Tráfego de bots maliciosos cresce 124%, avançando nove vezes mais rápido que o tráfego humano na web

Tráfego de bots maliciosos supera o crescimento humano em nove vezes, aponta relatório da DataDome

O tráfego automatizado malicioso está se expandindo a um ritmo que ofusca a atividade humana na web, de acordo com um novo estudo da empresa de cibersegurança DataDome. O relatório revela que, entre julho de 2025 e junho de 2026, o tráfego de bots maliciosos disparou 124%, um ritmo nove vezes mais rápido que o crescimento do tráfego humano legítimo no mesmo período. Enquanto isso, o tráfego identificado como originado de sistemas de IA subiu mais de 82%, evidenciando a rapidez com que a automação está remodelando os padrões subjacentes de tráfego da internet.

As descobertas vêm de uma análise de mais de um trilhão de requisições em mais de 75.000 sites de clientes, tornando-a um dos exames mais abrangentes da atividade de bots até hoje. Os dados pintam um quadro de um ecossistema online em que agentes automatizados não apenas se multiplicam, mas também sondam mais profundamente as áreas sensíveis dos sites que lidam com contas de usuários, transações e informações pessoais.

O relatório destaca uma mudança fundamental na natureza do tráfego da web. Enquanto usuários humanos navegam na internet a um ritmo relativamente estável, scripts automatizados e agentes movidos por IA se multiplicam a uma taxa sem precedentes. Esse aumento não é apenas um incômodo; representa um desafio sistêmico à segurança e à integridade dos serviços online.

Aumento de scraping e scalping

Entre as tendências mais marcantes está a explosão da atividade de scraping, que aumentou mais de 185% ano a ano. Bots projetados para extrair conteúdo, dados de preços e outras informações de sites estão se tornando mais agressivos e sofisticados. Além disso, bots envolvidos em scalping — a prática de adquirir rapidamente ingressos ou outros itens de alta demanda para revenda — operaram a quase o triplo da taxa observada no ano anterior. Isso sugere que ferramentas automatizadas estão sendo cada vez mais usadas como armas para obter vantagens injustas em mercados de consumo.

Talvez o mais preocupante para profissionais de segurança seja a constatação de que bots de IA agora miram páginas de login a oito vezes a taxa registrada quando a DataDome conduziu seu relatório de 2025. Essa mudança indica que o tráfego automatizado não se contenta mais em passar superficialmente pela web; ele está avançando para os fluxos centrais que definem a jornada do cliente.

Agentes de IA e a concentração do poder dos bots

Durante o período do estudo, a DataDome detectou 52,7 bilhões de requisições de crawlers originadas de agentes de IA e grandes modelos de linguagem. Emergiu uma concentração notável em quem despacha esses bots: sistemas afiliados à Meta responderam por mais de 46% do total, enquanto a OpenAI foi a segunda fonte mais ativa, responsável por quase 35%. Esse domínio por um punhado de grandes empresas de tecnologia destaca o quão central o desenvolvimento de IA se tornou para o panorama mais amplo do tráfego de bots.

Jérôme Segura, vice-presidente de pesquisa de ameaças da DataDome, enfatizou que a natureza do problema está evoluindo. Ele explicou que o tráfego automatizado não é mais apenas um problema de volume na borda da internet. Em vez disso, está crescendo rapidamente e avançando para os fluxos de login, conta e transação que ficam no centro da jornada do cliente. Para as empresas, disse ele, o desafio não é mais simplesmente identificar automação; é determinar se essa atividade é benéfica ou prejudicial.

Uma lacuna de proteção se amplia

Apesar da ameaça crescente, muitos sites permanecem lamentavelmente despreparados. A DataDome testou 20.000 sites e descobriu que 65,3% não tinham nenhuma proteção contra os dez tipos de bots incluídos no estudo. Apenas 2,4% dos sites estavam totalmente protegidos — uma queda significativa em relação aos 8,4% de 2024 e ligeiramente abaixo dos 2,8% do ano passado. Esse declínio sugere que, à medida que as táticas dos bots avançam, as medidas defensivas lutam para acompanhar.

Segura alertou sobre as consequências posteriores dessa vulnerabilidade. Ele observou que o tráfego automatizado está avançando para partes sensíveis da jornada do cliente. Páginas de login, fluxos de criação de conta, carrinhos e endpoints de pagamento se conectam diretamente a contas de clientes, informações pessoais, estoque, promoções e transações. O abuso nesses endpoints pode levar a uma cascata de problemas, incluindo testes de credenciais, tomada de conta, testes de cartão, abuso de estoque, abuso de promoções e transações fraudulentas.

O que as empresas podem fazer

As descobertas do relatório sugerem que as organizações precisam repensar sua abordagem à gestão de bots. Defesas tradicionais que se concentram apenas em bloquear ataques de alto volume na borda da rede podem não ser mais suficientes. Em vez disso, as empresas devem adotar estratégias capazes de distinguir entre automação benéfica — como crawlers de mecanismos de busca ou assistentes de IA que geram tráfego legítimo — e bots maliciosos que buscam explorar vulnerabilidades.

Uma das principais conclusões é que nem todos os bots são maliciosos. Crawlers de mecanismos de busca, por exemplo, desempenham um papel vital na indexação da web, e assistentes de IA podem gerar tráfego valioso para os sites. O desafio está em distinguir entre esses atores legítimos e aqueles com intenção prejudicial. Uma abordagem nuançada que combine tecnologia, políticas e adaptação contínua é essencial.

• Inspeção profunda: Monitore fluxos de login, criação de conta e pagamento em busca de sinais de abuso automatizado, não apenas o tráfego da página inicial.
• Análise comportamental: Use aprendizado de máquina para identificar padrões que diferenciem usuários humanos de bots, mesmo quando os bots imitam o comportamento humano.
• Limitação de taxa e desafios: Implemente limitação de taxa adaptativa e desafios no estilo CAPTCHA em endpoints críticos para desacelerar ataques automatizados.
• Monitoramento contínuo: Audite regularmente os níveis de proteção do site e atualize as defesas conforme as táticas dos bots evoluem.

O caminho à frente

À medida que as capacidades de IA continuam a se expandir, a linha entre automação útil e prejudicial só ficará mais turva. O relatório da DataDome deixa claro que o tráfego de bots não é um problema estático, mas um problema em rápida aceleração. Com bots maliciosos crescendo nove vezes mais rápido que o tráfego humano e agentes de IA cada vez mais mirando as partes mais sensíveis da web, empresas que não se adaptarem podem se ver sobrecarregadas por um exército invisível de atores automatizados.

Os próximos anos provavelmente verão maior atenção regulatória à atividade de bots, bem como maior colaboração entre empresas de cibersegurança e provedores de plataformas. Por ora, os dados servem como um alerta severo: o ventre automatizado da internet está crescendo mais forte, mais profundo e mais consequente do que nunca.

Este artigo é baseado em reportagem da Fast Company. Leia o artigo original.