金融服务业遭受的 web 应用和API攻击活动增长257%
编译：代码卫士
该报告数据基于对2021年10月1日至2022年9月26日期间对全球客户流量的分析。针对web应用和API的威胁活动增长表明，开放的银行强制标准如欧洲出台的《支付服务提供商指令》修订 (PSD2) 引发金融机构对数字化服务的投资越来越多。
虽然这些技术有助于将银行服务开放给第三方提供商，并为客户营造了更加流畅的体验，但同时也扩大了企业的攻击面。总体而言，在web 应用和API方面来看，银行是遭受攻击最强的第三大垂直行业，占所有威胁数量的15%。
报告解释称，“安全是构建web应用时面临的严峻挑战。位于这些web应用中的漏洞可导致远程代码执行和数据泄露等后果。第二，web 应用能够捕获并存储客户的机密信息（如登录凭据）。一旦攻击者成功实施 web 应用攻击，他们就能够窃取机密数据，而在更严重的情况下，他们可获得对网络的初始访问权限并获得更多的凭据，从而实现横向移动。除了数据泄露外，被盗信息也可能用于其它攻击活动。鉴于数据包括垂直金融服务企业的个人可识别信息和账户详情等，因此这种情况非常令人担忧。”
在最常见的RCE攻击活动中，本地文件包含和跨站点脚本攻击增长最快。
报告还发现，僵尸活动 (81%) 和DDoS 攻击 (22%) 活动增长快速。针对客户的钓鱼攻击也急剧增长。
报告提到，针对金融服务的80%的攻击聚焦于客户账户而非银行本身。Akmai 公司的咨询首席信息安全官 Steve Winterfeld 提醒称，“攻击者将找到渗透网络或影响客户的多种方法。了解攻击面有助于洞察关键风险，以便组织机构部署安全控制和缓解计划，更好地保护客户。”
研究员在3个微软签名的引导程序中发现UEFI安全引导绕过漏洞
16个UEFI固件漏洞影响惠普多个产品线，其中1个影响无数厂商
LoJax：首个 UEFI rootkit 遭 APT28 利用
https://www.infosecurity-magazine.com/news/web-app-api-attacks-257-financial/?&web_view=true
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。