Flujos sensibles que necesitan freno de abuso

El Top 10 de seguridad de APIs de OWASP de 2023 dedica una categoría a esto, API6:2023: acceso sin restricción a flujos de negocio sensibles. La idea es que cada petición es legítima por sí sola (registrarse, invitar a un amigo, reservar una plaza), pero automatizada y repetida a escala causa un daño que el negocio no previó: bonos para cuentas que no existen, inventario retenido que nadie compra, reventa. OWASP mantiene además un catálogo de amenazas automatizadas contra aplicaciones web; una de ellas, OAT-021, describe justo el acaparamiento de inventario: retener existencias o plazas sin llegar a pagarlas para que otros no puedan comprarlas.

Para saber si un flujo necesita freno se pregunta qué gana quien lo repite mil veces y cuánto le cuesta al negocio. MITRE tiene una entrada genérica para la falta de ese freno, CWE-799: control inadecuado de la frecuencia de interacción.

Abre el laboratorio y lee flujos-sensibles.txt y ReferidoService.php en la carpeta mecato-abuso. El bono se paga al terminar el registro, sin esperar ninguna compra. Luego revisa registro-referidos.txt: cada cuenta nueva trae la huella del dispositivo y la tarjeta registrada.

Un mismo código puede tener referidos legítimos y referidos fabricados. El alcance se mide con las cuentas del dispositivo repetido, no con todas las del código: una de las que usaron ese código es otra persona con su propio teléfono y su propia compra.

En reservas-franja.txt, cada reserva retiene una plaza durante treinta minutos. Un cliente grande que paga todo lo que reserva no es un problema; quien reserva muchas plazas y no paga ninguna está impidiendo que otros compren.

Los frenos buenos son graduales y atacan lo que gana el abusador, no a todos los usuarios. Un desafío para todos molesta al legítimo y el que automatiza lo resuelve; bloquear una dirección IP lo esquiva cualquiera que cambie de red. En el bono de referido, lo que el abusador gana es el dinero que se paga por una cuenta que nunca compra.