“El Número de Transacciones Es Correcto, Los Registros de Aprobación Son Normales, Pero El Importe Total de Liquidación Sigue Sin Coincidir”
Manipulación de API de Pagos y Liquidaciones
Un día después de finalizar la liquidación mensual, un responsable de contabilidad plantea una preocupación con cuidado.
“El número de transacciones coincide y los registros de aprobación son normales, pero el importe total de liquidación sigue sin cuadrar.”
Incluso revisando los registros del servidor, no aparece nada extraño.
Las aprobaciones de pago son normales.
No hay cancelaciones.
No hay errores.
Sin embargo, los números empiezan a desviarse poco a poco.
Unos cientos de wones, unos miles de wones al día.
Una diferencia tan pequeña que casi pasa desapercibida.
Esta es precisamente la característica más peligrosa de los ataques de manipulación de API de pagos y liquidaciones.
¿Por Qué La Manipulación de API de Pagos y Liquidaciones Es el Peor Tipo de Ataque?
La razón es sencilla.
✔ El servidor continúa diciendo “normal” hasta el final
• Solicitudes de aprobación normales
• Respuestas de pago normales
• Registros y estadísticas normales
✔ El daño es pequeño, lento y acumulativo
• Robo repetido de pequeñas cantidades
• No detectado durante meses
• Imposible de recuperar cuando se descubre
El dinero desaparece silenciosamente.
Sin llamar la atención, pero de forma constante.
¿Cómo Ocurrió el Ataque Real?
El servicio afectado era una aplicación empresarial conectada con POS, liquidaciones y facturación electrónica.
El flujo del ataque fue:
1. Preparación de un Entorno de Ejecución Riesgoso
o Dispositivos con root
o Emuladores
o Herramientas de hooking activas
2. Network Hooking
o HTTPS permanece activo
o Interceptación de solicitudes y respuestas internas de la aplicación
3. Manipulación Detallada de Parámetros API
o Importe de pago
o Porcentaje de comisión
o Importe de liquidación
4. Robo Repetido de Pequeñas Cantidades
o Cientos de wones por operación
o Decenas de operaciones al día
o Acumulación durante meses
Desde el punto de vista del servidor:
“Un usuario normal realizó un pago normal.”
¿Cuál Era el Verdadero Problema de Seguridad?
La esencia del problema era clara.
“La API estaba protegida, pero se confiaba en la aplicación que llamaba a la API.”
Brechas de Seguridad Específicas
• Se permitían llamadas API desde aplicaciones modificadas
• No se detectaban entornos con network hooking
• No existía verificación de integridad de parámetros
• Cualquier usuario con sesión válida podía realizar pagos
En otras palabras:
El servidor estaba protegido, pero el cliente estaba expuesto.
¿Cómo Defendieron LIAPP · LIKEY Este Problema?
Este problema no se resuelve simplemente haciendo más complejo el servidor.
Primero hay que verificar:
“¿En qué entorno fue creada esta solicitud?”
• Detección de dispositivos root y emuladores
• Detección de herramientas de network hooking
• Verificación de integridad de memoria y código de la aplicación
• Bloqueo de ejecución en entornos modificados
Los permisos de pago se determinan no por el inicio de sesión, sino por la confianza del entorno.
Cambios Después de Aplicar Seguridad
Después de implementar seguridad:
• Se detuvieron inmediatamente las discrepancias de pagos y liquidaciones
• Se bloquearon pérdidas acumuladas mensuales
• Disminuyeron los riesgos contables y de auditoría
• Se redujeron disputas y consultas relacionadas con liquidaciones
El cambio más importante fue:
El reconocimiento de que “un incidente de pago puede no ser un problema del servidor”.
Lección Aprendida
Los incidentes de pagos y liquidaciones normalmente no parecen ataques.
• No hay alertas
• No hay fallos del sistema
• Los registros parecen normales
Por eso son más peligrosos.
El 80% de los incidentes de seguridad en aplicaciones empresariales comienzan no en el servidor, sino en:
el entorno de ejecución de la aplicación, las entradas y las pantallas.
La forma más realista de proteger una API de pagos es proteger primero la aplicación que está delante de la API.
Por eso LIAPP · LISS · LIKEY no son una opción, sino una infraestructura operativa para aplicaciones empresariales.
#SeguridadAppsEmpresariales #SeguridadPagos #SeguridadLiquidaciones #SeguridadAPI #SeguridadPOS #AppFiscal #RiesgoLiquidacion #IncidenteFinanciero #SeguridadMovil #SeguridadApps #AtaqueHooking #ManipulacionAPI #LIAPP #LISS #LIKEY
