розничной торговли прибыльной мишенью для злоумышленников. Только в 2023 году ритейлеры столкнулись с потоком вредоносных запросов к API, составившим 19 миллиардов, и столкнулись с неустанными попытками использовать уязвимости в каждом звене цепочки API, что потенциально может привести к краже данных, сбоям в работе или финансовым потерям.
Сезон возвращения в школу — пиковый сезон для субъектов угроз. Розничные торговцы осознают это уже много лет и обычно усиливают меры безопасности в часы пик покупок. Однако этот подход уже не является надежным. Искушенные злоумышленники в начале года запускают «атаки», чтобы заложить основу для сезонных распродаж, эффективно обходя барьеры безопасности ритейлеров.
Руководитель группы исследования угроз CQ Prime в Cequence Security.
В долгосрочной перспективе
В прошлом киберпреступники отдавали предпочтение методам «разбить и захватить»: простым, оппортунистическим схемам, нацеленным на легкодоступные уязвимости. Однако сегодня они развиваются. Они тратят больше времени и ресурсов на скрытность и растягивают свои атаки на более длительные периоды времени. Они стараются оставаться незамеченными и наносят больший ущерб в часы пик.
Злоумышленники обходят ограничения безопасности, создавая большое количество действительных учетных записей с помощью стандартных API в начале года. Этот продуманный шаг направлен на укрепление доверия и авторитета на рынке, поощрение большего социального обмена и охват задолго до пикового сезона покупок. Злоумышленники используют сложные инструменты и средства автоматизации для повышения легитимности учетных записей и имитации обычных действий пользователей, включая общение с другими учетными записями, лайки контента и подписку на услуги.
Однако масштабы этих операций зачастую превышают человеческие возможности и вызывают обеспокоенность. Возникший в результате поток активности отпугивает законных пользователей и ставит под угрозу целостность компании и ее рынка. Этот тип атаки является примером тщательного планирования и настойчивости современных атак на розничную торговлю.
Помимо долгосрочной стратегии, злоумышленники часто используют тактику реального времени: захват учетных записей (АТО). Вместо того, чтобы тратить время на создание тысяч «законных» учетных записей, ATO стремятся взять под контроль существующие учетные записи клиентов, обеспечивая гораздо более быстрый путь к успеху. Эта угроза постоянна, но неудивительно, что активность возрастает в периоды пиковой активности покупок, при этом во второй половине года количество АТО выросло в 410 раз.
Атаки ботов остаются угрозой
Еще одна проверенная тактика на поле цифровой битвы в розничной торговле — это постоянно развивающиеся атаки ботов. Помните ажиотаж вокруг билетов на концерты или мимолетные тенденции TikTok, подхваченные автоматизированными скриптами? Это лишь верхушка айсберга. Легкость, с которой боты манипулируют системами, вызывает тревогу: подробные темы Reddit, руководства и даже рейтинги «лучших ботов» распространяются по Интернету как грибы. Цифры рисуют мрачную картину: из 154 миллиардов запросов API невероятные 22 миллиарда поступили от ботов.
Вот как работают эти атаки ботов: злоумышленники используют инструменты и средства автоматизации, чтобы наполнить систему большим количеством действий. Они добавляют большое количество востребованных товаров в свои корзины, чтобы доминировать на рынке и отпугнуть законных клиентов от покупок. Успешные атаки приводят к тому, что злоумышленники перепродают эти товары в других местах по непомерным ценам, что еще больше усиливает разочарование покупателей и продавцов.
Что могут сделать ритейлеры, чтобы подготовиться?
Старой модели ужесточения кибербезопасности перед большими распродажами уже недостаточно. Поскольку субъекты угроз готовятся заранее, ритейлеры должны делать то же самое. Разработка комплексной, круглогодичной стратегии безопасности необходима для эффективной борьбы с ростом количества фейковых аккаунтов и других угроз в пиковый сезон.
Учитывая решающую роль API в розничной торговле, компании должны полностью понимать их использование и внедрять комплексные стратегии смягчения последствий. Открытые и неуправляемые API или теневые API считаются легкой добычей для злоумышленников, использующих тактику «разбить и захватить». Видимость имеет первостепенное значение в области безопасности API. Тщательно каталогизируя внутренние и внешние API, розничные продавцы могут получить комплексное представление обо всей поверхности атак и обеспечить соблюдение требований безопасности для всех API. Такая всесторонняя видимость имеет решающее значение для эффективной защиты от быстрых атак и более коварных долгосрочных маневров, защиты розничных операций и повышения доверия клиентов.
Мы перечисляем лучшие платежные шлюзы.
Эта статья была создана в рамках канала Expert Insights от TechRadarPro, где мы демонстрируем лучшие и самые яркие умы в области технологий сегодня. Мнения, выраженные здесь, принадлежат автору и не обязательно отражают точку зрения TechRadarPro или Future plc. Если вы заинтересованы в участии, узнайте больше здесь:
