API成為網路犯罪首要攻擊目標 2025年上半發生超過4萬起API事件

Thales公布2025年上半最新API威脅報告，警告API（這些支撐應用程式、支付與登入的幕後連接器），已成為網路犯罪分子的首要攻擊目標。

在超過4,000個受監測的環境中，Thales僅在2025年上半已監控記錄超過40,000起API事件。儘管API只佔整體攻擊面14%，卻吸引 44% 的進階機器人流量，顯示攻擊者正將最複雜的自動化攻擊重點，集中於支撐關鍵業務營運的工作流程上。

報告中最引人注目的發現之一，是針對某金融服務的API ，發動史上最大規模應用層DDoS攻擊，高達 每秒1,500萬次請求（RPS）。

不同於傳統攻擊目標是癱瘓網路頻寬的流量型DDoS攻擊，這次攻擊專門鎖定應用層，直接利用API消耗資源並中斷營運。2025年上半，所有以API為目標的DDoS攻擊流量中，有27%針對金融服務業，這反映出該產業嚴重依賴API進行即時交易，例如餘額查詢、轉帳和支付授權。

這起事件顯示攻擊者已開始將大規模與隱蔽性相結合：利用龐大的殭屍網路與無標頭瀏覽器，模擬合法 API請求，使防禦者更難區分惡意流量與真實用戶。

報告的關鍵發現到，2025年上半API安全事件超過40,000起，平均每日超過220起；若此趨勢持續，全年數量將突破80,000起。以目標端點劃分的攻擊分布：37%為資料存取API，32%為結帳／支付，16%為身分驗證，5%為禮品卡／促銷驗證，以及 3% 為影子端點或設定錯誤的端點。

未部署適應性MFA的API，帳號填充（credential stuffing）與帳號接管攻擊嘗試次數上升40%。資料擷取（data scraping） 佔API機器人活動的31%，經常鎖定高價值資訊，如電子郵件地址與支付細節。優惠券和支付詐欺佔攻擊的26%，利用促銷循環和薄弱的結帳驗證機制做攻擊。影子PI（Shadow APIs） 依然是重大盲點：企業通常實際使用的API比預期多出10–20%。

 Thales應用安全產品副總裁Tim Chang表示，API是數位經濟的連結樞紐，但同時也成為最具吸引力的攻擊面，所看到的不僅是攻擊規模的擴大，更是網路犯罪手法的根本轉變：他們不需要植入惡意程式碼，只要竄改你的業務邏輯即可。這些請求表面上看似合法，但影響可能極具破壞性。

Tim接著指出，未來6個月，API攻擊的數量與複雜度只會持續升高。採取行動刻不容緩，錯過了昨天，行動的最佳時機就是現在。企業必須全面掌握所有正在運行的端點，理解其業務價值，並以具備情境感知與適應性能力的防禦措施加以保護，才能真正保障營收、信任與法遵。

Thales威脅研究團隊採用行為分析、機器學習與鑑識分析，對攻擊進行分類、映射至目標端點，並辨識跨產業的攻擊趨勢。雖然資料集主要反映Imperva的客戶基礎，但仍提供了一個強而有力且具代表性的觀察發現，顯示API如何在全球範圍內被武器化。