El mesero invisible del restaurante digital

Imaginá un restaurante. Vos estás sentado en tu mesa (la aplicación que usás), la cocina está al fondo (el servidor con los datos) y entre ambos hay un mesero que lleva tus pedidos y te trae la comida. Ese mesero es una API. Vos no entrás a la cocina directamente: le decís al mesero qué querés y él se encarga de traértelo. Ahora imaginá que ese mesero no verifica quién le está pidiendo, no revisa si el pedido tiene sentido y le da acceso a la cocina a cualquiera que le hable bonito. Eso es una API insegura, y es exactamente lo que pasa en miles de empresas.

Las APIs (Application Programming Interfaces) son la columna vertebral invisible del mundo digital moderno. Cada vez que usás una app en tu teléfono, hacés una compra en línea, o tu sistema contable se conecta con la facturación electrónica, hay APIs trabajando en el fondo. Y si no están bien protegidas, son una puerta abierta para los atacantes.

¿Qué es una API en términos simples?

Una API es un conjunto de reglas que permite que dos sistemas de software se comuniquen entre sí. Es como un contrato que dice: "si me enviás esta información en este formato, yo te devuelvo esta respuesta".

Ejemplos cotidianos de APIs

•Cuando pagás con tarjeta en línea:: La tienda virtual usa una API para comunicarse con el procesador de pagos (como Stripe o BAC Credomatic).

•Cuando revisás el clima en tu teléfono:: La app usa una API para obtener los datos meteorológicos de un servicio externo.

•Cuando tu sistema contable genera facturas electrónicas:: Usa una API para comunicarse con el sistema del Ministerio de Hacienda.

•Cuando iniciás sesión con Google o Facebook:: El sitio web usa las APIs de esas plataformas para verificar tu identidad.

Las APIs están en todas partes. Según estimaciones de Akamai, más del 83% del tráfico de internet son llamadas a APIs. Y ese porcentaje sigue creciendo.

¿Por qué las APIs son un objetivo atractivo para atacantes?

Las APIs son especialmente vulnerables por varias razones:

•Acceso directo a datos.: Una API mal configurada puede dar acceso directo a bases de datos con información de clientes, transacciones financieras o datos internos.

•Están expuestas al público.: A diferencia de un servidor interno, muchas APIs están accesibles desde internet para que otros sistemas se conecten.

•Son predecibles.: Las APIs siguen estándares (REST, GraphQL) que los atacantes conocen bien. Saben exactamente qué tipo de solicitudes probar.

•Menos vigiladas.: Muchas empresas monitorean su sitio web pero no el tráfico de sus APIs. Es como tener cámaras en la puerta principal pero no en la puerta trasera.

Según Gartner, para 2025 los abusos de APIs se convirtieron en el vector de ataque más frecuente para aplicaciones web empresariales. No es una amenaza futura: es una amenaza presente.

OWASP API Security Top 10: Las vulnerabilidades más comunes

La OWASP (Open Worldwide Application Security Project) mantiene una lista de las 10 vulnerabilidades más críticas en APIs. Vamos a ver las más relevantes para PYMEs en un lenguaje accesible:

1. Autorización rota a nivel de objeto (BOLA)

El problema: La API no verifica correctamente si el usuario tiene permiso para acceder a un recurso específico.

Ejemplo práctico: Imaginá que tu sistema tiene una API para ver facturas. La dirección es api.tuempresa.com/facturas/1234. Si un atacante cambia el número a api.tuempresa.com/facturas/1235 y puede ver la factura de otro cliente, tenés un problema de BOLA.

Es como si el mesero te trajera la comida de otra mesa solo porque le dijiste el número de mesa.

2. Autenticación rota

El problema: La API no verifica correctamente la identidad de quien la está usando.

Ejemplo práctico: Tokens de sesión que no expiran, contraseñas que se envían sin cifrar, o APIs que aceptan tokens ya revocados. Un atacante puede robar un token y usarlo indefinidamente.

3. Autorización rota a nivel de propiedades del objeto

El problema: La API devuelve más información de la necesaria o permite modificar campos que no debería.

Ejemplo práctico: Una API de perfil de usuario que, además de devolver el nombre y correo, también devuelve el hash de la contraseña, el rol de administrador o datos internos. O peor: permite que un usuario cambie su propio rol de "usuario" a "administrador".

4. Consumo de recursos sin restricción

El problema: La API no limita cuántas solicitudes puede hacer un usuario ni cuántos datos puede pedir.

