Resumen ejecutivo
Los incidentes de seguridad de API están aumentando: el 87 % de las organizaciones sufrieron un incidente de seguridad de API el año pasado, lo que supone una subida con respecto al 76 % de 2022.
La IA está conectada: el 42 % de los incidentes están relacionados con API vinculadas a tecnologías de IA, como modelos de lenguaje de gran tamaño (LLM) y agentes autónomos.
La visibilidad se está derrumbando: solo un 23 % de las empresas con inventarios "completos" saben qué API devuelven datos confidenciales.
Existe una brecha de confianza: los altos directivos son mucho más optimistas con respecto a la madurez de sus pruebas de API que los equipos de DevSecOps que realizan el trabajo.
- Las consecuencias financieras son significativas: las brechas relacionadas con las API cuestan ahora a las organizaciones del cuartil superior más de 1,8 millones de USD al año.
Una realidad preocupante para los profesionales de la seguridad
Los resultados del último estudio sobre el impacto en la seguridad de API de Akamai revelan una realidad preocupante para los profesionales de la seguridad. Aunque las advertencias sobre las API no autorizadas, las API en la sombra, las API zombis y otras vulnerabilidades de seguridad de API han convencido a las organizaciones para invertir en seguridad de API en los últimos años, las empresas siguen teniendo dificultades para seguir el ritmo de las amenazas. Con las prisas por aprovechar los nuevos avances de la IA, las empresas están creando sin darse cuenta una superficie de ataque en expansión y sin mapear que las defensas tradicionales no pueden ver, y mucho menos proteger.
Los resultados del estudio sobre el impacto de la seguridad de API de Akamai de 2026, una encuesta realizada a 1840 directivos y profesionales de la seguridad de 10 países, demuestran cómo el crecimiento de las API está superando los esfuerzos de resiliencia. Mientras que las empresas globales gestionan actualmente una media de 5900 API, su capacidad para defenderlas está cayendo en picado.
No se trata únicamente de un fallo técnico: es un fallo de control sistémico que cuesta de media a las organizaciones 700 000 USD al año. Es más, los costes no hacen más que subir. El estudio sobre el impacto de la seguridad de API de 2024 situó el coste promedio en 590 000 USD.
Afortunadamente, las organizaciones están empezando a comprender los riesgos para sus API. Por ejemplo, para casi el 80 % de las empresas, la seguridad de API se encuentra entre sus tres principales prioridades de ciberseguridad. Dos tercios de los encuestados afirman haber prestado más atención a la seguridad de API en los últimos 12 meses. Y más de la mitad (52 %) citó los incidentes de seguridad de API como una de las cinco ciberamenazas más importantes para su organización a la hora de lograr la ciberresiliencia.
Los equipos de seguridad simplemente no pueden seguir el ritmo de su proliferación.
La gran desconexión: por qué los WAF no son suficientes
Durante años, las organizaciones han tratado la seguridad de API como un requisito de cumplimiento de poca importancia en la lista de requisitos de firewall de aplicaciones web (WAF). Los WAF se diseñaron para bloquear firmas “malas”, como la inyección SQL. Pero los ataques a las API actuales son de perfil “bajo y lento”. Utilizan credenciales legítimas y estructuras de protocolo legales para cometer actos ilegales.
La seguridad web tradicional trata las API como secundarias a la IU. En un mundo basado en la IA, la API es el negocio.
Nuestra investigación revela que, aunque el 80 % de las empresas utiliza un WAF, solo el 35 % utiliza herramientas de seguridad de API dedicadas. Esta dependencia de perímetros heredados deja una enorme laguna en la autorización a nivel de objeto comprometida (BOLA) y el uso indebido de la lógica empresarial. Los atacantes ya no descifran el código; simplemente le piden a sus API que hagan cosas para las que no estaban diseñadas, y su WAF permite el tráfico no autorizado.
De hecho, los ataques BOLA suelen ser el resultado de problemas de configuración incorrecta, como referencias de objetos directos inseguras o una dependencia excesiva de las comprobaciones en el lado del cliente. Esto resulta especialmente preocupante, ya que la mitad de las empresas encuestadas indicaron estar solo ligeramente preparadas para abordar los errores de configuración.
La epidemia de API en la sombra y el multiplicador de la IA
no es posible proteger lo que no se ve. El problema de las API en la sombra ha alcanzado su punto crítico. Los datos de este año muestran que, si bien el 77 % de los encuestados afirman tener un “inventario completo de sus API, la visibilidad de la intención de esas API ha disminuido durante cuatro años consecutivos.
En 2022, el 40 % de las organizaciones sabían qué API devolvían datos confidenciales. Hoy en día, esa cifra se ha desplomado hasta el 23 %. Los atacantes están aprovechando esta brecha de visibilidad mediante la IA.
A la par que las empresas invirtieron 37 000 millones de USD en IA generativa en 2025, construyeron miles de nuevas conexiones con los LLM. Estas API vinculadas a la IA determinan a qué datos puede acceder un modelo y qué acciones puede desencadenar. Si un atacante engaña a una IA mediante la inyección de prompts, es la API la que recupera los datos confidenciales.
Las organizaciones están empezando a comprender los riesgos. Según el estudio sobre el impacto en la seguridad de las API de 2026, el 42 % de los profesionales de la seguridad que notificaron incidentes de seguridad vinculados a API durante el último año afirmaron que sus incidentes eran ataques que implicaban a API vinculadas a tecnologías de IA, como aplicaciones, agentes y LLM.
