Las máquinas son ahora las verdaderas dueñas de la autopista de la información
Por primera vez en la historia de Internet, las máquinas generan más tráfico que los seres humanos: un umbral cruzado en silencio que revela cuánto ha cambiado la naturaleza del espacio digital. Según el informe Bad Bot 2026 de Thales, el 53% de toda la actividad en la red proviene de bots, y el 40% de ese tráfico alberga intenciones maliciosas. Lo que está en juego no es solo la seguridad técnica de empresas y usuarios, sino la pregunta más profunda de quién —o qué— habita realmente el mundo que llamamos Internet.
- Los bots de IA multiplicaron sus ataques por 12,5 en un solo año, pasando de 2 millones a 25 millones de incidentes, una aceleración que desborda la capacidad de respuesta de los sistemas de defensa convencionales.
- El 40% de todo el tráfico global proviene de bots con intenciones maliciosas, lo que significa que cuatro de cada diez solicitudes a cualquier sitio web buscan activamente explotar vulnerabilidades o robar datos.
- Las APIs y los sistemas de identidad se han convertido en el blanco preferido: el 27% de los ataques los apunta directamente, mientras el fraude de toma de control de cuentas creció un 70%, golpeando con especial dureza al sector financiero.
- Las organizaciones bloquearon 17,2 billones de peticiones fraudulentas en 2025, un volumen que satura recursos incluso en empresas bien preparadas y expone a sanciones bajo normativas como el RGPD y la directiva DORA.
- La industria reconoce que los bloqueos simples han quedado obsoletos: la nueva estrategia de defensa exige identificar no solo si algo es un bot, sino qué intención tiene y con qué sistemas críticos interactúa.
Internet ha cruzado un umbral histórico: por primera vez, las máquinas generan más tráfico que los humanos. El informe Bad Bot 2026 de Thales confirma que los bots representan el 53% de toda la actividad en la red, mientras el tráfico humano ha retrocedido al 47%. No es una curiosidad estadística; es una transformación estructural del ecosistema digital impulsada por una inteligencia artificial que ha acelerado la automatización hasta niveles que los sistemas de defensa tradicionales ya no pueden contener.
La escala del cambio se vuelve alarmante al observar la evolución de los ataques. En 2025, los incidentes de bots impulsados por IA pasaron de 2 millones a 25 millones, una multiplicación por 12,5 en un solo año. Estos agentes actúan de forma autónoma, ejecutan tareas complejas y extraen datos mientras imitan el comportamiento humano para eludir los controles convencionales. El 40% de todo el tráfico global proviene ya de bots con intenciones claramente maliciosas, un incremento de tres puntos porcentuales en apenas doce meses.
Uno de los frentes más críticos es el ataque directo a las APIs y los sistemas de identidad. El 27% de los ataques de bots apunta específicamente a estas interfaces, interactuando con los sistemas internos a velocidad de máquina y evitando por completo la navegación visual. El fraude de toma de control de cuentas creció un 70%, afectando sobre todo al sector financiero, que concentra el 46% de estos incidentes. Las consecuencias van más allá de la reputación corporativa: las empresas quedan expuestas a sanciones masivas bajo normativas europeas como el RGPD y la directiva DORA.
Eutimio Fernández, de Thales Cybersecurity Products, advierte que la inteligencia artificial no está inventando nuevas categorías de ataque, sino potenciando las existentes a una escala y velocidad sin precedentes. La conclusión es clara: ya no basta con detectar si algo es un bot. La defensa del futuro exige entender qué intención tiene ese bot y con qué sistemas críticos interactúa, antes de que el daño sea irreversible.
Internet ha llegado a un punto de quiebre. Por primera vez en su historia, las máquinas generan más tráfico que los humanos. Según el informe Bad Bot 2026 de Thales, los bots representan ahora el 53% de toda la actividad en la red, mientras que el tráfico generado por personas reales ha caído al 47%. No se trata de una anécdota estadística curiosa, sino de una transformación fundamental del ecosistema digital, impulsada por una inteligencia artificial que ha acelerado la automatización hasta niveles que los sistemas de defensa convencionales ya no pueden contener.
