企業のDX推進に伴い、APIを狙う攻撃は広がり続けている。具体的な攻撃とそれによる被害を専門家が解説する。
Akamai Technologiesでセキュリティ戦略部門の最高技術責任者（CTO）を務めるパトリック・サリバン氏は、API（アプリケーションプログラミングインタフェース）セキュリティの最大の課題は「認証プロセスの構成要素」にあるという。重要なデータへのAPIを使ったアクセスが増加するにつれ、その重要性は高まる。
最近ではAPIが重要なデータにアクセスすることが珍しくなくなった。企業はアジャイル型（小規模な変更を短期間で繰り返す手法）開発を実施する上で、頻繁にAPIを変更するようになった。こうした変化により、APIは攻撃者にとって魅力的な攻撃対象になってきた。「攻撃対象に関する知識を身に付けることがAPIセキュリティの第一歩だ」と、APIセキュリティベンダーSalt SecurityのCEOロエイ・エリヤフ氏は述べる。
セキュリティ専門家によると、攻撃者がAPIを標的とする機会が増えている。調査会社Gartnerは2019年に公開したレポートで、Webアプリケーションの攻撃対象の中心はUI（ユーザーインタフェース）からAPIに移り変わると指摘。Webアプリケーション攻撃においてAPIが標的となる割合が、2019年の40％から2021年末までには90％に上昇すると予測する。
Akamai Technologiesのセキュリティ戦略部門の最高技術責任者（CTO）パトリック・サリバン氏は、防御側である企業よりも攻撃者の方がAPIを重視していると考える。とはいえ企業の間にもAPIセキュリティの改善に向けた機運が高まっている。「企業がAPIセキュリティに注意を払うようになったのは朗報だ。以前はAPIセキュリティをそれほど重視していなかった」とサリバン氏は説明する。
API攻撃が増える前から、エリヤフ氏はAPIがどれほど脆弱（ぜいじゃく）かを目の当たりにしてきた。これまでに起きた幾つかのインシデントの中で同氏が注目していたのは、確定申告用の書類を作成するアプリケーション「TurboTax」のAPIや、ソーシャルネットワーキングサービス（SNS）「Facebook」のAPIなどを狙う攻撃だ。
注目を浴びたAPI攻撃の別の例としては、2018年に発覚したセキュリティベンダーImpervaに対する攻撃がある。これは同社が利用していたクラウドサービス「Amazon Web Services」（AWS）のAPIキーが攻撃者の手に渡り、攻撃者が同社の顧客データを不正入手したというものだ。他の例としては、ミニブログ「Twitter」のAPIの脆弱性を狙った攻撃がある。この脆弱性により、攻撃者がTwitterユーザーのユーザー名と電話番号を入手できる状態になっていた。
エリヤフ氏は、API攻撃増加の主な理由が「急増し始めたDX（デジタルトランスフォーメーション）の加速だ」と考える。「企業がDX推進で活用するIT製品／サービスは、現在のAPIの開発方法や公開方法に合わせて設計されていない」と同氏は説明する。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
脅威の検知と迅速な対応は、セキュリティ戦略の中核をなす重要な機能だ。これを実現するために、多くの組織が自動化ツールやAIなどの技術を採用しているが、成果を挙げている組織もあれば、そうでない組織もあり、明暗が分かれている。
近年、多くの組織が多数のセキュリティ製品をパッチワーク的に導入している。その結果、運用が複雑化し、非効率な状況が生まれてしまった。このような状況を改善するためには、セキュリティベンダーを統合することが必要だ。
データセンターにおいて、NGFWやマルウェア対策といったセキュリティ製品の導入は不可欠だが、選定を誤ると非効率な運用プロセスや高いコストに悩まされることとなる。5つの組織の例から、費用対効果の高い製品を見極めるコツを探る。
ダウンタイムが許されない基幹系システムやデータベースをクラウドに展開している場合、システムの障害対策をベンダー任せにすることは危険だ。本資料では、その理由を解説するとともに、クラウドの障害対策を実施する方法を紹介する。
エンドポイントがサイバー攻撃の対象となるケースも増えている今、企業にはどのような対策が必要なのか。2024年に実施された調査の結果を基に、3つの重大なリスク要因と、その解決策としてサイバーレジリエンスが重要な理由を解説する。
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
「マーケティングオートメーション」 国内売れ筋TOP10（2025年5月）
今週は、マーケティングオートメーション（MA）ツールの売れ筋TOP10を紹介します。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年4月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
ITmediaはアイティメディア株式会社の登録商標です。
