04/08/2026
Es el riesgo número uno desde 2019 y concentra cerca del 40 % de los ataques a APIs. El fallo es tan simple que incomoda: el endpoint recibe el identificador de una cuenta y devuelve sus datos sin comprobar que esa cuenta sea de quien la pide.
No hay explotación sofisticada. El token es válido, la autenticación funcionó y el registro no marca nada anómalo. Solo cambió un número. Por eso no lo detecta una auditoría documental: sobre el papel, el control de acceso existe.
Somos Especialistas en API Security Testing. https://tarsecurity.io