API drain è l'uso abusivo di un'interfaccia di programmazione applicativa per consumare quote, crediti o utilizzo a pagamento senza il permesso del proprietario. Invece di rubare dati, l'attaccante spende l'accesso di qualcun altro inviando richieste che attivano la fatturazione, esauriscono i limiti di frequenza o consumano i crediti di servizio prepagati.
Questo è importante perché molti servizi cloud, AI e SaaS addebitano costi per richiesta o per token. In attacchi reali, chiavi API rubate, account compromessi o traffico bot possono generare costi imprevisti anche quando non si verifica alcuna interruzione evidente. I difensori dovrebbero monitorare il volume delle richieste, i picchi di fatturazione e le geografie o gli user agent anomali, quindi limitare le chiavi con il principio del privilegio minimo, impostare quote e avvisi e ruotare o revocare rapidamente le credenziali esposte.