Раньше мишенью были технические уязвимости (SQL‑инъекции, XSS и др.), теперь — бизнес‑логика. Хакеры используют штатные функции приложений, комбинируя легитимные действия так, чтобы обойти ограничения и получить выгоду. По данным WMX, в I полугодии 2026 года почти половина крупных инцидентов включала эксплуатацию API и бизнес‑логики; за год число автоматизированных сканирований выросло вдвое.
Примеры атак
- Скидка без проверки. Пользователь набирает товары на 20 000 руб., получает скидку (она даётся при заказе от 10 000), затем удаляет часть товаров — и оформляет дешёвый заказ со скидкой.
- Округление комиссии. При выводе 3,99 руб. комиссия округляется до 0 руб. Массовый скрипт на 100 000 операций приносит убытки сервису.
- Мили за возврат. Покупка промо‑билета → получение миль → возврат билета (мили остаются). Операцию повторяют через дроп‑аккаунты, мили продают.
- Ситимобил. API без авторизации и rate limiting позволил за пару минут собрать данные о ~5000 машинах в Москве — это открывало возможности для анализа рынка и деанонимизации пассажиров.
Почему атак больше
Разрастание функциональности, ускорение разработки (в т. ч. за счёт ИИ), рост числа API‑точек, автоматизация и низкий порог входа для злоумышленников.
Как защищаться
Нельзя полагаться только на WAF — он не видит логические атаки. Нужна комбинация мер: API Firewall, антибот‑решения, rate limiting. Ключевое — закладывать защиту в архитектуру (security by design): формализовать бизнес‑правила, проверять ограничения на сервере, проектировать с учётом рисков, а не добавлять защиту постфактум.