A estas alturas, probablemente ya hayas oído hablar de la adquisición frustrada y del incipiente conflicto legal entre Twitter, una empresa que no buscaba ser adquirida, y Elon Musk, que ha retirado su oferta de compra.
En el centro de este conflicto se encuentra la cuestión del tráfico de bots, un tema que conozco bastante bien. Durante los últimos seis años, mi trabajo ha consistido en dirigir un equipo de científicos de datos que analizan las interacciones web para identificar los bots, las aplicaciones a las que se dirigen y sus objetivos.
De media, unos 2.000 millones de transacciones pasan cada día por la infraestructura de defensa contra bots de F5, y hemos informado a cientos de empresas de prácticamente todos los sectores sobre su tráfico de bots.
Basándonos en esta experiencia, es casi seguro que el tráfico de bots de Twitter sea muy superior al que la empresa ha reconocido públicamente e incluso mayor de lo que cree internamente. Para ser justos, esto último probablemente sea aplicable a todas las organizaciones que son blanco de bots maliciosos o no deseados, pero que no utilizan la mejor tecnología disponible para eliminarlos.
Esto es parte de lo que hemos aprendido sobre los bots en los últimos años y por qué fue tan fácil llegar a esa conclusión.
Los bots siempre intentan conseguir algo.
Una organización que permite a sus clientes iniciar sesión en cuentas en línea verá intentos automatizados de acceder a la aplicación de inicio de sesión para cometer algún tipo de fraude. Una organización que ofrece precios especiales en línea verá cómo se utiliza la automatización para extraer precios, tarifas y cuotas con el fin de revenderlos. Hay decenas de ejemplos como estos.
En el caso de Twitter, uno de los principales incentivos es conseguir seguidores. Existe la percepción de que, cuantos más seguidores tiene alguien, más interesantes deben de ser sus tuits y, de hecho, las cuentas con más seguidores suelen tener una mayor influencia.
El objetivo de amplificar la influencia es donde este modelo puede resultar preocupante. Imagine la influencia que podría ejercer mediante el control automatizado de millones de cuentas de Twitter que interactúan con las cuentas reales de personajes públicos y ciudadanos particulares. Es probable que esto atraiga a actores estatales muy motivados y con recursos prácticamente ilimitados.
Si existen los incentivos y los medios, habrá más bots.
En Twitter no solo hay un enorme incentivo, sino también los medios para aprovecharlo. En Internet existen innumerables servicios (incluidos mercados de la web oscura y la web profunda) que ofrecen, a cambio de dinero, cuentas de Twitter, seguidores, «Me gusta» y retuits.
Con fines de investigación, probé estos servicios en una cuenta de Twitter que creé. Tras seguir haciendo pruebas, y por menos de 1.000 dólares, la cuenta tiene ahora casi 100.000 seguidores. Una vez publiqué un tuit totalmente incoherente y pagué a seguidores para que lo retuitearan. Y lo hicieron. Estas cuentas tienen nombres como TY19038461038 y también siguen a muchas otras cuentas.
Empecé a preguntarme lo fácil que sería crear una cuenta de Twitter mediante automatización. No soy programador, pero investigué sobre entornos de automatización en YouTube y Stack Overflow. Resulta que es fácil.
Llevando mis pruebas un paso más allá, durante un fin de semana escribí un script que crea automáticamente cuentas de Twitter. Mi script, bastante rudimentario, no fue bloqueado por ninguna contramedida. No intenté cambiar mi dirección IP ni mi agente de usuario, ni hice nada para ocultar mis actividades.
Si es así de fácil para una persona con conocimientos limitados, imagina lo fácil que resulta para una organización formada por personas altamente cualificadas y motivadas.
Las empresas suelen subestimar la magnitud de su problema con los bots.
Hace unos años, una red social estadounidense implementó la solución de defensa contra bots de F5 y descubrió que el 99 % del tráfico de inicio de sesión estaba automatizado. Sí, ha leído bien: el 99 %.
De hecho, observamos que entre el 80 % y el 99 % del tráfico está automatizado en muchas aplicaciones. Estos resultados no son casos aislados, sino que son habituales en numerosas organizaciones (minoristas, entidades financieras, empresas de telecomunicaciones y restaurantes de comida rápida, por citar algunos ejemplos).
Por supuesto, fue una noticia devastadora para la empresa. Sabían que tenían un problema con los bots, pero nunca imaginaron que fuera tan grave. No tardaron en comprender las implicaciones. Solo una ínfima parte de sus cuentas de cliente pertenecía a clientes humanos reales. El resto eran bots.
Para las empresas de redes sociales, el número de usuarios activos diarios (DAU), que representa un subconjunto del total de cuentas, desempeña un papel importante en su valoración. Revelar que su cifra de DAU era solo una fracción de lo que creían provocó una caída significativa de su valor.
Las empresas que se benefician de los bots no siempre quieren saberlo.
Se podría argumentar que habría sido mejor para los accionistas de esa empresa que la organización nunca hubiera descubierto la verdad y se hubiera limitado a afirmar que su problema con los bots era inferior al 5 %.
Esta presión no solo afecta a las redes sociales cuya valoración viene determinada por el número de usuarios activos diarios (DAU). También afecta a las empresas que venden productos muy demandados con existencias limitadas, como entradas para conciertos, zapatillas, bolsos de diseño o el próximo iPhone.
Cuando estos productos se agotan en cuestión de minutos debido a los bots y luego se revenden en el mercado secundario a precios desorbitados, los clientes se molestan. Sin embargo, la empresa sigue vendiendo rápidamente todas sus existencias.
En estos casos, una empresa puede querer aparentar que está haciendo todo lo posible para detener a los bots, aunque en privado haga muy poco.
No es solo cosa de Twitter: el problema de los bots nos afecta a todos.
Cuando considero el volumen y la velocidad de la automatización que estamos viendo hoy en día, la sofisticación de los bots que probablemente atraiga un determinado conjunto de incentivos y la relativa falta de contramedidas que observé en mi propia investigación, solo puedo llegar a una conclusión: con toda probabilidad, más del 80 % de las cuentas de Twitter son en realidad bots. Esto, por supuesto, es solo mi opinión.
Estoy seguro de que Twitter, como cualquier otra empresa, intenta evitar la automatización no deseada en su plataforma. Sin embargo, es probable que se enfrente a una automatización muy sofisticada por parte de actores sumamente motivados. En esas circunstancias, combatir los bots no es algo que pueda hacerse por cuenta propia. Se necesitan herramientas igual de sofisticadas.
Sin embargo, aquí hay algo mucho más importante en juego. El problema de los bots trasciende cualquier ingreso publicitario, cotización bursátil o valoración empresarial. Permitir que este problema persista amenaza los propios cimientos de nuestro mundo digital.
Permitir que los bots proliferen desde cualquier lugar da lugar a fraudes masivos que cuestan miles de millones. Arruina la vida de las personas y proporciona herramientas a países y organizaciones malintencionadas para difundir desinformación, generar conflictos e incluso influir en los procesos políticos. Esto supone más fraude, más desinformación y más conflictos que afectan a nuestra capacidad para comunicarnos y relacionarnos entre nosotros en todo el mundo.
Si como sociedad queremos disfrutar de todas las comodidades, los conocimientos, el entretenimiento y demás ventajas de Internet y de nuestro mundo móvil y conectado, debemos tomar medidas contra el tráfico automatizado en línea. La única forma de combatir los bots es mediante una automatización propia altamente sofisticada.
Por Dan Woods, director global de Inteligencia de F5
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.