Los bots ya generan más tráfico que los humanos en internet

El crecimiento del tráfico automatizado está cambiando la forma en que funciona internet. Durante años se pensó la web como un espacio diseñado principalmente para personas: usuarios que leen, compran, buscan información, llenan formularios, ven videos o interactúan con servicios digitales. Sin embargo, esa idea ya no describe completamente la realidad. Hoy, una parte mayoritaria del tráfico web proviene de bots, scripts, rastreadores, sistemas automatizados y agentes impulsados por inteligencia artificial.

El informe Bad Bot Report 2026 de Imperva, una compañía de Thales, señala que los bots ya representan más del 53 % del tráfico web, mientras que la actividad humana queda en torno al 47 %. El mismo análisis indica que los bots maliciosos por sí solos representan aproximadamente el 40 % del tráfico global, una cifra especialmente preocupante para empresas, sitios web, plataformas digitales y servicios en línea.

Qué es un bot en internet

Un bot es un programa automatizado que realiza tareas en internet sin intervención humana directa en cada acción. Puede visitar páginas, enviar solicitudes, recopilar información, completar formularios, iniciar sesión, comparar precios, probar contraseñas, publicar contenido o interactuar con APIs.

No todos los bots son dañinos. Algunos cumplen funciones necesarias para que internet funcione correctamente. Por ejemplo, los motores de búsqueda usan rastreadores para indexar páginas; algunas herramientas de monitoreo revisan si un sitio está disponible; los asistentes de IA pueden consultar información pública para responder preguntas; y ciertos sistemas empresariales automatizan tareas repetitivas.

El problema aparece cuando la automatización se usa para abuso, fraude o ataques.

La discusión actual no es simplemente “bots sí” o “bots no”. El verdadero desafío es distinguir qué automatización es legítima, cuál es abusiva y cuál es directamente maliciosa.

Por qué los bots ya superan a los humanos

Hay varias razones que explican este crecimiento. La primera es económica: automatizar acciones es barato. Un atacante puede lanzar miles o millones de solicitudes con bajo costo, mientras que defenderse exige infraestructura, monitoreo y personal especializado.

La segunda razón es tecnológica. La inteligencia artificial facilita la creación de bots más sofisticados, capaces de imitar patrones humanos, variar comportamientos, generar texto, resolver interacciones simples y adaptarse a defensas tradicionales. Thales advierte que la IA está haciendo que los bots sean más difíciles de detectar, porque la línea entre automatización legítima, agentes de IA y tráfico malicioso es cada vez menos clara.

La tercera razón es comercial. Muchas empresas dependen de recopilar datos, comparar precios, monitorear competencia, alimentar modelos de IA o automatizar tareas de compra y navegación. Esto aumenta el volumen de tráfico no humano, incluso cuando no existe una intención criminal.

Bots buenos, bots grises y bots malos

Para entender el fenómeno conviene dividir los bots en tres grupos.

Los bots buenos cumplen tareas aceptadas, identificables y útiles. Por ejemplo, los rastreadores de buscadores, verificadores de seguridad autorizados, herramientas de accesibilidad, monitores de disponibilidad o integraciones empresariales legítimas.

Los bots grises no siempre son claramente maliciosos, pero pueden generar problemas. Por ejemplo, bots que extraen contenido de forma masiva, comparadores de precios agresivos, sistemas de entrenamiento de IA que consumen recursos o herramientas que copian información sin autorización clara.

Los bots malos se usan para ataques, fraude o abuso. Aquí entran los intentos de robo de cuentas, credential stuffing, scraping agresivo, spam, fraude publicitario, acaparamiento de inventario, ataques a APIs, abuso de formularios y denegación de servicio.

Este matiz es importante porque bloquear todo el tráfico automatizado puede afectar visibilidad, integraciones y servicios legítimos.

Qué hacen los bots maliciosos

Los bots maliciosos no se limitan a visitar páginas. Muchos atacan procesos de negocio. Por eso, el problema ya no es solo técnico, sino también comercial y operativo.

