多达75%的撞库攻击以API为目标

负责提供安全数字化体验的智能边缘平台阿卡迈技术公司(Akamai Technologies, Inc.，以下简称：Akamai)(NASDAQ：AKAM)于今日发布了《2020年互联网安全状况报告：金融服务--恶意接管尝试》(Akamai 2020 State of the Internet / Security: Financial Services - Hostile Takeover Attempts Report)。研究结果显示，从2019年5月起直到年底，为了绕过安全控制措施，那些最开始以API为目标的犯罪分子的攻击手段发生了巨大变化。根据Akamai的数据，在针对金融服务业发起的撞库攻击中，高达75%的攻击直接以API为目标。

根据该报告的调查结果，2017年12月至2019年11月间，Akamai共观察到85422079109次撞库攻击。而近20%的攻击(即16557875875次)针对的是被明确标识为API端点的主机名，其中有473518955家遭受攻击的公司属于金融服务业。

但并非所有攻击都完全以API为重点攻击目标。2019年8月7日，Akamai记录了一起针对一家金融服务公司的单次最大规模撞库攻击(创造了Akamai的历史记录)，其中包括55141782次恶意登录尝试。这次攻击融合了API定向和其他方法。8月25日，在另一起事件中，犯罪分子直接将API作为攻击目标，连续发起了超过1900万次撞库攻击。

Akamai安全研究员兼《互联网安全状况报告》首席作者Steve Ragan表示：“犯罪分子越来越有创造力，也非常关注获取实施犯罪所需资源的途径。针对金融服务业的犯罪分子正在密切关注该行业公司使用的防御措施，并相应地调整攻击模式。”

这种攻击动态正在不断演变，报告显示犯罪分子不断通过多种方法来挖掘数据，以便在服务器上获得更稳固的立足点，最终让自己的企图得逞。

在报告观察的24个月间，SQL注入(SQLi)攻击在所有垂直市场内观察到的全部攻击中占比超过72%。如果仅观察针对金融服务业的攻击，这一比例减半至36%。针对金融服务业的最主要攻击类型是本地文件包含(LFI)，占观察到流量的47%。

LFI攻击利用了在服务器上运行的各种脚本，因此这类攻击可用于强制泄露敏感信息。LFI攻击还可用于在客户端执行命令(比如容易受到攻击的JavaScript文件)，这可能导致跨站点脚本攻击(XSS)和拒绝服务(DoS)攻击。XSS是针对金融服务的第三大常见攻击类型，Akamai记录了5070万次此类攻击，占观察到的攻击流量的7.7%。

报告还显示，犯罪分子继续利用分布式拒绝服务(DDoS)攻击作为其核心攻击手段，且这一手段在攻击金融服务公司时尤甚。Akamai在2017年11月至2019年10月间的观察显示，在所有行业中，金融服务业遭到的攻击量排名第三，前两位分别是游戏和高科技行业。但是，超过40%的唯一DDoS攻击目标是金融服务业，因此，如果从唯一受害者数量的角度衡量，金融服务业是排名第一的目标行业。

Ragan总结指出：“安全团队需要不断考虑策略、步骤、工作流程和业务需求，同时还要抵御往往组织完备且资金充足的攻击者。我们的数据表明，金融服务机构正在通过采取动态的安全举措来不断提高防御能力，迫使犯罪分子改变攻击策略。”

关键词：