La brecha de confianza: una crisis de liderazgo
Uno de los hallazgos más sorprendentes del estudio sobre el impacto de la seguridad de API de 2026 es la diferencia entre la percepción de los directivos y la realidad operativa. Se pidió a los encuestados que evaluaran la madurez de las pruebas de API en su organización en una escala de tres niveles:
- Pruebas funcionales que comprueban si las API funcionan según lo previsto
- Pruebas con cierto enfoque de seguridad que incluyen comprobaciones de seguridad limitadas
- Pruebas avanzadas que evalúan sistemáticamente las API en busca de vulnerabilidades y métodos de ataque reales
Además, las organizaciones han comprendido durante años que las pruebas durante el ciclo de vida de desarrollo de software (SDLC) son uno de los pasos más importantes para cerrar las lagunas de seguridad de las API. Y aunque la laguna en la percepción no es tan marcada como la de la seguridad, también supone un problema.
Métrica | Confianza de los altos directivos | Realidad de DevSecOps |
|---|---|---|
Madurez de las pruebas avanzadas | 40 % | 28 % |
Integración SDLC completa | 19 % | 13 % |
La brecha de confianza de los altos directivos; Fuente: Estudio sobre el impacto de la seguridad de API de 2026
Las lagunas que se muestran en la tabla sugieren que los directivos sénior pueden estar invirtiendo poco en seguridad de API porque creen que el problema ya se ha resuelto. Cuando la necesidad de acelerar la implementación de la IA eclipsa la seguridad, los equipos de DevSecOps son los que primero ven las fisuras.
El exceso de confianza de los altos directivos provoca una falta de recursos dedicados: solo 1 de cada 6 empresas ha integrado completamente las pruebas de seguridad para las API en sus procesos de integración e implementación continuas (CI/CD), lo que limita un paso clave en la prevención de usos indebidos y ataques.
El verdadero coste del statu quo
La seguridad de API ya no solo concierne a los equipos de TI, sino que es un riesgo empresarial fundamental. El impacto financiero aumenta a medida que los atacantes pasan de robar datos sencillos a alterar la lógica empresarial principal.
El último estudio sobre el impacto de la seguridad de API revela lo importantes que pueden ser los incidentes de API, entre los que se incluyen:
- Coste medio anual: 700 000 USD por organización
- Coste medio anual en el cuartil superior: más de 1,8 millones de USD
- Principales impulsores del coste: reparaciones del sistema, tiempo de inactividad y honorarios legales
En sectores como la energía y los servicios públicos, el coste promedio asciende a los 860 000 USD. La pérdida no es puramente financiera, sino que afecta a la productividad. Cuando las API se ven comprometidas, las aplicaciones que estas impulsan se detienen, lo que provoca grandes fricciones internas y la pérdida de la confianza de los clientes.
Esta realidad es cada vez más evidente para los directivos y los profesionales de la seguridad. Para casi el 80 % de las empresas, la seguridad de API se encuentra entre sus tres principales prioridades de ciberseguridad.
Un nuevo camino a seguir: alejarse del pensamiento perimetral
Para sobrevivir en la era de la IA, los profesionales de la seguridad no solo deben seguir teniendo en cuenta las vulnerabilidades de las API, sino que también deben cambiar su forma de pensar. Ya no podemos confiar en las defensas estáticas y esperar que todas las API se tengan en cuenta. Las organizaciones deben desarrollar sus estrategias para priorizar la capa de API mediante:
- La eliminación de las brechas fundamentales de visibilidad
- Ir más allá de las pruebas funcionales
- La formalización del control de API
La eliminación de las brechas fundamentales de visibilidad
Deje de depender de hojas de cálculo estáticas. Necesita una detección continua y automatizada que identifique API vinculadas a IA, API en la sombra y API zombis en tiempo real. Si no sabe qué API tocan información de identificación personal (PII) o datos regulados por la HIPAA, se arriesga a perder la confianza de los clientes y de los organismos reguladores.
Ir más allá de las pruebas funcionales
La prueba funcional únicamente demuestra que una API funciona. No demuestra que sea segura. Las empresas deben pasar a pruebas de seguridad avanzadas que simulen métodos de ataque reales, como ataques de Credential Stuffing y BOLA, durante la fase de desarrollo.
La formalización del control de API
La seguridad de API debe integrarse en informes de cumplimiento y evaluaciones de riesgos formales. Aunque el 95 % de las organizaciones afirma que ya tienen en cuenta las API en los requisitos normativos, solo el 38 % incluye las API en sus informes obligatorios. La ejecución debe coincidir con la intención.
Solo Akamai protege a la empresa basada en IA
La carrera de la IA ya está en marcha, pero no es demasiado tarde para que refuerce sus bases. Akamai proporciona la visibilidad global y la inteligencia de comportamiento necesarias para detectar y detener el uso indebido de API antes de que llegue a su origen. Al combinar la seguridad de API dedicada con nuestra protección de API y aplicaciones web global, nos aseguramos de que sus innovaciones de IA se basen en una arquitectura segura y resiliente.
Lea el informe completo para obtener datos de referencia sobre cómo sus homólogos abordan la seguridad de API en medio de los avances de la IA.
Etiquetas
