Le interfacce di programmazione delle applicazioni (API) non hanno un livello di interfaccia utente in grado di rallentare gli hacker. Gli attacchi possono verificarsi quasi istantaneamente e il danno si accumula prima che un sistema di monitoraggio classico possa inviare un avviso. Gli incidenti di sicurezza relativi alle API sono aumentati del 32% su base annua dal 2024 al 2025.

Di seguito analizzeremo come si manifesta in pratica l'uso improprio delle API, i modelli più comuni osservati nelle piattaforme software-as-a-service (SaaS) e di IA, e le strategie per la prevenzione in tempo reale dell'uso improprio delle API.

Punti salienti

• Gli script automatizzati possono colpire direttamente i tuoi endpoint di back-end, il che può causare problemi costosi prima che il monitoraggio standard rilevi l'attacco.

• Le difese a più livelli che uniscono limiti di frequenza, gestione dei bot, segnali dei dispositivi e verifica adattiva sono più efficaci di qualsiasi singolo controllo applicato isolatamente.

• Gli attacchi tramite riutilizzo di credenziali e la frode tramite nuovi account sono fasi collegate della stessa catena di attacco. Le difese relative all'accesso e alla registrazione devono essere progettate e monitorate congiuntamente.

Che cos'è l'uso improprio delle API nei sistemi di registrazione e di prova

L'uso improprio delle API si verifica quando script colpiscono direttamente gli endpoint back-end invece di passare attraverso l'interfaccia utente per cui tali endpoint sono stati progettati (ad esempio, l'API di registrazione, l'API di pagamento oppure il flusso di attivazione delle prove gratuite). Ogni account falso che ottiene token API o un lotto di crediti per l'inferenza comporta un costo di provisioning.

Perché la prevenzione in tempo reale dell'uso improprio delle API è importante per le piattaforme SaaS e di IA

L'uso improprio automatizzato delle API avviene nel giro di pochi secondi, il che significa che danni rilevanti possono già essersi verificati quando un report di sicurezza giornaliero segnala un'anomalia. Se la tua architettura esegue calcoli o richiama un'API di modelli di terze parti durante la registrazione a una prova gratuita, ogni account falso comporta un costo marginale reale. Un attacco che prosegue per 20 minuti a una velocità di 100 registrazioni al minuto crea 2.000 account fraudolenti, ciascuno dei quali può potenzialmente attivare un'allocazione di risorse a valle.

L'uso improprio delle API su larga scala colpisce gli endpoint con un'intensità tale da ridurre la qualità del servizio e incidere sugli utenti legittimi. Il flusso di registrazione rallenta, la coda di verifica si accumula e la capacità di scrittura del database raggiunge la saturazione. Una difesa che identifica un modello di attacco dopo cinque minuti e risponde automaticamente è categoricamente diversa da una che lo mostra in una revisione della dashboard 24 ore dopo.

Quali sono i modelli più comuni di uso improprio delle API nelle piattaforme SaaS e di IA

Gli autori degli attacchi alle API tendono a sfruttare gli endpoint che hai reso intenzionalmente pubblici. Questi modelli di uso improprio si riscontrano costantemente nelle piattaforme SaaS e di IA:

• Creazione automatizzata di account: gli script generano account falsi utilizzando indirizzi email temporanei. Richiamano ripetutamente l'API di registrazione e creano un insieme di account destinati allo sfruttamento ripetuto delle prove gratuite, alla manipolazione della reputazione oppure alla successiva rivendita.

• Sfruttamento ripetuto delle prove gratuite: gli hacker prendono direttamente di mira i crediti per le prove gratuite o le risorse di calcolo allocate. Nelle piattaforme di IA in cui una prova gratuita include crediti per l'inferenza, la creazione di centinaia di account può generare un ritorno significativo.

