2023年五大API安全事件 | Equixly

TechTarget在《保护API攻击面》中报告称，绝大多数（92%）受访组织在过去12个月内至少发生过一次API安全事件。Traceable和Ponemon研究所的联合研究《2023年API安全状况：API风险现实全球研究》指出，在1629家受访组织中，有60%在过去两年内经历了与API相关的漏洞。

然而，关于API安全事件的公开信息，尤其是技术细节，仍然非常有限。这种情况可以理解，因为没有企业愿意披露可能危及商业机密或影响公众信任的信息。因此，我们对API事件的了解通常发生在数据泄露、财务损失或业务中断等严重后果显现之后。

尽管如此，公开讨论API的安全问题至关重要。这不仅是为了评判，更是为了从过往的错误中吸取教训，避免类似问题再次发生。以下是2023年五大API安全事件的回顾，帮助您了解API滥用的实际情况及其对企业的深远影响。

2023年五大API安全事件

根据统计，2022年Twitter的API漏洞导致540万用户数据泄露，FlexBooker的API漏洞则暴露了3700万用户数据。

2023年，API安全问题依然严峻。以下是五大API安全事件的详细分析。

1. T-Mobile数据泄露事件

T-Mobile因频繁的安全漏洞而臭名昭著，自2018年以来已发生多达8起重大安全事件。2023年1月，该公司再次遭遇攻击，约3700万客户的个人数据被暴露。

暴露的数据包括姓名、出生日期、账单地址、电子邮件地址、电话号码和账户信息等。虽然敏感数据如密码、社保号码和信用卡信息未被泄露，但这些公开数据仍然可能被用于网络钓鱼、账户接管甚至身份欺诈。

攻击者通过T-Mobile的API获得了未经授权的访问权限。此次攻击始于2022年11月25日，但直到2023年1月5日才被发现。这一事件再次凸显了API安全防护的重要性。

2. JumpCloud遭受APT攻击

JumpCloud是一家提供设备、身份和访问管理服务的公司。2023年6月，该公司成为朝鲜黑客组织Lazarus的攻击目标。攻击者通过鱼叉式网络钓鱼诱骗JumpCloud的工程师下载恶意代码，从而获得了特权访问权限。

原文链接: https://equixly.com/blog/2024/01/05/top-5-api-security-incidents-of-2023/