En el panorama digital actual, donde las aplicaciones y las API son el motor de las empresas, acecha una amenaza silenciosa: bots adversarios sofisticados. Mientras que las medidas de seguridad tradicionales se centran en prevenir ataques maliciosos, las amenazas automatizadas consiguen pasar desapercibidas imitando el comportamiento humano y aprovechando de formas inesperadas las deficiencias en la lógica de las aplicaciones.
El informe publicado recientemente por F5 Labs, «Informe de 2025 sobre bots persistentes avanzados», arroja luz sobre la evolución de las tácticas de los bots persistentes avanzados y los retos que plantean. Aunque le recomendamos leer el informe completo, estas son tres tendencias que me han llamado la atención en el estudio de este año y las medidas que pueden adoptar las empresas para protegerse.
1. Relleno de credenciales: cuando las contraseñas robadas dejan al descubierto datos valiosos
Imagine una situación en la que los ciberdelincuentes utilizan credenciales robadas fácilmente disponibles para acceder a cuentas de usuario confidenciales. Esta es la realidad del relleno de credenciales, un ataque frecuente impulsado por bots que aprovecha la práctica generalizada de reutilizar contraseñas. Según F5 Labs, en algunas organizaciones, más del 80 % del tráfico de inicio de sesión procede de ataques de relleno de credenciales lanzados por bots. El informe destaca que, incluso con una baja tasa de éxito de entre el 1 % y el 3 % por campaña de ataque, el enorme volumen de inicios de sesión automatizados se traduce en un número considerable de cuentas comprometidas.
“Mientras que las medidas de seguridad tradicionales se centran en prevenir ataques maliciosos, las amenazas automatizadas consiguen pasar desapercibidas al imitar el comportamiento humano y aprovechar de formas inesperadas las deficiencias de la lógica de las aplicaciones.”
Incidentes como la brecha de seguridad de PayPal de 2022, en la que se accedió a casi 35.000 cuentas de usuario y se expuso información personal con un gran potencial de monetización, proporcionan enormes bases de datos de nombres de usuario y contraseñas que pueden utilizarse con fines maliciosos en otros servicios en línea. Dado que muchas personas reutilizan sus contraseñas, incluso una tasa de éxito reducida puede generar importantes beneficios. Estos datos pueden utilizarse posteriormente para realizar transacciones fraudulentas o robar información, o venderse en la web oscura para llevar a cabo ataques dirigidos.
En los últimos años, varias marcas conocidas han informado de ataques de relleno de credenciales. El declive de la empresa de pruebas genéticas 23andMe se atribuyó, en parte, a una campaña de relleno de credenciales que expuso información sobre la salud y la ascendencia de sus clientes. Se descubrió que los datos estaban a la venta en la web oscura por 1.000 dólares por 100 perfiles y hasta 100.000 dólares por 100.000 perfiles.
La empresa señaló como principal fallo la escasa adopción por parte de los clientes de la opción de autenticación multifactor (MFA) del sitio web, pero, en realidad, el carácter insidioso del relleno de credenciales reside en su capacidad para eludir las medidas de seguridad tradicionales. Dado que los bots utilizan credenciales legítimas y no intentan aprovechar ninguna vulnerabilidad, no activan las alarmas habituales. La MFA puede ayudar, pero, debido al auge de los proxies de phishing en tiempo real (RTPP), no es infalible. Las organizaciones deben implementar soluciones inteligentes de detección de bots que analicen los patrones de inicio de sesión, las huellas digitales de los dispositivos y las anomalías de comportamiento para descubrir qué está ocurriendo realmente.
2. El sector hotelero, bajo asedio: bots de tarjetas regalo y auge del «carding»
Aunque los sectores financiero y minorista suelen considerarse objetivos prioritarios de los ciberataques, una investigación de F5 Labs reveló que el sector de la hostelería es uno de los principales objetivos de la actividad de bots maliciosos. En concreto, se ha observado que los bots de «carding» y de tarjetas regalo atacan sitios web y API del sector de la hostelería, y algunas organizaciones han experimentado un aumento del 300 % en la actividad de bots maliciosos con respecto al año pasado. El informe también señala que está aumentando el valor medio de las tarjetas regalo atacadas por bots.