• Attacchi tramite riutilizzo di credenziali contro gli endpoint di accesso: gli hacker testano combinazioni di nomi utente e password provenienti da database compromessi. Anche un basso tasso di successo può produrre numerosi account compromessi su milioni di combinazioni.

• Elusione dei limiti di frequenza: gli attacchi distribuiti diffondono le richieste su migliaia di indirizzi IP (Internet Protocol) per restare al di sotto delle soglie per singolo IP. Un sistema di limite di frequenza delle richieste che monitora solo gli indirizzi IP non rileverà una botnet che effettua due richieste al minuto distribuite su 10.000 IP.

• Uso improprio degli endpoint di verifica: gli endpoint di conferma tramite SMS ed email rappresentano obiettivi interessanti. Il loro utilizzo improprio può rivelare se determinati account esistono già nel sistema ed esaurire il budget destinato all'invio di SMS.

• Raccolta automatizzata di token: dopo aver creato in massa o compromesso account, gli script raccolgono chiavi API, token di sessione o credenziali OAuth per la rivendita oppure per utilizzarli in attacchi successivi.

Come l'uso improprio delle API è collegato agli attacchi tramite riutilizzo di credenziali e alla frode tramite nuovi account

Gli hacker provano a inserire le coppie di credenziali ricavate da database compromessi nell'API di accesso. Gli accessi riusciti consentono loro di ottenere accesso ad account esistenti. Tuttavia, quando gli attacchi tramite riutilizzo di credenziali diventano meno efficaci perché hai introdotto l'autenticazione a più fattori oppure perché gli utenti non riutilizzano le password, gli stessi hacker si spostano verso l'endpoint di registrazione.

La creazione di nuovi account è spesso più semplice rispetto alla compromissione di quelli esistenti, specialmente quando sono disponibili risorse di prova e la verifica dell'identità è superficiale. L'endpoint di registrazione diventa la via più facile quando che le difese di accesso si rafforzano. Gli hacker utilizzano gli account creati in blocco per ottenere ripetutamente prove gratuite, campagne di spam o uso improprio dei programmi di segnalazione, oppure li vendono come insieme di account già esistenti da tempo. Alcuni creano account in modo preventivo senza utilizzarli immediatamente, attendono che superino i controlli antifrode iniziali prima di attivarli.

Un hacker che sonda il tuo endpoint di accesso apprende la struttura del tuo account, i tuoi messaggi di errore e il comportamento dei tuoi limiti di frequenza. Si tratta di informazioni che userà quando passerà al tuo flusso di registrazione. Le difese di accesso e registrazione progettate separatamente lasciano delle lacune che un attacco coordinato probabilmente individuerà.

Stripe Radar tiene conto di questo problema all'interno dei flussi di pagamento. Mette in relazione il comportamento della carta, i segnali del dispositivo e la cronologia dell'account per rivelare frodi che sembrano legittime quando ogni singolo segnale viene analizzato isolatamente. I segnali correlati lungo la catena di attacco raccontano una dinamica coerente che il monitoraggio a livello di endpoint non riesce del tutto a rilevare.

Quali sono le strategie più comuni per la prevenzione in tempo reale dell'uso improprio delle API

Nessun singolo controllo può impedire l'uso improprio delle API. L'architettura che difende il sistema deve essere a più livelli.

Ecco le tecniche che la tua strategia di protezione dovrebbe includere:

• Limiti di frequenza: i limiti per IP sono il minimo indispensabile. Sono inoltre necessari anche limiti di frequenza delle richieste per account, impronta del dispositivo, dominio email e sessione comportamentale. In questo modo, un attacco distribuito che resta al di sotto della soglia prevista per gli indirizzi IP raggiungerà comunque un limite in un altro livello dell'infrastruttura.

• Gestione dei bot: strumenti dedicati alla gestione dei bot si posizionano davanti alla tua API e classificano il traffico prima che raggiunga il livello applicativo. Utilizzano segnali quali l'impronta del protocollo TLS (Transport Layer Security), il comportamento HTTP/2, la tempistica delle richieste e le anomalie nelle intestazioni per identificare i bot.

