Los equipos de ciberseguridad de las empresas han centrado su atención en la seguridad de las API, y con razón. En la economía digital, las API son la puerta de entrada a las empresas, un punto de acceso para dispositivos IoT, aplicaciones web y móviles y, cada vez más, aplicaciones basadas en IA que están transformando nuestra forma de hacer negocios. Por desgracia, las API también son la puerta de entrada para los ciberdelincuentes, muchos de los cuales recurren a bots para llevar a cabo ataques. Por tanto, es fundamental que los equipos de seguridad protejan las API y mitiguen los bots utilizados para atacarlas.
La lista de las diez principales vulnerabilidades de seguridad de las API de OWASP identifica claramente el papel fundamental que desempeñan los bots en los ataques contra las API. Tres de las diez principales vulnerabilidades de las API están directamente relacionadas con los bots:
- Autenticación deficiente: Los bots vulneran la autenticación mediante ataques de fuerza bruta, de diccionario y de relleno de credenciales, que provocan el secuestro de cuentas, fraudes, pérdidas económicas y el enfado de los clientes.
- Consumo de recursos sin restricciones: Los bots aprovechan el consumo de recursos sin restricciones y agotan la memoria y la capacidad de procesamiento de las API. Cuando los bots atacan API diseñadas para ser utilizadas por aplicaciones interactivas (aplicaciones web y móviles utilizadas por personas), el impacto en el rendimiento y los costes puede ser catastrófico.
- Acceso sin restricciones a flujos de negocio sensibles: El acceso excesivo a determinados flujos de negocio puede perjudicar a la empresa. Los revendedores no autorizados pueden agotar las existencias de productos y revenderlos a un precio considerablemente superior. Los spammers pueden aprovecharse del flujo de comentarios o publicaciones. Los atacantes pueden utilizar un sistema de reservas para reservar todas las franjas horarias disponibles. En estos casos, se utilizan bots para explotar estos flujos de negocio.
En su libro Hacking APIs: Breaking Web Application Programming Interfaces, el reconocido experto en ciberseguridad y API Corey J. Ball explica cómo los atacantes pueden utilizar herramientas automatizadas de descubrimiento de API (OWASP ZAP, Gobuster, Kiterunner) y fuzzing (Postman, Wfuzz y Burp Suite) para enviar miles de solicitudes a las API con el fin de detectar vulnerabilidades. Es necesario contar con un sistema de gestión de bots para identificar estas actividades de rastreo y reducir su eficacia.
Los bots no afectan a todas las API de la misma manera. Las API suelen estar protegidas mediante TLS mutuo, por lo que el riesgo de fallos de autenticación es bajo y se pueden aplicar límites de frecuencia a cada cliente autenticado. Las API que solo esperan recibir tráfico de aplicaciones web y móviles interactivas son las más vulnerables a los bots.
Defenderse de los bots es cada vez más difícil para las API que esperan tráfico iniciado por personas. Las bibliotecas de código abierto permiten eludir fácilmente la detección mediante la identificación de huellas digitales en las cabeceras, y los servicios para sortear los CAPTCHA y redirigir solicitudes a través de redes que contienen decenas de millones de direcciones IP residenciales están ampliamente disponibles para los operadores de bots. Las antiguas técnicas de análisis de cabeceras, las listas de bloqueo de IP y los CAPTCHA ya no son eficaces, lo que significa que los equipos de seguridad de aplicaciones que buscan mitigar los bots deben recurrir a una recopilación exhaustiva de señales del lado del cliente mediante JavaScript y SDK móviles, así como a sofisticados sistemas de aprendizaje automático para distinguir las herramientas de ataque y los comportamientos de los bots.
A medida que las aplicaciones de IA se implementen de forma más generalizada, será fundamental proteger las API y estos endpoints frente a ataques automatizados. En respuesta, OWASP ha publicado su lista de los 10 principales riesgos y medidas de mitigación de 2025 para los LLM y las aplicaciones de IA generativa. Para obtener más información, consulta mi publicación reciente, «Cómo atacan los bots a los modelos de lenguaje de gran tamaño».
¿Cuáles de las API de su organización son vulnerables a los bots? ¿Qué probabilidad hay de que sufran un ataque y cuál sería el coste de su impacto? ¿Cómo puede diseñar controles de seguridad que garanticen la protección necesaria frente a los bots? Estas son cuestiones importantes que conviene abordar en el modelado de amenazas. Para obtener más información sobre el impacto de los bots en el negocio, lea el informe técnico de F5 sobre el tema o solicite una consulta gratuita
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.