Wallarm、2024年Q3のAPI ThreatStatsレポートを公開。重大なAPIセキュリティの脅威が明らかに

2024年10月23日—サンフランシスコ（カリフォルニア州） — WallarmはAPIセキュリティのグローバルリーダーとして、本日2024年Q3向けのAPI ThreatStats Report を公開し、世界中の業界に影響を与えるAPIの脆弱性増加や侵害に関する重要な知見を明らかにしました。本レポートでは、さまざまな業界でAPIの脆弱性が増加し、APIがアクセスしやすく貴重なデータを扱うことから攻撃者がAPIを標的とする脅威状況が拡大していることが確認されています。

‍

「今期、多岐にわたる業界でAPI関連のセキュリティ欠陥が急増しており、APIセキュリティが本当に横断的な課題であることを改めて実感しました」と、WallarmのCEO兼共同創設者であるIvan Novikovは述べています。「さらに、脆弱性の32%がクラウドネイティブなソフトウェアに関連しており、クラウドインフラや関連するAPIがサイバー犯罪者にとって一段と魅力的な標的になっていることを示しています。この傾向は、企業が重要な業務をクラウドに移行し続ける中で、堅牢なセキュリティ対策の必要性がますます高まっていることを示しています。」sl

‍

Wallarmのリサーチチームは、2024年の第2四半期からAPIの脆弱性が21%増加したことを特定しました。さらに、これらの脆弱性はCVSS（Common Vulnerability Scoring System）の平均スコアが7となっており、中には7.5という高スコアを記録するケースも多く見られ、高い重大度とAPIの脆弱性が攻撃者に悪用されやすい状況を示しています。今回明らかになった脆弱性の大幅な増加は、APIが複数の業界で依然としてサイバー攻撃の主要な標的となっている脅威の拡大を浮き彫りにしています。

‍

APIに関するQ3のデータ侵害で注目すべきポイント:

• クライアントサイドAPIの脆弱性が潜在的リスクを露呈 OWASP API Top-10には含まれない問題: 今期に発生したHotjar、Business Insider、Explore Talentなどの侵害の多くは、OAuthの設定ミスやクロスサイトスクリプティング（XSS）といったクライアントサイドのAPIの欠陥から始まっており、OWASP API Top-10では十分に扱われていません。開発者はOAuthをセキュリティの向上策と考えがちですが、設定ミスによってアカウントの乗っ取りや大規模なデータ流出を招く致命的な弱点となります。これらの事例は、クライアントサイドのAPIセキュリティへの注目と、侵害を防ぐための専用アプローチが必要であることを示しています。

• APIの設定ミスが被害規模を拡大: 認証や認可が脆弱なAPIをはじめ、十分に守られていないAPIは大規模な侵害を引き起こします。攻撃者がデータセット全体にアクセスして一括ダウンロードできてしまうためです。このことは、Deutsche TelekomやFractal IDで起きた事例に明白であり、認証されていないAPIアクセスによって、大量の個人情報や料金情報、ユーザー追跡データが悪用されました。従来のマルウェアによる攻撃ではデータの一部が偶発的に狙われることがありますが、APIを利用した侵害ではデータ全体が抽出されるため、その影響ははるかに深刻です。

• さまざまな業界に共通する脆弱なリンクとしてのAPI: 今夏に発生した侵害事例は、通信業界（Deutsche Telekom）や運輸業界（Metro Pacific Tollways Corporation）、ブロックチェーンやWeb3プラットフォーム（Fractal ID）など、多様な分野にまたがっていました。どの業界も例外ではなく、APIの脆弱性は従来のテック分野から先端領域まで普遍的な課題であることが示されています。APIを守るためには、変化する攻撃手法に対応した継続的かつ業界全体の取り組みが求められます。

‍

本レポートが詳述するように、今期のもう一つの重要な発見はAIシステムにおけるAPIセキュリティの重要な役割です。APIなしにAIは成り立たず、モデルやデータ、インフラをつなぐ不可欠な存在となっています。APIの脆弱性はAIの機能に直接影響を与え、またAI機能がAPIに新たな脆弱性をもたらす可能性もあります。相互に深く関連するAIの脆弱性とAPIの脆弱性に対処することが、包括的なセキュリティを実現する上で必須となります。

APIの脆弱性が増えている現状は、企業が警戒を怠らず、包括的なAPIセキュリティ対策に投資する緊急性を示しています。Wallarmは、マルチクラウド、クラウドネイティブ、オンプレミスなどあらゆる環境で、APIとウェブアプリ全体を守る最高水準のAPI防御と即時ブロック機能を一元化した唯一のソリューションであり、拡大し続ける脅威に対抗する力を企業に提供します。

全文のAPI ThreatStats Q3 2024 Reportをダウンロードするには、http://www.wallarm.com/resources/q324-api-threatstats-reportをご覧ください。

‍