En los últimos años, el mercado de consumo de Latinoamérica ha demostrado una tendencia de crecimiento constante, lo que ha tenido un impacto directo en el comercio electrónico con resultados sorprendentes en temporadas de mayor venta, como el Black Friday. Ante este auge, los ciberdelincuentes están aprovechando la situación para acceder a datos en APIs desprotegidas y robar información de tarjetas de crédito, desviar fondos de programas de fidelización y lanzar ataques de Credential Stuffing.
Según las previsiones de Euromonitor, las ventas minoristas totales en América Latina registrarán una tasa de crecimiento anual compuesta (TCAC) del 6% entre 2024 y 2028. Durante ese mismo periodo, se espera que la TCAC sea del 11% para las ventas en línea y del 5 % para las ventas tradicionales. Las ventas en línea pasarán de representar el 12,3% del total de las ventas minoristas en América Latina en 2023 al 15,9% en 2028.
El mismo estudio destaca que Brasil y México juntos representaron aproximadamente dos tercios de la cuota de mercado del comercio electrónico en 2023, seguidos de Argentina (9%), Chile (6%), Colombia (6%) y Perú (3%). En conjunto, estos seis países representaron más de 110.000 millones de dólares en ventas minoristas de comercio electrónico en América Latina.
Debido al volumen de negocio que suelen generar en esta temporada, los cibercriminales aprovechan el Black Friday para lanzar ciberataques contra las tiendas en línea. En concreto, los ataques a API de empresas de comercio electrónico y retail están cobrando relevancia y aumentando en alcance, escala y sofisticación. Entre estos se incluyen los ataques de bots impulsados por IA generativa, que se adaptan rápidamente para eludir las herramientas de seguridad de API tradicionales y otras defensas perimetrales.
Las API se están convirtiendo en un elemento imprescindible para el éxito de los comercios electrónicos, ya que permiten la comunicación entre diferentes sistemas de software, lo que automatiza procesos, mejora la experiencia del cliente y amplía el alcance del negocio.
Su importancia radica en que facilitan la sincronización de datos —como inventario y pedidos—, la personalización de ofertas, la integración de pagos y la gestión de envíos y logística de manera eficiente y segura.
El Estudio sobre el impacto de la seguridad de API de 2024: Comercio electrónico y sector retail, realizado por Akamai, revela que el 68% de los encuestados afirma haber experimentado incidentes de seguridad relacionados con las API en los últimos doce meses. Los profesionales del comercio electrónico y del sector minorista estiman un gasto promedio de 526.531 dólares por incidente de API. Por otro lado, las principales prioridades en materia de seguridad para empresas similares del sector para los próximos 12 meses son “defenderse de los ataques impulsados por IA generativa» y «proteger las API de los atacantes”.
Dicha investigación cita un dato relevante del informe Gartner Market Guide for API Protection de mayo de 2024, que expone que, en promedio, se filtran 10 veces más datos confidenciales cuando se ataca una API que con cualquier otro tipo de vulneración. Por este motivo, no es de extrañar que la normativa PCI DSS v4.0 haya agregado requisitos relacionados con la seguridad de las API. Tanto los comercios electrónicos como sus reguladores deben saber qué tipo de datos se transmiten a través de sus propias API y de las de sus socios y proveedores, lo que supone otro reto para la gestión del riesgo de terceros en el sector del comercio electrónico.
Los negocios online que se están preparando para el Black Friday y les advierte de que no se confíen, ya que podrían ser víctimas de la ciberdelincuencia. Para evitarlo, deben adoptar las medidas de seguridad correspondientes para proteger sus API y los datos que intercambian, lo que les permitirá proteger sus ingresos. Para mitigar con éxito las amenazas a la seguridad de las API, las organizaciones deben adoptar varias medidas de seguridad:
- El uso de métodos de autenticación sólidos, como OAuth y la autenticación multifactorial (MFA), puede ayudar a garantizar que solo los usuarios autorizados tengan acceso.
- El monitoreo del tráfico de las API permite detectar abusos, incluso cuando operan dentro de parámetros normales.
- Evaluar las vulnerabilidades de una API antes de ponerla en producción es una forma de proteger su ciclo de vida desde el principio.
- La validación de todos los datos de entrada previene los ataques de inyección SQL o de exposición de información sensible.
- La realización de auditorías y pruebas de seguridad periódicas permite identificar y abordar las vulnerabilidades antes de que los atacantes puedan aprovecharlas.
- El uso de soluciones de gestión y puerta de enlace de API ofrece un control centralizado sobre la seguridad de las API.
Por último, Akamai recomienda a las empresas que utilicen soluciones que refuercen la seguridad de las API mediante la identificación y corrección de los puntos débiles de autenticación, la neutralización de los ataques automatizados y la emisión de alertas proactivas sobre intentos de ataque.
