Resumo executivo
Os incidentes de segurança de APIs estão aumentando: 87% das organizações tiveram um incidente de segurança relacionado a API no último ano, um aumento significativo em relação aos 76% registrados em 2022.
A IA está conectada: 42% dos incidentes envolvem APIs relacionadas a tecnologias de inteligência artificial, como modelos de linguagem grandes (LLMs) e agentes autônomos.
A visibilidade está caindo muito: Apenas 23% das empresas com inventários "completos" sabem quais APIs retornam dados confidenciais.
Existe uma falta de confiança: Os líderes executivos são significativamente mais otimistas em relação à maturidade dos testes de API do que as equipes de DevSecOps que realizam o trabalho.
- As consequências financeiras são graves: Violações relacionadas a APIs já custam às empresas líderes do mercado mais de US$ 1,8 milhão por ano.
Uma realidade preocupante para os profissionais de segurança
Os resultados do estudo mais recente da Akamai sobre o impacto da segurança de APIs revelam uma realidade preocupante para os profissionais da área. Embora os alertas sobre APIs maliciosas, APIs sombra, APIs zumbi e outras vulnerabilidades de segurança relacionadas a APIs tenham convencido as organizações a investir em segurança de APIs nos últimos anos, as empresas ainda enfrentam dificuldades para acompanhar o ritmo das ameaças. Na pressa de aproveitar os novos avanços da inteligência artificial, as empresas estão criando, sem querer, uma superfície de ataque ampla e desconhecida que as defesas tradicionais não conseguem detectar e muito menos proteger.
Os resultados do estudo sobre o impacto da segurança de APIs da Akamai de 2026, uma pesquisa com 1.840 líderes e profissionais de segurança em 10 países, mostram como o crescimento das APIs está superando os esforços de resiliência. Embora no momento as empresas globais gerenciem uma média de 5.900 APIs, a capacidade de protegê-las está em queda livre.
Este não é apenas um problema técnico; trata-se de uma falha sistêmica na governança que custa, em média, US$ 700.000 por ano às organizações. Além disso, os custos só aumentam. O Estudo sobre o impacto da segurança de APIs de 2024 estimou um custo médio de US$ 590.000.
Felizmente, as organizações estão começando a entender os riscos aos quais suas APIs estão expostas. Por exemplo, para quase 80% das empresas, a segurança das APIs está entre as três principais prioridades em termos de cibersegurança. Dois terços dos entrevistados relataram que a segurança das APIs tem recebido mais atenção nos últimos 12 meses. E mais da metade (52%) citou os incidentes de segurança relacionados a APIs como uma das cinco principais ameaças cibernéticas mais relevantes para a resiliência cibernética das organizações.
As equipes de segurança não conseguem acompanhar o crescimento desenfreado.
O grande abismo: Por que os WAFs não são suficientes?
Durante anos, as organizações trataram a segurança das APIs como um requisito de conformidade meramente formal presente na lista de exigências de um firewall de aplicações web (WAF). Os WAFs foram desenvolvidos para bloquear assinaturas "maliciosas", como injeções de SQL. Mas os ataques modernos a APIs são "discretos e lentos". Eles usam credenciais legítimas e estruturas de protocolos legais para cometer atos ilegais.
A segurança tradicional da web considera as APIs como um elemento secundário em relação à interface do usuário. Em um mundo impulsionado pela inteligência artificial, a API é o coração do negócio.
Nossa pesquisa revela que, embora 80% das empresas utilizem um WAF, apenas 35% delas usam ferramentas de segurança específicas para APIs. Essa dependência de perímetros antigos cria uma grande lacuna para a Autorização Interrompida em Nível de Objeto (BOLA) e para o uso indevido da lógica de negócios. Os invasores já não estão mais invadindo seu código; eles simplesmente estão pedindo às APIs que realizem tarefas para as quais não foram projetadas — e o WAF permite o tráfego não autorizado.
De fato, os ataques BOLA em geral ocorrem devido a problemas de configuração inadequada, como referências inseguras a objetos diretos ou uma dependência excessiva de verificações realizadas no lado do cliente. Isso é bastante preocupante, já que metade das empresas pesquisadas admitiu estar apenas um pouco ou moderadamente preparada para lidar com problemas de configuração.
A epidemia de APIs sombra e o efeito multiplicador da inteligência artificial
Você não pode proteger aquilo que não vê. O problema da API sombra atingiu um ponto crítico. Os dados deste ano revelam que, embora 77% dos entrevistados afirmem ter um "inventário completo de suas APIs", a visibilidade sobre o propósito dessas APIs tem diminuído ao longo dos últimos quatro anos consecutivos.
Em 2022, 40% das organizações sabiam quais APIs retornavam dados confidenciais. Hoje, esse número caiu drasticamente para 23%. Os invasores estão explorando essa falha de visibilidade usando a inteligência artificial.
As empresas investiram US$ 37 bilhões em GenAI em 2025 e também estabeleceram milhares de novas conexões com modelos de linguagem grande (LLMs). Essas APIs ligadas à inteligência artificial definem quais dados um modelo pode acessar e quais ações ele pode executar. Se um invasor enganar uma inteligência artificial através da injeção de prompts, é a API que vai buscar os dados confidenciais.
As organizações estão começando a entender os riscos. De acordo com o Estudo de Impacto da Segurança de APIs de 2026, 42% dos profissionais de segurança que relataram incidentes de segurança vinculados a APIs no último ano afirmaram que esses incidentes foram ataques envolvendo APIs ligadas a tecnologias de inteligência artificial, como aplicativos, agentes e modelos de linguagem grandes (LLMs).