La magnitud del cambio se vuelve evidente cuando se observa la trayectoria de los ataques maliciosos. Durante 2025, los incidentes de bots impulsados por IA se multiplicaron por 12,5, pasando de apenas 2 millones a 25 millones de ataques registrados. Esta explosión no refleja nuevas técnicas de ataque inventadas desde cero, sino el perfeccionamiento y la aceleración de métodos existentes a una velocidad que los controles tradicionales no pueden seguir. Los agentes de IA actúan de forma autónoma, ejecutando tareas complejas y extrayendo datos mientras se camuflan bajo comportamientos que imitan la navegación humana, eludiendo así los sistemas de seguridad convencionales.
La amenaza es aún más grave cuando se considera la intención detrás de este tráfico. El 40% de todo el tráfico global de Internet proviene ahora de bots con intenciones claramente maliciosas, un incremento de tres puntos porcentuales en apenas un año. Esto significa que cuatro de cada diez solicitudes que recibe cualquier sitio web o aplicación proceden de agentes que buscan activamente explotar vulnerabilidades o robar información sensible. A lo largo de 2025, las organizaciones lograron bloquear 17,2 billones de peticiones fraudulentas, un volumen de actividad que satura los recursos incluso de empresas relativamente bien preparadas.
Uno de los puntos más críticos de este asalto silencioso es el ataque directo a las APIs y los sistemas de identidad, que constituyen el corazón de los negocios digitales modernos. El 27% de los ataques de bots se dirigen específicamente a estas interfaces, evitando completamente la navegación visual que un humano vería para interactuar con los sistemas internos a velocidad de máquina. El fraude de toma de control de cuentas, conocido como Account Takeover, ha crecido un 70%, afectando especialmente al sector financiero, que sufre el 46% de estos incidentes. Estos ataques no solo dañan la reputación corporativa, sino que exponen a las empresas a sanciones legales masivas bajo normativas europeas como el RGPD y la directiva DORA.
Eutimio Fernández, Regional Sales Manager para Iberia en Thales Cybersecurity Products, describe la situación como una transformación profunda del panorama de amenazas. Según su análisis, la inteligencia artificial no está inventando nuevas categorías de ataque, sino potenciando los existentes a una escala y velocidad que los controles tradicionales no pueden absorber. La estrategia de defensa debe evolucionar radicalmente: ya no basta con identificar si algo es un bot, sino entender qué intención tiene y con qué sistemas críticos interactúa.
La respuesta de la industria requiere un cambio fundamental en la estrategia de defensa. Los enfoques basados en bloqueos simples han quedado obsoletos, especialmente cuando el 85% del tráfico de IA detectable corresponde a recolectores de datos que, en muchos casos, no se identifican correctamente. Las organizaciones enfrentan ahora un desafío sin precedentes: proteger sus sistemas no solo contra máquinas, sino contra máquinas que aprenden, se adaptan y evolucionan más rápido que cualquier defensa humana puede seguir. El futuro de la seguridad digital dependerá de la capacidad de las empresas para entender no solo qué está atacando sus sistemas, sino por qué lo hace.
Citas Notables
La IA no está inventando nuevos tipos de ataque, sino potenciando los existentes a una velocidad y escala que los controles tradicionales no pueden absorber— Eutimio Fernández, Regional Sales Manager para Iberia en Thales Cybersecurity Products
La Conversación del Hearth Otra perspectiva de la historia
¿Cómo es posible que los bots superen a los humanos en tráfico si Internet fue construido por y para personas?
Internet cambió. Ya no es un lugar donde la gente navega principalmente. Es una infraestructura donde máquinas hablan con máquinas, y esa conversación es cada vez más hostil.
Pero 25 millones de ataques en un año suena como un número que alguien debería haber visto venir.
Se vio venir. El problema es que la velocidad de la IA superó la velocidad de la defensa. No es que los ataques sean nuevos; es que ahora una máquina puede ejecutar en segundos lo que antes tomaba horas.
¿Y el 40% de tráfico malicioso significa que casi la mitad de Internet es directamente hostil?
No exactamente. Significa que de todo lo que se mueve en la red, cuatro de cada diez paquetes vienen de algo que quiere hacerte daño. El resto es ruido, recolección de datos, o simplemente máquinas haciendo su trabajo.
¿Por qué los sistemas de identidad son tan vulnerables si sabemos que son críticos?
Porque fueron diseñados para humanos. Un humano entra con una contraseña, se autentica, accede. Un bot puede intentar millones de combinaciones por segundo. Es como poner una puerta de madera en una bóveda de banco.
¿Entonces la solución es simplemente más tecnología, más IA defendiendo contra IA?
Esa es la pregunta que nadie quiere responder. Porque si la respuesta es sí, entonces hemos perdido el control de nuestras propias defensas.