El tráfico de bots maliciosos aumenta un 124% y crece nueve veces más rápido que el tráfico web humano

El tráfico de bots maliciosos supera el crecimiento humano por nueve veces, según un informe de DataDome

El tráfico automatizado malicioso está creciendo a un ritmo que empequeñece la actividad humana en la web, según un nuevo estudio de la empresa de ciberseguridad DataDome. El informe revela que entre julio de 2025 y junio de 2026, el tráfico de bots maliciosos se disparó un 124%, un ritmo nueve veces más rápido que el crecimiento del tráfico humano legítimo durante el mismo período. Mientras tanto, el tráfico identificado como originado en sistemas de IA aumentó más del 82%, lo que subraya la rapidez con la que la automatización está remodelando los patrones de tráfico subyacentes de internet.

Los hallazgos provienen de un análisis de más de un billón de solicitudes en más de 75.000 sitios web de clientes, lo que lo convierte en uno de los exámenes más exhaustivos de la actividad de bots hasta la fecha. Los datos dibujan un panorama de un ecosistema en línea donde los agentes automatizados no solo se multiplican, sino que también sondean más profundamente las áreas sensibles de los sitios web que gestionan cuentas de usuario, transacciones e información personal.

El informe destaca un cambio fundamental en la naturaleza del tráfico web. Mientras que los usuarios humanos navegan por internet a un ritmo relativamente constante, los scripts automatizados y los agentes impulsados por IA se multiplican a un ritmo sin precedentes. Este aumento no es una mera molestia; representa un desafío sistémico para la seguridad y la integridad de los servicios en línea.

Auge del scraping y el scalping

Entre las tendencias más llamativas está la explosión de la actividad de scraping, que aumentó más del 185% interanual. Los bots diseñados para extraer contenido, datos de precios y otra información de los sitios web son cada vez más agresivos y sofisticados. Además, los bots dedicados al scalping —la práctica de acaparar entradas u otros artículos de alta demanda para revenderlos— operaron a casi el triple del ritmo observado el año anterior. Esto sugiere que las herramientas automatizadas se están utilizando cada vez más como armas para obtener ventajas injustas en los mercados de consumo.

Quizás lo más preocupante para los profesionales de la seguridad es el hallazgo de que los bots de IA ahora atacan las páginas de inicio de sesión a un ritmo ocho veces mayor que cuando DataDome realizó su informe de 2025. Este cambio indica que el tráfico automatizado ya no se conforma con rozar la superficie de la web; está avanzando hacia los flujos centrales que definen el recorrido del cliente.

Agentes de IA y la concentración del poder de los bots

Durante el período de estudio, DataDome detectó 52.700 millones de solicitudes de rastreadores originadas en agentes de IA y modelos de lenguaje de gran tamaño. Surgió una concentración llamativa en quién despacha estos bots: los sistemas afiliados a Meta representaron más del 46% del total, mientras que OpenAI fue la segunda fuente más activa, responsable de casi el 35%. Este dominio por parte de un puñado de grandes empresas tecnológicas pone de relieve lo central que se ha vuelto el desarrollo de la IA para el panorama general del tráfico de bots.

Jérôme Segura, vicepresidente de investigación de amenazas de DataDome, enfatizó que la naturaleza del problema está evolucionando. Explicó que el tráfico automatizado ya no es solo un problema de volumen en el borde de internet. En cambio, está creciendo rápidamente y avanzando más profundamente hacia los flujos de inicio de sesión, cuentas y transacciones que se encuentran en el centro del recorrido del cliente. Para las empresas, dijo, el desafío ya no es simplemente identificar la automatización; es determinar si esa actividad es beneficiosa o perjudicial.

Una brecha de protección que se amplía

A pesar de la creciente amenaza, muchos sitios web siguen lamentablemente mal preparados. DataDome probó 20.000 sitios web y descubrió que el 65,3% no tenía ninguna protección contra los diez tipos de bots incluidos en el estudio. Solo el 2,4% de los sitios estaba totalmente protegido, una caída significativa desde el 8,4% en 2024 y ligeramente por debajo del 2,8% del año pasado. Esta disminución sugiere que, a medida que avanzan las tácticas de los bots, las medidas defensivas luchan por mantener el ritmo.

Segura advirtió sobre las consecuencias posteriores de esta vulnerabilidad. Señaló que el tráfico automatizado está avanzando hacia partes sensibles del recorrido del cliente. Las páginas de inicio de sesión, los flujos de creación de cuentas, los carritos y los puntos finales de pago se conectan directamente con las cuentas de los clientes, la información personal, el inventario, las promociones y las transacciones. El abuso en estos puntos finales puede provocar una cascada de problemas, incluidos la prueba de credenciales, la toma de control de cuentas, la prueba de tarjetas, el abuso de inventario, el abuso de promociones y las transacciones fraudulentas.

Qué pueden hacer las empresas

Los hallazgos del informe sugieren que las organizaciones deben repensar su enfoque de la gestión de bots. Las defensas tradicionales que se centran únicamente en bloquear ataques de gran volumen en el borde de la red pueden ya no ser suficientes. En cambio, las empresas deben adoptar estrategias que puedan distinguir entre la automatización beneficiosa —como los rastreadores de motores de búsqueda o los asistentes de IA que generan tráfico legítimo— y los bots maliciosos que buscan explotar vulnerabilidades.

Una de las conclusiones clave es que no todos los bots son maliciosos. Los rastreadores de motores de búsqueda, por ejemplo, desempeñan un papel vital en la indexación de la web, y los asistentes de IA pueden generar tráfico valioso hacia los sitios web. El desafío radica en distinguir entre estos actores legítimos y aquellos con intención dañina. Un enfoque matizado que combine tecnología, políticas y adaptación continua es esencial.

• Inspección profunda: Supervisar los flujos de inicio de sesión, creación de cuentas y pago en busca de signos de abuso automatizado, no solo el tráfico de la página de inicio.
• Análisis de comportamiento: Utilizar el aprendizaje automático para identificar patrones que diferencien a los usuarios humanos de los bots, incluso cuando los bots imitan el comportamiento humano.
• Limitación de velocidad y desafíos: Implementar limitación de velocidad adaptativa y desafíos tipo CAPTCHA en puntos finales críticos para frenar los ataques automatizados.
• Monitoreo continuo: Auditar periódicamente los niveles de protección del sitio web y actualizar las defensas a medida que evolucionan las tácticas de los bots.

El camino por delante

A medida que las capacidades de la IA sigan expandiéndose, la línea entre la automatización útil y la dañina solo se difuminará más. El informe de DataDome deja claro que el tráfico de bots no es un problema estático, sino uno que se acelera rápidamente. Con los bots maliciosos creciendo nueve veces más rápido que el tráfico humano y los agentes de IA atacando cada vez más las partes más sensibles de la web, las empresas que no logren adaptarse pueden verse abrumadas por un ejército invisible de actores automatizados.

Es probable que en los próximos años aumente la atención regulatoria sobre la actividad de los bots, así como una mayor colaboración entre las empresas de ciberseguridad y los proveedores de plataformas. Por ahora, los datos sirven como una advertencia contundente: el vientre automatizado de internet es más fuerte, más profundo y más trascendental que nunca.

Este artículo se basa en reportajes de Fast Company. Lea el artículo original.