Los proveedores de IA generativa están reescribiendo las reglas del tráfico automatizado – Informe de F5

• Un nuevo informe de F5 Labs revela que más de la mitad de las solicitudes de páginas de contenido web ya están automatizadas, a medida que se intensifica el uso de rastreadores basados en LLM.
• Más de un tercio de los intentos de inicio de sesión en el sector tecnológico son ataques de apropiación de cuentas.
• La sanidad y la hostelería son los sectores más atacados en la web; el entretenimiento es el más atacado en dispositivos móviles.

SEATTLE – El auge de la IA generativa hace que los bots accedan ahora a algunos tipos de contenido web más que los humanos, según un nuevo estudio de F5.

F5 Labs’ 2025 Informe sobre bots persistentes avanzados analiza 207.000 millones de transacciones web y de API realizadas entre noviembre de 2023 y septiembre de 2024. Examina los registros de clientes que ya cuentan con defensas contra bots, lo que permite observar cómo se comportan los operadores de tráfico automatizado cuando se enfrentan a contramedidas.

El informe concluye que el 50,04 % de las solicitudes de páginas de contenido¹ procedían de fuentes automatizadas, frente al 22,3 % de las solicitudes de búsqueda en la web y al 21,5 % de las transacciones de añadir al carrito. Esto apunta a un crecimiento significativo del tipo de rastreadores web utilizados por proveedores de LLM como OpenAI, Anthropic y Perplexity, así como a la persistencia de estos bots, que siguen enviando solicitudes cuando se los bloquea.

En total, 21.220 millones de las transacciones supervisadas (el 10,2 %) procedían de diversas fuentes automatizadas, algunas de ellas benignas, pero 10.000 millones (el 4,8 %) correspondían a tráfico de bots maliciosos.

«Durante años, el tráfico de bots se ha dirigido principalmente a los flujos de búsqueda, así como a las etapas del recorrido del usuario en las que alguien se registra o inicia sesión para utilizar un servicio, añade un artículo a la cesta, completa la compra o intenta cambiar su contraseña», afirmó David Warburton, director de F5 Labs. «El enorme auge de la extracción de contenidos, sin duda asociado a la explosión de la IA generativa y los LLM, pone de relieve el dinamismo del tráfico de bots y la necesidad de que las organizaciones estén constantemente atentas a los cambios en los patrones de ataque».

Los bots dan un respiro, pero no a todo el mundo

Los patrones y la prevalencia del tráfico de bots variaron según el sector. Los sectores más atacados en la web fueron la hostelería (el 44,6 % del tráfico procedía de bots), la sanidad (32,6 %) y el comercio electrónico (22,7 %).

En dispositivos móviles, el entretenimiento (23 %) fue, con diferencia, el sector más atacado, muy por delante del comercio electrónico (4,5 %) y los restaurantes de servicio rápido (4,2 %).

Varios sectores siguen registrando altos niveles de ataques de relleno de credenciales cuyo objetivo es hacerse con el control de las cuentas de los usuarios. En la web, más de un tercio de los intentos de inicio de sesión en empresas del sector tecnológico fueron intentos de apropiación de cuentas (33,5 %), por delante del comercio minorista general (25,7 %) y los videojuegos (19,6 %). En dispositivos móviles, estos ataques fueron más frecuentes contra empresas de entretenimiento (24,7 %) y proveedores de comercio electrónico (23,8 %).

La sofisticación de los ataques también varió según el sector. La gran mayoría del tráfico automatizado dirigido al sector sanitario, tanto en la web como en dispositivos móviles, se clasificó como «básico». Otros sectores registraron niveles relativamente altos de tráfico más sofisticado, considerado «avanzado»; los tres principales en la web fueron el comercio minorista general, la banca y las aerolíneas.

A pesar de los elevados niveles de tráfico de bots, la mayoría de los sectores analizados experimentaron un descenso de la actividad automatizada con respecto a 2023, lo que indica que las medidas de control de bots implementadas estaban surtiendo el efecto deseado.

Los casos atípicos fueron el sector hotelero en la web, que aumentó un 18,3 %, y el de los restaurantes de servicio rápido (QSR) en la web, que creció un 11,2 %. Aunque registró una proporción de tráfico de bots en dispositivos móviles mucho mayor que cualquier otro sector, el sector del entretenimiento experimentó aun así un descenso del 11,5 % con respecto a 2023.

