El tráfico web ya no es mayoritariamente humano. Esa es la principal conclusión del 2025 Imperva Bad Bot Report, un informe elaborado por la firma tecnológica Thales, que alerta del papel creciente que tienen los bots automatizados —especialmente los maliciosos— en la actividad de internet. En 2024, el tráfico generado por bots superó al tráfico humano, alcanzando un 51% del total. Dentro de ese porcentaje, un preocupante 37% corresponde a bots maliciosos, también llamados bad bots, frente al 32% del año anterior.
La causa principal del auge de estos bots es la democratización de herramientas de inteligencia artificial como ChatGPT, ByteSpider, ClaudeBot o Google Gemini. “La aparición de herramientas de IA ha reducido significativamente las barreras de entrada para los atacantes cibernéticos, permitiéndoles crear y desplegar bots maliciosos a gran escala”, señala el informe.
Ciberdelincuentes más productivos, gracias a la IA
Este crecimiento se debe en gran parte a que los ciberatacantes ahora utilizan modelos de lenguaje y herramientas de IA para afinar sus estrategias. Gracias a estos sistemas, los atacantes pueden analizar sus fallos, mejorar sus técnicas de evasión de seguridad y lanzar más ataques en menos tiempo.
Un dato que ilustra este cambio es que ByteSpider Bot, un bot basado en IA, estuvo detrás del 54% de todos los ataques impulsados por inteligencia artificial. Le siguen AppleBot (26%), ClaudeBot (13%) y ChatGPT User Bot (6%).
“Los bad bots se están volviendo más prolíficos cada día”, afirma Tim Chang, director general de seguridad de aplicaciones en Thales. “Este auge tiene consecuencias muy serias para las empresas de todo el mundo”.
El sector turístico y el comercio, principales víctimas
Según el informe, los sectores más afectados por los bots maliciosos en 2024 fueron el turismo y el comercio minorista. En el primero, los bad bots representaron el 41% del tráfico total, mientras que en el comercio alcanzaron el 59%. En conjunto, el sector turístico fue el más atacado del año, acumulando el 27% de todos los ataques con bots.
El informe destaca además un cambio en la naturaleza de los ataques: aunque antes predominaban los bots avanzados, en 2024 se dispararon los ataques con bots simples, que ya representan el 52% del tráfico malicioso en turismo. Esto demuestra que, con la ayuda de la IA, incluso actores con pocos conocimientos técnicos pueden lanzar campañas automatizadas de forma masiva.
Las APIs, un objetivo cada vez más vulnerable
Uno de los focos principales de los bots maliciosos es el ataque a APIs, interfaz clave para el funcionamiento de muchas aplicaciones modernas. Según los datos del informe, el 44% del tráfico de bots avanzados en 2024 se dirigió contra APIs, con especial énfasis en explotar la lógica de negocio que las sustenta.
Estos ataques no solo buscan saturar los sistemas, sino que se dirigen a procesos complejos como fraudes de pago, secuestro de cuentas o extracción de datos sensibles. Las APIs, fundamentales para funciones como pagos, gestión logística o análisis con IA, se han convertido en uno de los elementos más críticos —y vulnerables— del ecosistema digital actual.
“Las características que hacen de las APIs herramientas tan potentes también las convierten en puntos críticos de riesgo”, explica Tim Chang. “Las organizaciones deben entender que la adopción de arquitecturas basadas en la nube y microservicios aumenta su superficie de ataque”.
Sanidad, finanzas y comercio electrónico, en el punto de mira
El informe también analiza los sectores más golpeados por los ataques de bots contra APIs. Servicios financieros, sanidad y comercio electrónico lideran la lista, ya que dependen intensamente de estas interfaces para manejar operaciones sensibles.
En el caso de los servicios financieros, se produjo el mayor número de intentos de secuestro de cuentas (22% del total de ataques), seguidos por las telecomunicaciones (18%) y el sector tecnológico (17%). El valor de las credenciales bancarias y los datos personales hace de este sector un objetivo muy atractivo, más aún cuando la proliferación de APIs ha incrementado los posibles puntos de acceso para los atacantes.
Una amenaza en auge que exige nuevas estrategias
Los datos del informe de Thales —basados en el análisis de 13 billones de peticiones de bots bloqueadas en miles de dominios— dibujan un panorama preocupante. La creciente profesionalización de los ataques, impulsada por un incipiente ecosistema de Bots-as-a-Service, ha hecho que técnicas antes consideradas avanzadas sean hoy de uso común.
En este contexto, las empresas deben adoptar enfoques más proactivos y adaptativos, utilizando herramientas especializadas de detección de bots y estrategias de ciberseguridad que consideren la evolución constante de estas amenazas. “Ya no basta con protegerse de lo que ya conocemos. Hay que anticiparse a lo que viene”, concluye Chang.
