Salt Security heeft de resultaten bekendgemaakt van haar onderzoek dat zich specifiek richt op de financiële sector.
Het onderzoek – State of API Security for Financial Services and Insurance 2023 – toont aan dat cybercriminelen zich steeds actiever richten op API’s van financiële instellingen en verzekeringsmaatschappijen. De onderzoekers zagen een toename van 244% in unieke aanvallen tussen de eerste en tweede helft van vorig jaar. Bovendien meldde maar liefst 92% van de respondenten dat ze het afgelopen jaar geconfronteerd werden met een ernstig beveiligingsprobleem in productie-API’s. Bijna één op de vijf organisaties heeft daadwerkelijk te maken gehad met een inbreuk via de API’s.
Andere belangrijke bevindingen uit het onderzoek zijn:
- 69% van de respondenten uit de financiële dienstverlening en verzekeringssector geeft aan dat ze vertragingen bij implementaties hebben ervaren door van API-security problemen;
- 17% van de respondenten heeft te maken gehad met een API-gerelateerde inbreuken;
- 84% van de cyberaanvallen tegen de financiële dienstverlening en verzekeringssectoren kwam via ‘geauthentiseerde’ gebruikers die legitiem leken, maar in werkelijkheid cybercriminelen waren.
- 71% van de respondenten uit de financiële en verzekeringssector geeft aan dat hun bestaande tools niet erg effectief zijn in het voorkomen van API-aanvallen.
- Meer dan 25% van de respondenten geeft aan dat ze op dit moment geen API-strategie hebben.
“API’s zijn essentieel voor de innovatieve digitale diensten die financiële en verzekeringsorganisaties tegenwoordig leveren,” zegt Roey Eliyahu, CEO en co-founder van Salt Security. “Doordat API’s gevoelige klant- en financiële informatie delen, zijn cybercriminelen zich ervan bewust dat deze data een waardevolle bron vormen voor diefstal en fraude. De bevindingen tonen aan dat deze bedrijven te maken hebben met een aanzienlijke toename van cybercriminelen en andere security problemen, wat hun kwetsbaarheid voor API-gerelateerde incidenten vergroot.”
API’s beveiligen om nieuwe digitale diensten te beschermen is een bedrijfsprioriteit
Inbreuken bij API’s kunnen bedrijven geld kosten in de vorm van boetes, verlies van vertrouwen bij klanten en reputatieschade. Ook vertragingen bij het uitrollen of terugdraaien van nieuwe applicaties zijn kostbaar. Gezien het belang van digitale diensten binnen de financiële dienstverlening en verzekeringssector, is API-security een kritiek punt geworden. Dit blijkt uit de volgende bevindingen:
- 56% van de respondenten zegt dat API-security een kwestie is op C-level niveau;
- 79% van de CISO’s zegt dat API-security nu een hogere prioriteit heeft dan twee jaar geleden;
- 76% van de CISO’s zegt dat hun organisatie API-security als prioriteit ziet voor de komende twee jaar, waarbij 13% zegt dat het zelfs een cruciale prioriteit is.
Ondanks toenemende cyberaanvallen bieden financiële dienstverleners en verzekeraars onvoldoende bescherming voor API’s
Respondenten zeggen dat ze niet voorbereid zijn of niet de juiste maatregelen nemen om API’s te beschermen tegen bedreigingen:
- 28% van de respondenten – die allemaal API’s in productie hebben – zegt geen API-strategie te hebben;
- 42% van de respondenten heeft er weinig vertrouwen in dat ze begrijpen welke API’s PII blootstellen;
- Slechts 13% van de respondenten vindt dat hun API-security programma’s geavanceerd zijn
- 25% van de respondenten zegt dat hun huidige API-security strategie niet genoeg tijd besteedt aan het documenteren van API’s;
- Slechts 42% van de respondenten identificeert API lekken tijdens productie/runtime.
Respondenten noemden ook zombie API’s als hun grootste zorg op het gebied van API-security (48%). De tweede grootste zorg (bijna 35%) die werd genoemd waren account takeovers (ATO).
Andere opvallende bevindingen uit het onderzoek zijn:
- 9% van de API-aanvallen op financiële instellingen en verzekeringsmaatschappijen waren gericht op interne API’s. Dit komt neer op een stijging van 613% tussen de eerste en tweede helft van vorig jaar;
- 61% van de respondenten beheert meer dan 100 API’s, en 36% beheert er meer dan 500;
- 27% zegt dat ze hun API’s het afgelopen jaar meer dan hebben verdubbeld;
- Respondenten hechten de meeste waarde aan de mogelijkheid om cyberaanvallen te stoppen Voor respondenten heeft het stoppen van aanvallen (49%) de hoogste prioriteit binnen een API Protection Platform, gevolgd door het voldoen aan nalevings- en regelgevingseisen (48%).
- Hoewel 36% van de respondenten hun API’s minstens wekelijks bijwerkt, geldt dit slechts voor 10% van hen voor de documentatie.
Methodologie
Het rapport “The State of API Security for Financial Services and Insurance” is samengesteld aan de hand van de volgende bronnen:
- Data uit het ‘State of API Security Report – Q1 2023;
- Klantdata uit het op Cloud gebaseerde data lake van het Salt Security API Protection Platform;
- Het onafhankelijke onderzoek ‘State of the CISO 2023;
- Kwetsbaarheidsonderzoek van Salt Labs, het onderzoeksteam van Salt Security.
Het volledige onderzoek kunt u hier downloaden