«Ciertos sectores son objetivos habituales del tráfico de bots no deseado», añadió Warburton. «El sector hotelero registra grandes volúmenes porque los agregadores quieren extraer datos sobre las tarifas y la disponibilidad de las habitaciones, o porque actores maliciosos intentan robar puntos de fidelidad. Del mismo modo, los proveedores de comercio electrónico son blanco de revendedores y bots entrenados para aprovecharse de los datos de vales y tarjetas regalo».

Los datos dejan claro que determinados sectores se han adaptado con el tiempo: sectores que suelen ser objeto de ataques, como las aerolíneas y los servicios financieros, han reforzado sus defensas para frustrar a los atacantes menos sofisticados, lo que significa que ahora deben hacer frente a una mayor proporción de tráfico procedente de operadores más avanzados y sumamente persistentes.

Mitigación: ¿un arma de doble filo?

El informe también evaluó el impacto de las medidas disuasorias en el tráfico de bots, comparando las experiencias de los clientes que supervisaban el tráfico automatizado con las de aquellos que lo mitigaban.

En dispositivos móviles, la tendencia fue clara y previsible. Las organizaciones que mitigaban el tráfico registraron una proporción significativamente menor de actividad automatizada en su tráfico de búsqueda (un 0,9 %, frente al 24,8 % de las que solo lo supervisaban), un patrón que también se observó en el inicio de sesión (un 5 % en las organizaciones que aplicaban medidas de mitigación, frente al 21,7 % de las que lo supervisaban) y en el registro (un 2,4 %, frente al 21,7 %).

En la web, la situación era diferente. En la mayoría de los flujos de trabajo, el tráfico automatizado era mayor en las organizaciones que mitigaban activamente los bots. Estos clientes registraron un 20,9 % de tráfico automatizado en las búsquedas, frente al 14,9 % de quienes se limitaban a monitorizarlo, y la situación era similar en Añadir al carrito (19,2 % frente a 18,2 %), Pago (8,6 % frente a 7,4 %) y Recuperación de cuenta (6,6 % frente a 4,6 %).

«Normalmente, cabría esperar que las medidas de mitigación redujeran el tráfico de bots, ya que los operadores bloqueados pasan a buscar objetivos más vulnerables», afirmó Warburton. «Sin embargo, hoy existen modelos de negocio enteros basados en la extracción de datos, precios y propiedad intelectual, y esos operadores no van a rendirse fácilmente cuando se les ponen trabas. Un aumento del tráfico puede significar que estos actores lo están intentando con más ahínco y de más formas, no necesariamente que estén teniendo éxito. La tendencia constante que se desprende de este estudio, así como de toda nuestra experiencia en F5, es que las medidas de mitigación funcionan y que la disuasión marca la diferencia».

[1] Se define como solicitudes de páginas que muestran un producto, artículo, precio o servicio. «Contenido» fue uno de los 17 flujos evaluados en el informe, junto con otros como «Búsqueda», «Añadir al carrito», «Presupuestos» (para seguros, etc.), «Registro», «Transacción», «Inicio de sesión», «Gestión de la cuenta», «Valoraciones» y «Finalización de la compra».

Acerca de F5

F5 es una empresa de seguridad y entrega de aplicaciones multinube comprometida con hacer realidad un mundo digital mejor. F5 colabora con las organizaciones más grandes y avanzadas del mundo para proteger todas las aplicaciones, ya sea en las instalaciones, en la nube o en el extremo de la red. F5 permite a las empresas anticiparse continuamente a las amenazas y, al mismo tiempo, ofrecer a sus clientes experiencias digitales excepcionales y seguras. Para obtener más información, visite f5.com. (NASDAQ: FFIV)

También puedes seguir a @F5 en X o visitarnos en LinkedIn y Facebook para obtener más información sobre F5, sus socios y sus tecnologías.

F5 es una marca comercial, una marca de servicio o un nombre comercial de F5, Inc. en EE. UU. y otros países. Todos los demás nombres de productos y empresas mencionados en el presente documento pueden ser marcas comerciales de sus respectivos propietarios.

###

Este comunicado de prensa puede contener declaraciones prospectivas relativas a acontecimientos futuros o al rendimiento financiero futuro que conllevan riesgos e incertidumbres. Estas declaraciones pueden identificarse por el uso de términos como «puede», «hará», «debería», «espera», «planea», «prevé», «cree», «estima», «predice», «potencial» o «continuar», así como por las formas negativas de dichos términos u otros términos comparables. Estas declaraciones son únicamente predicciones y los resultados reales podrían diferir sustancialmente de los previstos en ellas debido a diversos factores, incluidos los identificados en la documentación presentada por la empresa ante la SEC.