A internet sempre teve bots. O que está mudando, a um ritmo que a maioria das coberturas subestima, é para onde esses bots estão indo e o que estão fazendo quando chegam lá. Um novo relatório da DataDome, com base em mais de 1 trilhão de solicitações web em mais de 75.000 sites de clientes, oferece uma das imagens mais claras até o momento de como o tráfego automatizado está remodelando o ambiente online. O número principal é impressionante: o tráfego de bots maliciosos cresceu 124% entre julho de 2025 e junho de 2026. Isso é nove vezes mais rápido do que o tráfego humano cresceu durante o mesmo período.
Os Bots Não Estão Mais Batendo na Porta da Frente
Por anos, o modelo mental padrão de um ataque de bots envolvia as bordas de um site, como scrapers coletando conteúdo público, crawlers indexando páginas e ferramentas automatizadas sondando vulnerabilidades superficiais. Esse modelo agora está desatualizado.
De acordo com as descobertas da DataDome, os bots estão avançando mais fundo na arquitetura da jornada do cliente. Páginas de login, fluxos de criação de contas, carrinhos de compras e endpoints de pagamento agora são alvos principais. Os bots de IA, especificamente, estão visando páginas de login a uma taxa oito vezes maior do que a registrada no relatório do ano anterior. Esta não é uma mudança marginal. Ela representa uma mudança fundamental no que o tráfego automatizado está tentando realizar.
Jérôme Segura, VP de pesquisa de ameaças da DataDome, enquadra o desafio com precisão: a questão para as empresas não é mais simplesmente se o tráfego é automatizado, mas se essa automação é benéfica ou prejudicial. Alguns bots são legítimos. Crawlers de mecanismos de busca, ferramentas de acessibilidade e agentes de treinamento de IA geram tráfego automatizado com propósitos defensáveis. O problema é que a infraestrutura para distinguir a boa automação da ruim não acompanhou o volume ou a sofisticação do que está chegando.
Quem Está Enviando os Bots e O Que Eles Querem?
O relatório da DataDome identificou 52,7 bilhões de solicitações de crawlers de agentes de IA e LLMs durante o período do estudo. Mais de 46% dessas solicitações vieram de sistemas afiliados à Meta. A OpenAI foi a segunda maior fonte, respondendo por quase 35% do total. Esses figuras refletem a escala em que as empresas de IA estão coletando conteúdo web, seja para dados de treinamento, sistemas de recuperação ou outros propósitos.
O aumento de 185% na atividade de scraping se encaixa nesse contexto. Como os sistemas de IA exigem conjuntos de dados cada vez maiores, o incentivo para rastrear e extrair conteúdo web em escala cresce correspondentemente. Isso não é inerentemente malicioso, mas impõe uma carga significativa a sites que não foram projetados para lidar com isso, e levanta questões não resolvidas sobre consentimento e compensação para criadores de conteúdo.
Separado do scraping, o uso de bots para scalping, a compra automatizada de ingressos e itens de alta demanda para revenda, cresceu a quase três vezes o ritmo do ano anterior. Ted Miracco, CEO da plataforma de software em nuvem Approov, descreve a consequência comercial diretamente: o scalping transforma os melhores clientes de uma empresa em seus clientes mais irados. Os efeitos a jusante incluem margens mais baixas, boa vontade do cliente danificada e interrupção de estoque. Esses não são riscos abstratos. Eles são problemas operacionais que afetam a receita e a reputação.
A lacuna de proteção é significativa. A DataDome testou 20.000 sites e descobriu que 65,3% não tinham proteção contra os dez tipos de bots incluídos no estudo. Apenas 2,4% dos sites estavam totalmente protegidos, um número que caiu de 8,4% em 2024 e de 2,8% no relatório anterior mais recente.
O Que Isso Significa Além da Conversa sobre Segurança
As descobertas da DataDome chegam junto com dados separados da Cloudflare mostrando que os bots já respondem pela maioria do tráfego web, com números citados em 57,4% e subindo para 62,5%. Tomados em conjunto, esses números levantam uma pergunta que vai além da cibersegurança: o que significa para a web quando a maior parte do seu tráfego não é humana?
Segura tem o cuidado de rejeitar a interpretação mais dramática, às vezes chamada de “teoria da internet morta”, que sustenta que a internet já é dominada por conteúdo automatizado e interação entre bots com pouca presença humana genuína. Seus dados não apoiam essa conclusão. Em toda a análise de tráfego de clientes da DataDome, os humanos ainda geraram 73,4% das solicitações, mesmo com o tráfego automatizado crescendo a nove vezes a taxa humana.
A preocupação mais precisa não é que os humanos tenham desaparecido da web, mas que os sistemas que as empresas usam para atender a esses humanos estejam sob pressão crescente de atividades automatizadas que não foram previstas quando esses sistemas foram projetados. Controles estáticos baseados em identidade, do tipo que verificam se um usuário se parece com um agente malicioso conhecido, não são mais suficientes. Decisões em tempo real sobre qual tráfego automatizado permitir e qual bloquear estão se tornando um requisito básico em vez de um recurso avançado.
É isso que a maioria das coberturas de estatísticas de bots deixa passar. Os números são alarmantes, mas a implicação estrutural é mais importante: as premissas de segurança da web foram construídas para uma era diferente, e a lacuna entre essas premissas e a realidade atual está se alargando.
Resumindo
O tráfego de bots maliciosos cresceu 124% em um único ano, nove vezes mais rápido do que o tráfego humano. Os bots não estão mais visando as bordas dos sites; eles estão alcançando páginas de login, fluxos de pagamento e sistemas de contas. Crawlers afiliados à IA de empresas incluindo Meta e OpenAI respondem por dezenas de bilhões de solicitações. A maioria dos sites permanece amplamente desprotegida. Os humanos ainda geram a maioria das solicitações web, mas a parcela automatizada está crescendo rápido, e as ferramentas que as empresas usam para gerenciar esse tráfego não acompanharam o ritmo.
Com base em reportagem de Fast Company - Tech.