Akamai Technologies, Inc. meluncurkan laporan State of the Internet (SOTI) yang menyoroti bahwa berbagai sektor bisnis, terutama produsen di kawasan Asia-Pasifik dan Jepang (APJ), menghadapi risiko terbesar dari para penjahat siber yang terus-menerus mengeksploitasi API untuk melakukan serangan.
Lurking in the Shadows: Attack Trends Shine Light on API Threats (Mengintai dalam Gelap: Tren Serangan Menunjukkan Ancaman API) menyoroti beragam serangan yang mengincar API dan menemukan bahwa 15 persen dari keseluruhan serangan web di kawasan APJ pada periode Januari hingga Desember 2023 menyerang API.
Sektor manufaktur di kawasan APJ memiliki risiko terbesar, dan telah mengalami sebagian besar serangan pada API di seluruh industrinya, yang merepresentasikan hampir sepertiga (31,2 persen) dari seluruh serangan web. Akamai memprediksi serangan akan terus melonjak seiring dengan naiknya permintaan penggunaan API.
Kondisi ini mendesak berbagai organisasi untuk segera memprioritaskan pengamanan API mereka – jika tidak, risiko kebobolan akan semakin besar.
API memungkinkan perangkat lunak, sistem, dan perangkat untuk berkomunikasi antara satu sama lain, dan merupakan hal yang penting bagi sebagian besar organisasi berkat peningkatan pengalaman karyawan dan pelanggan yang diberikan. API sangat bernilai tinggi bagi produsen, karena ia memungkinkan penggunaan perangkat Internet of Things industri untuk meningkatkan efisiensi, mempercepat produksi, serta mengaktifkan pengelolaan pabrik dan inventori secara real-time. Sayangnya, inovasi digital ini dan perluasan ekonomi API yang pesat telah membuka peluang baru bagi para penjahat siber.
Keberhasilan serangan terhadap produsen di kawasan APJ dapat menimbulkan dampak serius di seluruh dunia, mengingat peran penting Asia sebagai pusat manufaktur global.
“API menjadi semakin penting bagi para organisasi, tetapi hal ini juga memunculkan tantangan untuk melindungi API secara efektif, karena aspek keamanan sering kali tidak dilibatkan secara tepat pada proses pengembangan dan penerapan cepat pada teknologi yang lebih baru seperti API,” ujar Reuben Koh, Security Technology and Strategy Director (APJ), Akamai. “Seiring dengan meluasnya penggunaan API oleh produsen untuk memungkinkan pemantauan produksi, perawatan prediktif, dan optimasi biaya secara real-time, mereka harus lebih sadar akan risiko yang dihadapi.”
Lurking in the Shadows menganalisis sejumlah area masalah yang paling umum terkait tantangan postur dan waktu peluncuran. Temuan-temuan penting lainnya dalam laporan ini mencakup:
- Sektor utama yang mengalami serangan web bertarget API dengan persentase tertinggi adalah manufaktur sebesar 31,2%, diikuti gaming sebesar 25,2%, teknologi mutakhir sebesar 24,4%, media video sebesar 24,0%, dan perdagangan sebesar 22,3%.
- Lima wilayah teratas dengan persentase serangan web tertinggi pada API tertinggi adalah Korea Selatan sebesar 47,9%, Indonesia sebesar 39,6%, Wilayah Administrasi Khusus Hong Kong sebesar 38,7%, Malaysia sebesar 26,4%, dan Jepang sebesar 23,4%. Kemudian diikuti oleh India (19,0%), Australia (15,6%), Singapura (5,8%), Filipina (5,5%), dan Selandia Baru (4,8%).
- Di APJ, metode serangan paling umum meliputi Local File Inclusion (LFI) sebesar 16,8%, Server-Side Request Forgery (SSRF) sebesar 11,8%, dan Web Attack Tool (WAT) sebesar 10,4%. Penyerang juga cenderung menggunakan vektor baru, seperti CMDi sebesar 9,1%, yang menekankan bahwa para lawan ini terus menerus mencari metode dan cara baru untuk mengeksploitasi target.
- Penyalahgunaan logika bisnis merupakan masalah penting, karena mendeteksi aktivitas abnormal API tanpa menetapkan garis dasar perilaku API sangatlah menantang. Para organisasi di APJ yang tidak memiliki solusi pemantauan anomali pada aktivitas API memiliki risiko serangan waktu peluncuran seperti pengorekan data — vektor pembobolan data baru yang menggunakan API terotentikasi untuk mengorek data dari dalam secara perlahan.
- Permintaan bot juga menjadi masalah di APJ – hampir setengah dari dua triliun lebih permintaan bot yang mencurigakan menyasar API.
- API juga menjadi pusat dari sebagian besar transformasi digital saat ini, sehingga penting bagi para bisnis di APJ untuk memahami tren industri dan ancaman relevan mereka, seperti serangan penipuan loyalitas, penyalahgunaan, otorisasi, dan carding.
- Para organisasi di APJ perlu memikirkan syarat kepatuhan dan legislasi yang timbul di awal proses strategi keamanan mereka untuk menghindari perlunya pembangunan arsitektur ulang. Contoh dari hal ini meliputi bagian 6 dari Payment Card Industry Data Security Standard (Standar Keamanan Data Industri Kartu Pembayaran/PCI DSS) v4.0 pada standar API yang baru.
“Para perusahaan di APJ harus memastikan bahwa API yang mereka gunakan dirancang dan didokumentasikan secara tepat – dan memiliki visibilitas yang menyeluruh terhadap tujuan serta risiko yang ditimbulkannya.” ujar Koh.
“Para bisnis juga perlu terus menyimak serangan API – khususnya yang baru muncul seperti penyalahgunaan logika bisnis API – serta mengikuti panduan industri untuk melindungi dari kesalahan konfigurasi dan kerentanan. Laporan baru kami menyediakan pengetahuan utama untuk membantu para organisasi memanfaatkan praktik terbaik guna meningkatkan keamanan, seiring dengan penggunaan API yang semakin lazim di seluruh industri,” pungkasnya.