Algunas actividades frecuentes son:

Imperva indica que en 2025 bloqueó 17,2 billones de solicitudes de bots maliciosos, una señal del volumen masivo del problema.

El papel de la inteligencia artificial

La inteligencia artificial ha cambiado la naturaleza del tráfico automatizado. Antes, muchos bots eran scripts relativamente simples: repetían una acción, enviaban solicitudes parecidas y podían detectarse con reglas básicas. Hoy, algunos sistemas automatizados pueden comportarse de forma más flexible.

Los agentes de IA pueden navegar, leer páginas, comparar información, interactuar con formularios y ejecutar tareas encadenadas. Esto puede ser útil para asistentes personales, atención al cliente, automatización empresarial o investigación. Pero también puede ser usado para fraude, scraping sofisticado o ataques que imitan mejor a un usuario humano.

HUMAN Security, en su informe sobre tráfico de IA y ciberamenazas de 2026, señala que el tráfico automatizado crece mucho más rápido que el tráfico humano y que la composición de esa automatización está cambiando con la aparición de sistemas de IA que participan en comercio digital e interacciones web.

Esto obliga a rediseñar la seguridad web. Ya no basta con preguntar si algo es bot o humano. Ahora hay que preguntar: ¿qué está intentando hacer esa automatización?

Por qué las APIs son un objetivo importante

Muchas aplicaciones modernas funcionan mediante APIs. Una página web, una app móvil, una plataforma de pagos o un sistema empresarial se comunica con servicios internos a través de APIs. Los bots atacan estas interfaces porque suelen exponer funciones críticas: login, búsqueda, consulta de precios, disponibilidad, compras, formularios y datos de usuario.

El informe de Thales señala que los bots ya no solo interactúan con interfaces visibles, sino también con aplicaciones y APIs, lo que aumenta el riesgo de abuso de lógica de negocio.

Ejemplo: un bot puede no “ver” una tienda como la ve un usuario humano, pero puede enviar miles de solicitudes directas al endpoint que consulta precios o disponibilidad. Esto permite extraer datos, acaparar inventario o probar acciones masivas sin pasar por la interfaz tradicional.

Impacto en empresas y sitios web

El aumento de bots afecta directamente a las empresas. No es solo un asunto de ciberseguridad avanzada. También afecta costos, analítica, reputación y experiencia del usuario.

Un sitio puede creer que aumentó su tráfico, cuando en realidad creció el volumen de bots. Esto puede llevar a malas decisiones de marketing, inversión publicitaria o infraestructura.

El problema de las métricas falsas

Uno de los efectos menos evidentes es la distorsión de datos. Si una parte importante del tráfico no proviene de humanos, las métricas tradicionales deben interpretarse con cautela.

Por ejemplo:

• más visitas no siempre significan más interés real;
• más clics no siempre equivalen a mejor campaña;
• más registros pueden ser cuentas falsas;
• más consultas a productos pueden ser scraping;
• más tráfico desde ciertas regiones puede venir de centros de datos o VPN;
• más intentos de login pueden ser ataques automatizados.

En un internet dominado por automatización, la calidad del tráfico importa más que el volumen.

Qué puede hacer un sitio web para protegerse

La defensa contra bots debe combinar varias capas. No existe una única solución perfecta.

Medidas recomendadas:

No conviene depender solo de CAPTCHAs. Muchos bots modernos pueden evitarlos, tercerizarlos o adaptarse. Además, los CAPTCHAs mal implementados deterioran la experiencia de usuarios reales.

Cómo diferenciar tráfico legítimo y sospechoso

Algunas señales pueden ayudar a identificar tráfico automatizado problemático:

La clave es analizar comportamiento, no solo identidad. Algunos bots se presentan como navegadores comunes, por lo que bloquear por user-agent ya no es suficiente.

