Costes de terceros en SMS, correo y APIs pagadas

El Top 10 de seguridad de APIs de OWASP de 2023 incluye en API4:2023 los recursos que se pagan a un tercero por cada petición —SMS, correos, llamadas telefónicas, validaciones biométricas— y pide dos controles que no son técnicos en el sentido habitual: un tope de gasto en cada integración y, donde el proveedor no lo permita, una alerta de facturación que alguien lea.

El caso más conocido es el fraude por bombeo de tráfico de SMS. Quien lo hace no busca datos ni acceso: busca que la aplicación mande muchos mensajes a números de destino caros, normalmente internacionales, que están bajo su control o el de un socio. Lo que se cobra por terminar esos mensajes se reparte con él. Para la aplicación cada mensaje es una confirmación más; para el atacante, cada uno es dinero. Por eso se defiende mirando destinos, volumen por número y gasto, no solo peticiones.

Abre el laboratorio y lee servicios-pagados.txt en la carpeta guanenta-terceros, con notas-finanzas.txt al lado. Cada servicio debería tener un freno de gasto: un tope que corta el servicio al llegar a una cifra, una alerta que avisa antes, o las dos cosas. Un tope sin alerta sorprende al negocio el día que corta; una alerta sin tope avisa pero no frena; sin ninguno de los dos, la primera noticia es la factura.

En registro-geocodificacion.txt está el detalle de lo que se paga en ese servicio. El formulario web consulta cada vez que cambia el campo de dirección, así que una persona que escribe su dirección genera una consulta pagada por cada pausa mínima al teclear. Nadie abusó de nada: es el propio diseño el que multiplica el coste. Cuenta las consultas pagadas de la sesión web que escribió una sola dirección completa.

El correo tiene un coste doble. El directo es la tarifa por mensaje; el indirecto es la reputación del dominio que envía: si los destinatarios marcan esos correos como no deseados, los siguientes, incluidas las facturas, empiezan a llegar a la carpeta de basura. En registro-cotizaciones.txt compara, por cuenta, cuántos destinatarios distintos hubo y cuántos eran clientes de esa cuenta. Una función pensada para mandar una cotización a un cliente, que admite cualquier destinatario y un texto libre, se convierte en un servicio de envío masivo pagado por otro.

Las notas de finanzas cierran el círculo: el correo llegó a su tope a final de mes y las facturas legítimas de esa semana no salieron. El tope hizo su trabajo, pero lo agotó un abuso que nadie limitó antes. Los frenos de gasto funcionan mejor en capas: un límite por cuenta y por destinatario en la función que provoca el gasto, un diseño que no gaste de más (consultar tras una pausa, no en cada tecla), y el tope con alerta del proveedor como última red.