El carding utiliza bots para validar números de tarjetas de crédito robados probándolos rápidamente en páginas de pago y API. Los bots de tarjetas regalo explotan los programas de fidelización y los sistemas de tarjetas regalo. Los atacantes los utilizan para consultar saldos, transferir puntos o canjear recompensas de forma ilegal. Estos bots suelen aprovechar vulnerabilidades como patrones simples e identificadores secuenciales de tarjetas regalo.
La vulnerabilidad del sector hotelero se debe a que los puntos de fidelidad y las tarjetas regalo son, en esencia, moneda digital. Los ciberdelincuentes pueden convertir fácilmente estos activos en efectivo o utilizarlos para adquirir bienes y servicios.
Para protegerse, las empresas del sector hotelero deben implementar estrategias sólidas de detección y mitigación de bots, diseñadas específicamente para hacer frente a este tipo de amenazas. Esto incluye supervisar la actividad de las tarjetas regalo, analizar los patrones de las transacciones e implementar soluciones capaces de diferenciar entre personas y bots. Los CAPTCHA, que en su día fueron la solución de referencia para bloquear bots, llevan años siendo sorteados fácilmente por sus operadores, como veremos a continuación.
3. Burlando a los guardianes: proxies residenciales y la inutilidad de los CAPTCHA
Las defensas tradicionales contra bots, como los CAPTCHA y el bloqueo de direcciones IP, están dejando de ser eficaces ante tácticas de evasión cada vez más sofisticadas. Los operadores de bots pueden externalizar fácilmente la resolución de CAPTCHA a granjas de clics, donde se pagan pequeñas cantidades a personas para que resuelvan estas pruebas bajo demanda.
Además, el auge de las redes de proxies residenciales es un factor importante. Estas redes canalizan el tráfico de bots a través de direcciones IP residenciales mediante dispositivos comprometidos, ocultando las verdaderas direcciones IP de los bots. El informe de F5 Labs indica que los operadores de bots utilizan ya de forma generalizada los proxies residenciales y que la mayor parte del tráfico de bots parece proceder ahora de estas redes.
El proveedor de gestión de identidades Okta destacó el papel de la amplia disponibilidad de servicios de proxy residencial en el aumento de los ataques de relleno de credenciales contra sus usuarios el año pasado. La empresa afirmó que millones de solicitudes falsas se habían canalizado a través de proxies residenciales para que parecieran proceder de los dispositivos móviles y navegadores de usuarios corrientes, en lugar del espacio de direcciones IP de proveedores de servidores privados virtuales (VPS).
Para combatir eficazmente estas avanzadas técnicas de evasión, las organizaciones deben ir más allá de las defensas tradicionales y adoptar soluciones inteligentes contra bots. Estas soluciones utilizan el aprendizaje automático y el análisis del comportamiento para identificar los bots en función de sus características específicas. Al centrarse en comportamientos similares a los humanos, en lugar de depender de direcciones IP o CAPTCHA, las organizaciones pueden detectar y bloquear con mayor precisión los ataques sofisticados de bots.
Navegar por el panorama de riesgos: cómo encontrar el equilibrio ideal para la defensa contra bots
En última instancia, el nivel de protección contra bots que implemente una organización dependerá de su tolerancia al riesgo. Cada empresa debe sopesar los posibles costes y beneficios de las distintas estrategias de mitigación y determinar el nivel de riesgo que está dispuesta a aceptar.
Eliminar por completo todo el tráfico de bots puede no ser viable —ni siquiera deseable—, ya que algunas actividades automatizadas son legítimas y beneficiosas. Sin embargo, no hacer frente a la actividad de bots maliciosos puede provocar importantes pérdidas económicas, daños reputacionales y frustración entre los clientes.
La clave está en encontrar el equilibrio adecuado. Si comprende los distintos tipos de bots que atacan a su organización, evalúa el posible impacto de sus actividades e implementa medidas adecuadas de detección y mitigación, podrá gestionar eficazmente el riesgo asociado a los bots y proteger tanto a su empresa como a sus clientes frente a las amenazas persistentes avanzadas de bots.
Para obtener más información, lea el informe completo aquí. También puede visitar nuestra página web de F5 Distributed Cloud Bot Defense.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.