Akamai:针对金融服务的撞库攻击75%以API为目标
【TechWeb】2月21日,阿卡迈技术公司今日发布了《2020年互联网安全状况报告:金融服务——恶意接管尝试》(Akamai 2020 State of the Internet / Security: Financial Services – Hostile Takeover Attempts Report)。
根据Akamai的数据,在针对金融服务业发起的撞库攻击中,高达75%的攻击直接以API为目标。
根据该报告的调查结果,2017年12月至2019年11月间,Akamai共观察到85422079109次撞库攻击。而近20%的攻击(即16557875875次)针对的是被明确标识为API端点的主机名,其中有473518955家遭受攻击的公司属于金融服务业。
但并非所有攻击都完全以API为重点攻击目标。2019年8月7日,Akamai记录了一起针对一家金融服务公司的单次最大规模撞库攻击(创造了Akamai的历史记录),其中包括55141782次恶意登录尝试。这次攻击融合了API定向和其他方法。8月25日,在另一起事件中,犯罪分子直接将API作为攻击目标,连续发起了超过1900万次撞库攻击。
Akamai安全研究员兼《互联网安全状况报告》首席作者Steve Ragan表示:“犯罪分子越来越有创造力,也非常关注获取实施犯罪所需资源的途径。针对金融服务业的犯罪分子正在密切关注该行业公司使用的防御措施,并相应地调整攻击模式。”
这种攻击动态正在不断演变,报告显示犯罪分子不断通过多种方法来挖掘数据,以便在服务器上获得更稳固的立足点,最终让自己的企图得逞。
在报告观察的24个月间,SQL注入(SQLi)攻击在所有垂直市场内观察到的全部攻击中占比超过72%。如果仅观察针对金融服务业的攻击,这一比例减半至36%。针对金融服务业的最主要攻击类型是本地文件包含(LFI),占观察到流量的47%。
LFI攻击利用了在服务器上运行的各种脚本,因此这类攻击可用于强制泄露敏感信息。LFI攻击还可用于在客户端执行命令(比如容易受到攻击的JavaScript文件),这可能导致跨站点脚本攻击(XSS)和拒绝服务(DoS)攻击。XSS是针对金融服务的第三大常见攻击类型,Akamai记录了5070万次此类攻击,占观察到的攻击流量的7.7%。
报告还显示,犯罪分子继续利用分布式拒绝服务(DDoS)攻击作为其核心攻击手段,且这一手段在攻击金融服务公司时尤甚。Akamai在2017年11月至2019年10月间的观察显示,在所有行业中,金融服务业遭到的攻击量排名第三,前两位分别是游戏和高科技行业。但是,超过40%的唯一DDoS攻击目标是金融服务业,因此,如果从唯一受害者数量的角度衡量,金融服务业是排名第一的目标行业。
官方微博/微信
每日头条、业界资讯、热点资讯、八卦爆料,全天跟踪微博播报。各种爆料、内幕、花边、资讯一网打尽。百万互联网粉丝互动参与,TechWeb官方微博期待您的关注。
想在手机上看科技资讯和科技八卦吗?
想第一时间看独家爆料和深度报道吗?
请关注TechWeb官方微信公众帐号:
1.用手机扫左侧二维码;
2.在添加朋友里,搜索关注TechWeb。
为您推荐
蚂蚁可信智能荣获“吴文俊人工智能科技进步一等奖”
阅文去年净利增三成 AI和出海有望成为增长新动力
小米卢伟冰驾驶SU7 Max现身高通发布会 现场引媒体围观
盒马CEO侯毅将退休 CFO严筱磊将兼任CEO
卖完即止!特斯拉Model Y HW3.0现车优惠最高超1万元
央视315晚会曝光六大互联网消费黑幕 你中招了吗?
借4万多元、到手2万多元?央视315晚会曝光同程金融APP礼品卡套路
央视315晚会曝光婚恋平台乱象 世纪佳缘、珍爱网等被点名
央视315曝光AI伪造变脸变声诈骗
更多
- 消息称苹果供应商5月份开始生产第四代AirPods 但要秋季才发布
- 特斯拉希望印度降低电动汽车进口关税已如愿 但有数量限制和投资要求
- 苹果有望在下周宣布WWDC 24时间 可能在6月3日至7日举行
- 苹果OLED屏iPad Pro可能要4月份才能发货 面板与操作系统均遇到挑战
- OpenAI CEO透露GPT-5发布时间尚未确定 终极目标是开发AGI
- 苹果iPad Air也有望转向OLED屏 但要等2028年
- 消息称20多年的Apple ID将成历史 在今年被Apple Account取代
- XAI大模型Grok-1已正式开源 但并不是在马斯克说的上周
- 特斯拉高管看好东南亚市场潜力 电动汽车和储能电池都有发展潜力
- 宝马集团去年交付超过37万辆纯电动汽车 PHEV也交付超过19万辆