Ejemplo práctico: Un atacante puede enviar miles de solicitudes por segundo para adivinar contraseñas (fuerza bruta) o puede pedir "todos los registros" de una base de datos de clientes si la API no tiene paginación ni límites.

5. Autorización rota a nivel de función

El problema: Un usuario normal puede acceder a funciones que deberían ser solo para administradores.

Ejemplo práctico: Si la API tiene un endpoint /admin/borrar-usuario y un usuario común puede accederlo simplemente sabiendo la dirección, tenés un problema serio.

Casos reales de brechas por APIs inseguras

Optus (2022): 10 millones de registros expuestos

La operadora de telecomunicaciones australiana Optus sufrió una brecha masiva cuando un atacante descubrió una API expuesta que no requería autenticación. A través de esa API, accedió a nombres, fechas de nacimiento, números de teléfono, correos electrónicos y números de identificación de 10 millones de clientes. No fue un hackeo sofisticado: simplemente encontraron una puerta sin cerradura.

T-Mobile (2023): Datos de 37 millones de clientes

T-Mobile reveló que un atacante usó una de sus APIs para extraer datos de 37 millones de cuentas de clientes durante varias semanas antes de ser detectado. La API permitía consultar información de clientes sin las restricciones adecuadas de rate limiting.

Peloton (2021): Datos de usuarios accesibles para cualquiera

La empresa de fitness Peloton tenía una API que permitía consultar datos personales de cualquier usuario (edad, ciudad, peso, historial de ejercicios) sin autenticación. Cualquier persona con conocimientos básicos podía acceder a la información de los más de 3 millones de usuarios.

El contexto centroamericano

En Costa Rica y la región, el uso de APIs está creciendo rápidamente gracias a la facturación electrónica, los pagos digitales y la integración de sistemas. Pero muchas PYMEs implementan APIs sin considerar la seguridad, ya sea porque el desarrollo se hizo rápido, porque se contrató un freelancer que no tenía experiencia en seguridad, o porque simplemente nadie pensó en ello.

Los errores más comunes en PYMEs

Estos son los errores que vemos con más frecuencia en empresas pequeñas y medianas:

1. APIs sin autenticación

Creer que "nadie va a encontrar" tu API no es una estrategia de seguridad. Los atacantes usan herramientas automatizadas que escanean internet buscando APIs expuestas. Si tu API no pide credenciales, va a ser encontrada y va a ser explotada.

2. Usar solo una API Key sin rotación

Una API Key estática que nunca se cambia es como una llave de la oficina que le diste a un empleado hace tres años que ya no trabaja con vos. Las claves deben rotarse periódicamente y revocarse cuando ya no se necesitan.

3. No validar los datos de entrada

Si tu API acepta cualquier dato sin verificar, un atacante puede enviar código malicioso (inyección SQL, XSS) a través de los campos de la API.

4. Devolver más datos de los necesarios

Si tu API de productos devuelve también el margen de ganancia, el costo de adquisición y datos internos, estás exponiendo información que no debería ser pública.

5. No tener rate limiting

Sin límites de solicitudes, un atacante puede bombardear tu API con miles de requests por segundo, ya sea para hacer fuerza bruta, extraer datos masivamente o simplemente tumbar tu servicio.

6. Logs y monitoreo inexistentes

Si no estás registrando quién accede a tu API, qué pide y cuándo, no vas a poder detectar un ataque ni investigar después de que ocurra.

Guía práctica: asegurá las APIs de tu empresa

Autenticación y autorización

•Usá OAuth 2.0 o JWT para autenticación.: No inventés tu propio sistema de autenticación. OAuth 2.0 es el estándar de la industria y hay librerías para todos los lenguajes de programación.

•Implementá tokens con expiración corta.: Un token de acceso debería durar minutos u horas, no días o semanas. Usá refresh tokens para renovar el acceso.

•Verificá permisos en cada solicitud.: No asumás que si alguien está autenticado tiene permiso para todo. Verificá que tiene permiso para acceder al recurso específico que está pidiendo.

•Usá el principio de menor privilegio.: Cada API Key o token debería tener solo los permisos mínimos necesarios para su función.

Validación y control de datos

•Validá todos los datos de entrada.: Verificá tipo de dato, longitud, formato y rango. Rechazá cualquier entrada que no cumpla con lo esperado.

