10 de septiembre de 2026 - Tiempo de lectura 6 min

El vuelco demográfico de la web: el tráfico no humano ya es mayoría en internet

El estudio Bad Bot Report de Thales cifra en más del 53% la proporción de tráfico automatizado, un umbral que obliga a reinterpretar métricas de conversión, dimensionamiento en la nube y control de identidad.

Esta cifra supone un punto de inflexión, ya que altera las analíticas de medición de la audiencia y obliga a revisar las estrategias de seguridad. Para los departamentos de TI, esto significa que una parte cada vez mayor del tráfico no procede de usuarios reales, pero sí consume recursos y aumenta la presión operativa. Todo ello exige adaptar las infraestructuras, que ahora deben procesar un gran volumen de peticiones automatizadas.

Este cambio de escenario también obliga a las empresas a repensar sus modelos de medición y protección digital. Los servidores, las redes y los sistemas de seguridad ya no solo deben responder a usuarios humanos, sino también gestionar un volumen creciente de interacciones automatizadas que condiciona tanto la capacidad de las infraestructuras como la fiabilidad de los datos en los que se basan las decisiones.

El "turbo" de la inteligencia artificial: ¿por qué los bots son más peligrosos ahora?

El estudio de Thales señala que los ataques de bots impulsados por IA aumentaron 12,5 veces en un año. Este incremento se produce por una combinación especialmente eficaz en la que confluyen grandes modelos de lenguaje, una automatización adaptativa y una gran capacidad para aprender y sortear los mecanismos de defensa. Además, su detección se complica porque los ciberdelincuentes ya no tienen que depender de scripts rígidos y predecibles, sino de sistemas que ajustan su comportamiento en tiempo real.

Gracias a ello, los bots pueden imitar comportamientos humanos como los movimientos de ratón, las pausas de lectura o los cambios en la forma de navegar. También son capaces de sortear los sistemas CAPTCHA tradicionales y variar sus patrones de comportamiento para dificultar su identificación y bloqueo. De esta forma, estos bots pueden eludir con éxito los filtros perimetrales y los sistemas de seguridad estándar que se apoyan principalmente en reglas o firmas estáticas para detectarlos.

Diferencias entre bots "buenos" y "maliciosos"

No todo el tráfico automatizado es una amenaza. Una parte cumple funciones esenciales para la web. Se trata de bots legítimos cuyas funcionalidades hacen posible que los contenidos se indexen, las alertas funcionen y los servicios se supervisen. Veamos las diferencias entre unos y otros:

1. Bots legítimos: el motor invisible de la indexación y los servicios públicos. Suponen aproximadamente un 13% del tráfico web total y son esenciales para mantener el orden y la accesibilidad de la información. Este grupo incluye los rastreadores de motores de búsqueda como Googlebot, encargados de catalogar el contenido global; los sistemas de asistencia de voz; las herramientas de monitorización de salud web que evalúan la disponibilidad de los servidores; y los agregadores de feeds que consolidan los flujos informativos.
2. Bad bots: la suplantación de identidad, el fraude y el raspado de datos masivo. Alrededor del 40% del tráfico web total corresponde a bots maliciosos o abusivos. Estos agentes protagonizan incidentes críticos de ciberseguridad de diferentes formas:

• Ataques de credential stuffing: ejecución masiva y automatizada de intentos de acceso mediante credenciales previamente filtradas, con el objetivo de tomar el control de cuentas de usuario.
• Web scraping descontrolado: extracción masiva de datos e información corporativa, que pueden emplearse, entre otros fines, para el entrenamiento de nuevos modelos de lenguaje sin consentimiento de sus propietarios.
• Fraude en pasarelas de pago: testeo automatizado de tarjetas de crédito y manipulación de flujos transaccionales para validar datos financieros robados.
• Ataques DDoS de nueva generación: inundación de peticiones distribuidas cada vez más sofisticadas, capaces de asemejarse al tráfico legítimo y dificultar su detección mediante mecanismos tradicionales.

Los sectores en el punto de mira: ¿quiénes sufren el impacto de los bots de IA?

El estudio de Thales muestra el impacto creciente de los ataques de bots impulsados por IA en sectores como el comercio electrónico, los servicios financieros, el sector sanitario y las administraciones públicas. Así, en el e-commerce, el scalping puede agotar el stock en milisegundos y deteriorar la experiencia del cliente, mientras que en la banca y en los servicios financieros, el abuso de APIs puede afectar a servicios críticos y comprometer la disponibilidad de la banca online.

En el ámbito sanitario y en las administraciones públicas, donde cada vez más trámites y servicios se prestan a través de canales digitales, el tráfico automatizado malicioso puede incrementar la presión sobre aplicaciones y APIs, además de favorecer intentos de acceso fraudulento o extracción masiva de información.

Consecuencias empresariales: pérdidas económicas ocultas y costes de infraestructura

El incremento de actividades automatizadas hostiles repercute directamente en la cuenta de resultados de las empresas. Dado que más del 53% del tráfico de internet es automatizado, las compañías pueden asumir costes adicionales en servidores, capacidad de procesamiento y ancho de banda en la nube para atender peticiones que no proceden de usuarios reales ni generan conversiones.

A este coste hay que añadir el desgaste operativo de los departamentos de TI ya que los equipos de soporte técnico y los especialistas en ciberseguridad tienen que dedicar parte de sus recursos a mitigar incidentes continuos, resolver bloqueos de cuentas provocados por falsos positivos y depurar bases de datos comerciales contaminadas por registros artificiales.

Estrategias de mitigación: cómo proteger tus aplicaciones y APIs

La contención de los ataques de bots impulsados por IA exige abandonar los enfoques de protección estáticos e implementar defensas dinámicas multicapa capaces de contrarrestar la automatización. Entre las medidas más adecuadas destacan:

• Análisis de comportamiento mediante Machine Learning para detectar patrones anómalos y diferenciar con mayor precisión entre usuarios legítimos y tráfico automatizado.
• Protección avanzada y cifrado de endpoints de APIs, implementando mecanismos de autenticación robustos, validación de esquemas y protección de los puntos de acceso frente a usos no autorizados.
• Firewalls de Aplicación Web (WAF) de última generación para incorporar inteligencia de amenazas actualizada y detectar comportamientos de riesgo asociados al tráfico automatizado.
• Bloqueo y gestión de firmas de navegadores automatizados para identificar e interceptar.

Rediseñar las defensas digitales para una web dominada por bots

La rápida adopción de la IA por parte de los ciberdelincuentes ha dejado obsoletas muchas de las estrategias tradicionales de seguridad perimetral. Los ataques de bots impulsados por IA exigen modelos de defensa más flexibles, con mayor capacidad de observación y mejor integrados con aplicaciones, APIs y datos.

Por ello, es importante analizar qué parte del tráfico que recibe cada entorno procede realmente de usuarios y qué peso tienen los procesos automatizados en la operativa diaria. Sin esa visibilidad, las empresas corren el riesgo de tomar decisiones sobre una realidad que ya no depende exclusivamente de los usuarios humanos.

Auditar periódicamente el tráfico, identificar comportamientos anómalos y contar con soluciones de ciberseguridad para empresas capaces de gestionar bots avanzados se convierte así en una parte esencial de la estrategia de ciberseguridad. En una web donde el tráfico automatizado ya es mayoritario, saber quién o qué interactúa con los sistemas es el primer paso para proteger aplicaciones, datos y servicios digitales.