• Segnali relativi a dispositivi e identità: acquisisci le impronte dei dispositivi, i punteggi di reputazione IP e i segnali relativi all'identità prima di effettuare il provisioning. Anche la qualità dell'indirizzo email è un segnale significativo.

• Verifica adattiva: la verifica progressiva, in cui i segnali a rischio più elevato attivano la conferma via email, la verifica telefonica o la revisione manuale, protegge dagli usi impropri senza rallentare gli utenti legittimi.

• Rilevamento delle anomalie: definisci un livello di riferimento per il traffico degli endpoint durante periodi normali e imposta un avviso in caso di deviazioni. Gli account che richiamano l'endpoint di attivazione delle prove gratuite immediatamente dopo la creazione senza alcun'altra attività meritano di essere segnalati.

In che modo i team possono monitorare tempo reale gli usi impropri delle API

Per monitorare in tempo reale gli usi impropri delle API, devi individuare i segnali giusti. Presta attenzione a questi segnali comuni di uso improprio delle API:

• Volume delle richieste per codice di risposta: un picco di account appena creati dal tuo endpoint di registrazione è un segnale di attacco. Monitora il volume per endpoint e categorizzalo per codice di risposta, così che i picchi nelle creazioni riuscite siano visibili quanto quelli negli errori.

• Variazioni del tasso di errore sugli endpoint di autenticazione: un improvviso aumento delle risposte con codice di errore, come gli errori 401 Unauthorized negli endpoint di accesso, spesso precede o accompagna gli attacchi tramite riutilizzo di credenziali.

• Distribuzione dei domini email nelle nuove registrazioni: gli utenti reali utilizzano una combinazione di email. Circa il 40% potrebbe utilizzare Gmail, il 20% domini societari e il resto può variare. L'uso improprio sposta questa distribuzione verso domini email temporanei.

• Tempo trascorso dalla registrazione alla prima azione: gli utenti legittimi esplorano il prodotto. I bot completano la registrazione e si fermano oppure richiamano immediatamente specifici endpoint di provisioning. Questa differenza comportamentale è un segnale affidabile quando viene misurata a livello di coorte.

• Variazioni nella distribuzione geografica e degli ASN: un'improvvisa concentrazione del traffico proveniente da specifici numeri di sistema autonomo (ASN), come provider di data center e reti proxy residenziali, è un segnale di allarme.

In che modo Stripe Radar può essere d'aiuto

Stripe Radar è in grado di prevenire le frodi sfruttando modelli di IA addestrati con i dati della rete globale di Stripe. Questi modelli vengono costantemente aggiornati in base alle ultime tendenze, proteggendo costantemente la tua attività da sistemi di frode in continua evoluzione.

Stripe offre anche Radar for Fraud Teams, che consente agli utenti di aggiungere regole personalizzate per affrontare scenari di frode specifici per le loro attività e di accedere a informazioni avanzate sulle frodi.

Radar può aiutare la tua attività a:

• Prevenire le perdite dovute a frodi: Stripe elabora oltre 1.000 miliardi di USD di pagamenti all'anno. Questa portata consente a Radar di individuare e prevenire con precisione le frodi, consentendoti di risparmiare denaro.

• Aumentare i ricavi: i modelli IA di Radar sono addestrati su dati reali relativi a contestazioni, informazioni sui clienti, dati di navigazione e altro. Ciò consente a Radar di identificare le transazioni rischiose e ridurre i falsi positivi, aumentando i tuoi ricavi.

• Risparmiare tempo: Radar è integrato in Stripe e non richiede alcuna riga di codice per essere configurato. Puoi anche monitorare le tue prestazioni antifrode, scrivere regole e altro in un'unica piattaforma, aumentando l'efficienza.

Scopri di più su Stripe Radar, oppure inizia oggi stesso.