•Limitá los campos que devuelve la API.: Solo devolvé la información estrictamente necesaria para cada endpoint. Nunca devolvás datos internos, hashes de contraseñas o información sensible.

•Implementá paginación.: No permitás que una sola solicitud devuelva todos los registros de la base de datos. Forzá la paginación con límites razonables (por ejemplo, máximo 100 registros por página).

Rate limiting y protección

•Configurá rate limiting.: Establecé un número máximo de solicitudes por minuto/hora por usuario. Los valores dependen de tu caso de uso, pero un buen punto de partida es 60-100 solicitudes por minuto para APIs normales.

•Implementá throttling progresivo.: En lugar de bloquear completamente, primero ralentizá las respuestas y luego bloqueá si el abuso continúa.

•Usá HTTPS siempre.: Nunca, bajo ninguna circunstancia, expongas una API por HTTP sin cifrar. Los datos viajan por internet y pueden ser interceptados.

•Implementá CORS correctamente.: Configurá qué dominios pueden acceder a tu API. No uses el comodín `*` en producción.

Monitoreo y mantenimiento

•Registrá todas las solicitudes.: Quién accedió, qué pidió, cuándo y desde dónde. Estos logs son invaluables para detectar ataques y para investigación forense.

•Monitoreá patrones anómalos.: Un aumento repentino en el tráfico, solicitudes desde ubicaciones inusuales o intentos de acceso a endpoints que no existen son señales de alerta.

•Mantené un inventario de APIs.: Sabé exactamente qué APIs tenés expuestas, quién las usa y para qué. Las "APIs olvidadas" son un vector de ataque favorito.

•Versioná tus APIs.: Cuando actualicés una API, mantené la versión anterior por un tiempo limitado y luego retirala. Las versiones viejas suelen tener vulnerabilidades ya corregidas en versiones nuevas.

Herramientas accesibles para PYMEs

No necesitás un presupuesto de corporación multinacional para proteger tus APIs:

•Postman:: Herramienta gratuita para probar tus APIs y verificar que se comportan como esperás.

•OWASP ZAP:: Escáner de seguridad de código abierto que puede detectar vulnerabilidades comunes en APIs.

•Cloudflare:: Ofrece un plan gratuito con protección básica de API, rate limiting y protección DDoS.

•Let's Encrypt:: Certificados HTTPS gratuitos. No hay excusa para no usar HTTPS.

•API Gateways:: Herramientas como Kong (open source) o AWS API Gateway que centralizan la seguridad de todas tus APIs en un solo punto.

Checklist de seguridad para APIs

Usá esta lista como punto de partida para evaluar la seguridad de las APIs de tu empresa:

•[ ] ¿Todas las APIs requieren autenticación?

•[ ] ¿Los tokens tienen expiración?

•[ ] ¿Se verifica la autorización en cada solicitud?

•[ ] ¿Los datos de entrada se validan?

•[ ] ¿La API usa HTTPS?

•[ ] ¿Hay rate limiting configurado?

•[ ] ¿La API solo devuelve los datos necesarios?

•[ ] ¿Se registran los accesos y errores?

•[ ] ¿Tenés un inventario actualizado de todas tus APIs?

•[ ] ¿Las API Keys se rotan periódicamente?

•[ ] ¿CORS está configurado correctamente?

•[ ] ¿Los mensajes de error no revelan información interna?

Si respondiste "no" a tres o más preguntas, tu empresa tiene riesgos significativos que deberían atenderse pronto.

Las APIs son poder, pero con responsabilidad

Las APIs son lo que permite que tu negocio sea digital, eficiente y conectado. Pero cada API es una puerta, y cada puerta necesita cerradura, vigilancia y mantenimiento.

No se trata de tenerle miedo a las APIs ni de dejar de usarlas. Se trata de usarlas bien: con autenticación sólida, validación de datos, límites de uso y monitoreo constante.

En CiberShield ayudamos a PYMEs en Centroamérica a auditar, asegurar y monitorear sus APIs. Desde evaluaciones de seguridad que identifican vulnerabilidades hasta la implementación de buenas prácticas que protegen tus interfaces digitales sin frenar tu operación. Porque en un mundo cada vez más conectado, la seguridad de tus APIs es la seguridad de tu negocio.

¿Sabés cuántas APIs tiene tu empresa expuestas y qué tan seguras están? Contactanos para una auditoría de seguridad de APIs y descubrí qué puertas necesitan mejor cerradura.

Seguridad en APIs: Cómo proteger las puertas invisibles de tu negocio