A falta de confiança: Uma crise de liderança
Uma das descobertas mais surpreendentes do Estudo de Impacto da Segurança de APIs de 2026 é a discrepância entre a percepção dos líderes e a realidade operacional. Os participantes foram convidados a avaliar o nível de maturidade dos testes de API em suas organizações utilizando uma escala de três níveis:
- Testes funcionais que verificam se as APIs estão funcionando conforme o esperado
- Testes com foco em segurança que incluem verificações de segurança limitadas
- Testes avançados que avaliam sistematicamente as APIs em busca de vulnerabilidades e métodos de ataque utilizados no mundo real.
Além disso, as organizações já sabem há anos que realizar testes durante o ciclo de vida de desenvolvimento de software (SDLC) é uma das etapas mais importantes para eliminar vulnerabilidades de segurança em APIs. E, embora a diferença de percepção não seja tão grande quanto a diferença na segurança, isso também representa um problema.
Métrica | Confiança entre executivos de alto escalão | Realidade do DevSecOps |
|---|---|---|
Maturidade avançada em testes | 40% | 28% |
Integração total com SDLC | 19% | 13% |
A falta de confiança entre executivos de alto escalão; Fonte: Estudo sobre o impacto da segurança de APIs de 2026
As lacunas apresentadas na tabela sugerem que os líderes seniores podem estar investindo pouco em segurança de APIs, pois acreditam que o problema já foi resolvido. Quando a necessidade de agilidade na implementação de IA se sobrepõe à segurança, as equipes de DevSecOps são as primeiras a identificar os problemas.
A excessiva confiança dos executivos de alto escalão resulta na falta de recursos dedicados: apenas uma em cada seis empresas incorporou totalmente os testes de segurança para APIs em seus processos de CI/CD, o que compromete uma etapa crucial na prevenção de abusos e ataques.
O verdadeiro custo do status quo
A segurança das APIs deixou de ser uma preocupação apenas da área de TI e se tornou um risco real para os negócios. O impacto financeiro está aumentando à medida que os invasores evoluem de roubo de dados simples para a interrupção de processos essenciais dos negócios.
O mais recente estudo sobre o impacto da segurança de APIs revela a gravidade que os incidentes relacionados a elas podem ter, incluindo:
- Custo médio anual: US$ 700.000 por organização
- Custo médio anual para o quartil superior: Mais de US$ 1,8 milhão
- Principais fatores que influenciam o custo: Reparos no sistema, tempo de inatividade e custos jurídicos
Em setores como energia e serviços públicos, o custo médio sobe para US$ 860.000. A perda não é apenas financeira — ela afeta a produtividade. Quando as APIs são comprometidas, as aplicações que elas alimentam param de funcionar, gerando atritos internos significativos e perda da confiança dos clientes.
Essa percepção está se tornando cada vez mais evidente para os líderes e profissionais da área de segurança. Quase 80% das empresas colocam a segurança de APIs entre suas três principais prioridades de segurança cibernética.
Um novo caminho a seguir: Mudar a forma de pensar sobre a segurança perimetral
Para sobreviver à era da inteligência artificial, os profissionais de segurança precisam não só continuar a monitorar as vulnerabilidades das APIs, mas também mudar a forma de pensar. Não podemos mais depender de defesas estáticas e esperar que todas as APIs sejam devidamente consideradas. As organizações precisam atualizar suas estratégias para dar prioridade à camada de API adotando as seguintes medidas:
- Eliminar as falhas básicas de visibilidade
- Ir além dos testes funcionais
- Formalizar a governança de APIs
Eliminar as falhas básicas de visibilidade
Parar de depender de planilhas estáticas. Você precisa de uma descoberta contínua e automatizada que identifique, em tempo real, APIs relacionadas à inteligência artificial, APIs sombra e APIs zumbi. Se não souber quais APIs acessam informações de identificação pessoal (PII) ou dados regulados pela HIPAA, você corre o risco de perder a confiança tanto dos clientes quanto dos órgãos reguladores.
Ir além dos testes funcionais
Testes funcionais comprovam apenas que uma API funciona. Eles não provam que ela é segura. As empresas precisam adotar testes de segurança avançados que simulem métodos de ataque reais, como preenchimento de credenciais e ataques BOLA, durante a fase de desenvolvimento.
Formalizar a governança de APIs
A segurança de APIs deve ser integrada aos relatórios formais de conformidade e às avaliações de risco. Embora 95% das organizações afirmem que já consideram as APIs como parte dos requisitos regulatórios, apenas 38% as incluem em seus relatórios obrigatórios. A execução deve estar alinhada com a intenção.
Somente a Akamai protege as empresas que utilizam inteligência artificial.
A corrida pela inteligência artificial já começou, mas ainda dá tempo de fortalecer suas bases. A Akamai oferece a visibilidade global e a inteligência comportamental necessárias para identificar e impedir o uso indevido de APIs antes que ele atinja sua origem. Ao combinar a segurança dedicada de APIs com a proteção global de aplicações web e APIs, garantimos que suas inovações em inteligência artificial sejam criadas sobre uma arquitetura robusta e segura.
Leia o relatório completo para obter dados comparativos sobre como seus colegas estão abordando a segurança de APIs em meio aos avanços da inteligência artificial.
Tags