Qué deben hacer las pymes

Muchas pymes creen que este problema solo afecta a grandes empresas. No es así. Los bots también atacan sitios pequeños porque suelen estar menos protegidos. Un formulario de contacto, una tienda online, un WordPress, un Moodle o una página corporativa pueden recibir tráfico automatizado.

Recomendaciones prácticas para pymes:

• mantener actualizado WordPress, plugins y temas;
• usar un firewall de aplicaciones web;
• activar protección anti-spam en formularios;
• limitar intentos de inicio de sesión;
• usar autenticación en dos pasos;
• revisar logs de acceso;
• bloquear países o rangos solo si existe evidencia;
• proteger APIs y formularios críticos;
• usar CDN con protección anti-bot;
• monitorear tráfico anómalo.

La seguridad no debe esperar a que ocurra un ataque.

Bots y WordPress

WordPress es un objetivo frecuente porque es muy usado. Los bots suelen buscar páginas de login, plugins vulnerables, formularios abiertos, comentarios sin protección o endpoints expuestos.

Medidas básicas:

Para un blog o sitio institucional, estas acciones reducen significativamente el ruido automatizado.

Bots y comercio electrónico

En e-commerce, los bots pueden generar pérdidas directas. Pueden copiar precios, comparar inventario, crear cuentas falsas, probar tarjetas robadas, acaparar productos o afectar campañas.

Ejemplos:

• bots que agregan productos al carrito para bloquear stock;
• bots que compran entradas o productos escasos para reventa;
• bots que prueban tarjetas robadas en pagos pequeños;
• bots que extraen catálogos completos;
• bots que manipulan reseñas o formularios;
• bots que saturan promociones.

En estos casos, la protección anti-bot debe integrarse con seguridad de pagos, monitoreo de fraude y reglas comerciales.

Bots y educación digital

Las plataformas educativas también pueden verse afectadas. Un Moodle, aula virtual o sistema académico puede recibir bots que intentan iniciar sesión, crear usuarios, enviar formularios o explotar vulnerabilidades.

Además, con herramientas de IA, puede aumentar el tráfico automatizado relacionado con extracción de contenidos, automatización de tareas o abuso de formularios.

Medidas recomendadas:

• autenticación segura;
• actualización de plataforma;
• revisión de logs;
• bloqueo de intentos repetidos;
• control de creación de cuentas;
• uso de HTTPS;
• permisos mínimos;
• copias de seguridad;
• políticas claras sobre automatización.

La seguridad educativa no debe limitarse a proteger calificaciones; también debe proteger datos personales y continuidad del servicio.

Qué cambia con los agentes de IA

Los agentes de IA introducen una categoría nueva. No siempre son bots maliciosos. Un asistente puede navegar en nombre del usuario para comparar vuelos, revisar precios, resumir documentos o buscar información. Pero desde el punto de vista de un sitio web, sigue siendo tráfico no humano.

Esto obliga a crear nuevas reglas. No todo agente debe bloquearse, pero tampoco debe tener acceso ilimitado.

Preguntas que las organizaciones deberán responder:

• ¿Permitiremos agentes de IA en nuestro sitio?
• ¿Qué datos pueden consultar?
• ¿Qué volumen de solicitudes aceptaremos?
• ¿Cómo identificaremos agentes legítimos?
• ¿Cómo evitaremos scraping abusivo?
• ¿Qué partes del sitio deben estar protegidas?
• ¿Cómo mediremos tráfico humano vs automatizado?
• ¿Qué impacto tendrá en publicidad, analítica y SEO?

La web se está moviendo hacia un modelo donde humanos y máquinas conviven como usuarios activos.

Recomendaciones para usuarios

Aunque los bots afectan principalmente a sitios y empresas, los usuarios también deben protegerse.

Buenas prácticas:

• usar contraseñas únicas;
• activar autenticación en dos pasos;
• revisar accesos sospechosos;
• no reutilizar claves entre servicios;
• desconfiar de correos automatizados extraños;
• evitar enlaces de promociones dudosas;
• cerrar sesiones en dispositivos ajenos;
• usar gestores de contraseñas;
• revisar actividad de cuentas importantes;
• reportar accesos no reconocidos.

