阿卡邁技術公司（Akamai Technologies, Inc.，以下簡稱：Akamai）（NASDAQ：AKAM），于近日發布了一份新的互聯網現狀報告，報告標題為《鉆過安全漏洞：應用程序和 API 攻擊呈上升趨勢》。這份報告顯示，金融服務業仍是亞太地區及日本 (APJ) 遭受攻擊最嚴重的行業，Web 應用程序和 API 攻擊量增幅創下歷史新高，攻擊次數比上一年增加了 248%。

APJ 區域金融業 Web 應用程序和 API 攻擊量增幅達 248%，明顯高于全球近 169% 的增幅，這表明該區域的金融服務企業是攻擊者的主要目標，而隨著攻擊者增加攻擊量、攻擊頻率和復雜程度，這些企業將面臨嚴重風險。  

Akamai 亞太地區及日本安全技術和戰略總監Reuben Koh 解釋道：“APJ 區域的金融服務企業持續投入大量資金來推進數字化轉型，擴展以客戶為中心的數字產品和服務，攻擊量激增將近 250% 與這些資本投入密切相關。這對于金融服務企業來說是一個嚴重問題，因為隨著數字化程度的增加，整體攻擊面也會擴大，攻擊者將有更多機會發起網絡攻擊。”

在過去 24 個月內，整個 APJ 區域 Web 應用程序和 API 攻擊總量穩步增加，平均每天大約發生 1000 萬次攻擊。此外，Akamai 還觀察到日攻擊次數超過 6000 萬，這表明該區域的企業繼續面臨著高強度、高針對性攻擊的風險。

報告表明，本地文件包含 (LFI) 攻擊成為 APJ 區域最常見的攻擊媒介，同比增加約 154%，攻擊數量超過了 XSS 和 SQLi 攻擊。在 LFI 攻擊中，攻擊者會利用 Web 服務器上不安全的編碼實踐或實際漏洞來遠程執行代碼或者訪問本地存儲的敏感信息。

基于 PHP 的 Web 服務器特別容易遭受 LFI 攻擊，因為現有的方法會繞過其輸入篩選器。包括 Facebook、WordPress 和維基百科在內的大多數熱門網站都運行 PHP，這增加了攻擊者利用 LFI 漏洞的可能性。APJ 區域 LFI 攻擊的增長表明，攻擊者為了獲得更大的回報，正不斷改進攻擊技術并將目標轉移到利用消費者行為上。

另外，Akamai 的報告還揭示了 APJ 區域當地市場上 Web 攻擊和 API 攻擊模式的差異化趨勢。具體如下：

●       2022 年 APJ 區域遭受 Web 應用程序和 API 攻擊最多的前三大行業是金融服務業（20 億次）、商業（9.8 億次）和數字媒體行業（3.93 億次）。

●       澳大利亞和日本是 APJ 區域公認的著名金融中心，這兩個國家的金融業 Web 應用程序和 API 攻擊增幅最大，同比增加分別達到 259% 和 1,635%。

●       然而，2022 年澳大利亞經歷了持續不斷增加的 Web 應用程序和 API 攻擊，同時出現了幾次大爆炸式攻擊，而日本所經歷的攻擊類型主要是大爆炸式攻擊。這表明在這兩個國家，攻擊者正將特定行業和企業作為主要目標。

●       2022 年，日本高科技產業遭受的攻擊同比增加也超過了 116%，這很可能與日本在研發和先進技術領域投入了大量資金有關。

●       印度的零售業和商業經歷了更加持久、穩定的攻擊活動，2022 年 Web 應用程序和 API 攻擊同比增加近 90%。印度線上零售業的興旺和電子商務支出的不斷增長使得該行業成為網絡犯罪分子有利可圖的目標。印度金融服務業發生的攻擊同比增加 56%。

●       2021 年到 2022 年，APJ 區域攻擊增加最快的前三大行業是金融服務業 (248%)、制造業 (162%) 和公共部門 (139%)。

Koh 表示：“網絡犯罪分子不斷利用 Web 應用程序和 API 發起攻擊，而為了獲得最大的投資回報率，他們會繼續使用新的攻擊技術。APJ 區域的金融業、制造業和商業是數字化創新的中心，因此也成為攻擊者眼中非常有利可圖的目標。”

 他總結道：“當前的威脅形勢表明攻擊者正轉向遠程代碼執行，并且出現了新的攻擊媒介，包括服務器端請求偽造 (SSRF)、服務器端模板注入 (SSTI) 和服務器端代碼注入。由于攻擊者會繼續發起無休止的攻擊，企業需要隨時了解最新的攻擊趨勢和最佳實踐，才能根據形勢及時調整防御策略。”