Crédito: Freepick

 A F5 Network, empresa americana de segurança, afirma que 55% das violações em 2020 foram contra APIs do mercado financeiro, segundo pesquisa que retrata incidentes mapeados nos últimos dois anos na plataforma do open banking em diversos países. Enquanto apenas 4% de APIs em ecossistemas como varejo, governo, educação foram alvos de golpes.

Para a realização do estudo, concluído em junho, foram mapeados ataques contra bancos, seguradoras, fintechs, processadoras de pagamentos, corretoras de valores e fundos de investimentos de todo o mundo, apontando os riscos escondidos nos ecossistemas de Open Banking,

Conforme Ewerton Vieira, diretor de soluções de engenharia da F5 Latin America, o maior volume de ataques foram gerados a partir de dispositivos móveis. “Com o aumento do uso de smartphone como ponto de acesso aos apps de bancos, fintechs e corretoras, é natural que as gangues digitais explorem as fragilidades das APIs que promovem as trocas de dados entre essas aplicações móveis”, diz.

Roubo de credenciais

Segundo ele, 56% da atividade criminosa focada em APIs de apps móveis de finanças dedica-se a roubo de credenciais, 11% exploram as APIs para gerar ataques de negação de serviços DoS e 33% são focados em ecossistemas de finanças baseados na arquitetura open source, Open Finance Exchange (OFX). A heterogeneidade das empresas no que diz respeito ao modelo de negócio e à maturidade digital foi um outro ponto de fragilidade apresentada no ambiente Open Banking.

Conforme o relatório, 56% dos ataques direcionados, por exemplo, às empresas processadoras de pagamentos, são de negação de serviço (DoS). O objetivo desse tipo de ataque é derrubar os serviços da empresa, levando o consumidor que tenta efetuar o pagamento com cartão de crédito a desistir desse meio para completar a transação.

Com relação às fintechs, segundo Vieira, os ataques tomam outra dimensão. “Enquanto a estrutura digital da processadora de pagamentos é tipicamente privada e com endereços IP mais limitados, as fintechs que operam mais em nuvem e contam com uma miríade de endereços IP acabam sendo mais atacadas”, observa. Segundo ele,  38% são tentativas de roubos de credenciais, 25% ataques volumétricos DoS, 13% contra aplicações Web e 25% outros tipos de violações. (assessoria de imprensa).