Internet siempre ha tenido bots. Lo que está cambiando, a un ritmo que la mayoría de los medios subestima, es adónde van esos bots y qué hacen cuando llegan. Un nuevo informe de DataDome, basado en más de 1 billón de solicitudes web en más de 75.000 sitios de clientes, ofrece una de las imágenes más claras hasta la fecha de cómo el tráfico automatizado está remodelando el entorno en línea. La cifra principal es llamativa: el tráfico de bots maliciosos creció un 124% entre julio de 2025 y junio de 2026. Eso es nueve veces más rápido de lo que creció el tráfico humano durante el mismo período.
Los bots ya no están llamando a la puerta principal
Durante años, el modelo mental estándar de un ataque de bots involucraba los bordes de un sitio web: herramientas de extracción que recopilan contenido público, rastreadores que indexan páginas, herramientas automatizadas que buscan vulnerabilidades superficiales. Ese modelo ya está obsoleto.
Según las conclusiones de DataDome, los bots se están adentrando en la arquitectura del recorrido del cliente. Las páginas de inicio de sesión, los flujos de creación de cuentas, los carritos de compra y los puntos finales de pago son ahora objetivos principales. Los bots de IA, específicamente, están atacando las páginas de inicio de sesión a un ritmo ocho veces mayor que el registrado en el informe del año anterior. Esto no es un cambio marginal. Representa un cambio fundamental en lo que el tráfico automatizado intenta lograr.
Jérôme Segura, vicepresidente de investigación de amenazas en DataDome, plantea el desafío con precisión: la pregunta para las empresas ya no es simplemente si el tráfico está automatizado, sino si esa automatización es beneficiosa o perjudicial. Algunos bots son legítimos. Los rastreadores de motores de búsqueda, las herramientas de accesibilidad y los agentes de entrenamiento de IA generan tráfico automatizado con propósitos defendibles. El problema es que la infraestructura para distinguir la buena automatización de la mala no ha seguido el ritmo del volumen o la sofisticación de lo que está llegando.
¿Quién está enviando los bots y qué buscan?
El informe de DataDome identificó 52.700 millones de solicitudes de rastreadores procedentes de agentes de IA y LLM durante el período de estudio. Más del 46% de esas solicitudes provinieron de sistemas afiliados a Meta. OpenAI fue la segunda fuente más grande, representando casi el 35% del total. Estas cifras reflejan la escala a la que las empresas de IA están recopilando contenido web, ya sea para datos de entrenamiento, sistemas de recuperación u otros propósitos.
El aumento del 185% en la actividad de extracción encaja en este contexto. Como los sistemas de IA requieren conjuntos de datos cada vez más grandes, el incentivo para rastrear y extraer contenido web a escala crece en consecuencia. Esto no es intrínsecamente malicioso, pero impone una carga significativa a los sitios web que no fueron diseñados para soportarla y plantea preguntas sin resolver sobre el consentimiento y la compensación para los creadores de contenido.
Aparte de la extracción, el uso de bots para la reventa especulativa, la compra automatizada de entradas y artículos de alta demanda para su reventa, creció a casi tres veces el ritmo del año anterior. Ted Miracco, director ejecutivo de la plataforma de software en la nube Approov, describe la consecuencia empresarial directamente: la reventa especulativa convierte a los mejores clientes de una empresa en sus clientes más furiosos. Los efectos colaterales incluyen márgenes más bajos, buena voluntad del cliente dañada e interrupción del inventario. Estos no son riesgos abstractos. Son problemas operativos que afectan los ingresos y la reputación.
La brecha de protección es significativa. DataDome probó 20.000 sitios web y descubrió que el 65,3% no tenía protección contra los diez tipos de bots incluidos en el estudio. Solo el 2,4% de los sitios estaban totalmente protegidos, una cifra que ha disminuido desde el 8,4% en 2024 y desde el 2,8% en el informe anterior más reciente.
Lo que esto significa más allá de la conversación sobre seguridad
Las conclusiones de DataDome llegan junto con datos independientes de Cloudflare que muestran que los bots ya representan la mayoría del tráfico web, con cifras citadas en el 57,4% y subiendo al 62,5%. Tomadas en conjunto, estas cifras plantean una pregunta que va más allá de la ciberseguridad: ¿qué significa para la web cuando la mayor parte de su tráfico no es humano?
Segura tiene cuidado de rechazar la interpretación más dramática, a veces llamada la “teoría de la internet muerta”, que sostiene que internet ya está dominada por contenido automatizado e interacción de bot a bot con escasa presencia humana genuina. Sus datos no respaldan esa conclusión. En todo el análisis de tráfico de clientes de DataDome, los humanos todavía generaron el 73,4% de las solicitudes, incluso cuando el tráfico automatizado creció a nueve veces la tasa humana.
La preocupación más precisa no es que los humanos hayan desaparecido de la web, sino que los sistemas que las empresas utilizan para atender a esos humanos están bajo una presión cada vez mayor por parte de la actividad automatizada que no se anticipó cuando se diseñaron esos sistemas. Los controles estáticos basados en la identidad, del tipo que comprueba si un usuario parece un actor malintencionado conocido, ya no son suficientes. Las decisiones en tiempo real sobre qué tráfico automatizado permitir y qué bloquear se están convirtiendo en un requisito básico en lugar de una capacidad avanzada.
这是大多数关于机器人统计数据的报道所遗漏的地方 (Esto es lo que la mayoría de las coberturas sobre estadísticas de bots pasan por alto). Los números son alarmantes, pero la implicación estructural es más importante: las suposiciones de seguridad de la web se construyeron para una era diferente, y la brecha entre esas suposiciones y la realidad actual se está ampliando.
En resumen
El tráfico de bots maliciosos creció un 124% en un solo año, nueve veces más rápido que el tráfico humano. Los bots ya no se dirigen a los bordes de los sitios web; están llegando a las páginas de inicio de sesión, los flujos de pago y los sistemas de cuentas. Los rastreadores afiliados a IA de empresas como Meta y OpenAI representan decenas de miles de millones de solicitudes. La mayoría de los sitios web siguen estando en gran medida desprotegidos. Los humanos todavía generan la mayoría de las solicitudes web, pero la proporción automatizada está creciendo rápidamente y las herramientas que las empresas utilizan para gestionar ese tráfico no han seguido el ritmo.
Basado en información de Fast Company - Tech.