Muchos ataques automatizados se alimentan de contraseñas filtradas. Si una persona reutiliza la misma clave en varios sitios, un bot puede probarla en múltiples servicios hasta encontrar una coincidencia.

Aplicación educativa del tema

Este tema es útil para clases de informática, ciberseguridad, comercio electrónico, transformación digital, marketing digital y gestión de plataformas web.

Actividades sugeridas:

Este enfoque ayuda a que los estudiantes comprendan que internet ya no está habitado solo por personas. También está habitado por programas que leen, copian, compran, atacan, comparan y toman decisiones.

Buenas prácticas para empresas

• Clasificar tráfico automatizado por intención.
• Proteger login, formularios y APIs.
• Usar MFA en cuentas críticas.
• Monitorear picos de tráfico no humano.
• Separar métricas humanas de tráfico automatizado.
• Implementar rate limiting inteligente.
• Revisar tráfico desde centros de datos.
• Mantener sistemas actualizados.
• Proteger inventario y precios en e-commerce.
• Usar herramientas anti-bot especializadas.
• Revisar políticas para rastreadores de IA.
• Educar al equipo sobre robo de credenciales.

La defensa no debe centrarse solo en bloquear. También debe entender, medir y gobernar la automatización.

Preguntas frecuentes sobre bots y tráfico de internet

¿Los bots ya generan más tráfico que las personas?

Sí. El Bad Bot Report 2026 de Imperva indica que los bots representan más del 53 % del tráfico web global, superando al tráfico humano.

¿Todos los bots son malos?

No. Existen bots legítimos, como rastreadores de buscadores, herramientas de monitoreo o integraciones automatizadas. El problema son los bots abusivos o maliciosos.

¿Qué porcentaje del tráfico corresponde a bots maliciosos?

El informe de Thales/Imperva indica que los bots maliciosos representan alrededor del 40 % del tráfico global.

¿Por qué la IA está aumentando el problema?

Porque facilita bots más sofisticados, capaces de imitar comportamientos humanos, generar texto, interactuar con sitios y automatizar tareas complejas.

¿Qué es credential stuffing?

Es un ataque en el que bots prueban combinaciones de usuarios y contraseñas filtradas en distintos servicios. Funciona especialmente cuando las personas reutilizan contraseñas.

¿Cómo afecta esto a una empresa?

Puede aumentar costos de infraestructura, contaminar métricas, facilitar fraudes, robar cuentas, saturar formularios, extraer datos y afectar la experiencia de usuarios reales.

¿Cómo se puede proteger un sitio web?

Con varias capas: firewall de aplicaciones, protección anti-bot, rate limiting, seguridad en APIs, MFA, monitoreo de logs, actualización constante y controles contra abuso de formularios.

Recuerde que…

El crecimiento de bots tráfico internet marca un cambio estructural en la web. Internet ya no puede entenderse como un espacio dominado por usuarios humanos. Los bots, agentes de IA, scrapers, rastreadores y sistemas automatizados generan la mayor parte del tráfico web. Algunos son útiles, otros son ambiguos y muchos son maliciosos. Para empresas, docentes, administradores web y usuarios, el reto ya no es solo conectarse a internet, sino aprender a distinguir tráfico real, automatización legítima y abuso digital. La seguridad, la analítica y el diseño de servicios deben adaptarse a una web donde las máquinas también navegan.

Pueden leer más contenido en fernandojuca.com así como videotutoriales y podcast en youtube.com/fernandojucamaldonado.

Fernando Juca Maldonado

Ingeniero en Sistemas de Información y docente universitario en el área de tecnología. Especialista en el desarrollo de sitios web, plataformas e-commerce y entornos virtuales de aprendizaje basados en Moodle. Experiencia en soluciones tecnológicas aplicadas a la educación y a la transformación digital de organizaciones.