Akamai Research: Comercio electrónico, en el epicentro de ataques de bots de IA

Con la evolución hacia automatizaciones con agentes y herramientas de IA autónomas, el sector del comercio se ha convertido en el más atacado del mundo, según el último informe de Akamai (NASDAQ: AKAM) sobre el estado de Internet (SOTI), “Protección de las tiendas online: ataques en el sector del comercio”.

Según el estudio, casi la mitad (47.9 por ciento) de todo el tráfico comercial en la red global de Akamai está compuesto ahora por bots de IA. Además, el sector sigue sufriendo un incesante aluvión de actividad de denegación de servicio (DdoS) distribuida en la capa de aplicación (capa 7), exploits maliciosos de aplicaciones web y una peligrosa acotación de la brecha entre los ataques a aplicaciones tradicionales y los ataques dirigidos a API.

“Estamos protegiendo una frontera digital en la que el ‘cliente’ se está convirtiendo en un agente de IA que opera en nombre del usuario humano”, afirma Patrick Sullivan, director de Tecnología de Estrategia de Seguridad de Akamai. “Este informe revela cómo y por qué los líderes de seguridad tienen que prepararse con flexibilidad para diseñar sitios que acojan la IA legítima y, al mismo tiempo, detengan a los bots maliciosos de forma agresiva”.

Algunos de los resultados principales

El aumento del fraude comercial con agentes de IA: Según Pam Lindemoen, colaborador invitado, director de Seguridad y vicepresidente de Estrategia de RH-ISAC, los agentes de compras de IA autónomos están creando un problema de enmascaramiento de señales que imita perfectamente los microcomportamientos humanos. Los atacantes utilizan ahora tácticas de secuestro de agentes para poner en peligro a los asistentes de IA legítimos y abusar de las credenciales de pago almacenadas. También están implementando grandes modelos lingüísticos (LLM) para crear fraudes de identidad sintéticos en forma de cuentas “Frankenstein” que eluden fácilmente las defensas estáticas.

La afluencia sin control de los bots de IA: Impulsados por el desarrollo de LLM, los rastreadores de formación de IA representan más del 70 por ciento de las solicitudes de bots de IA en el comercio. OpenAI, ByteDance y Anthropic son los 3 principales bots de IA observados. Las organizaciones comerciales situaron más del 90 por ciento de su actividad de bots de IA en la categoría de “supervisión”, pero permitieron que 3 cuartas partes de la actividad restante pasaran sin restricciones, exponiéndose a riesgos subyacentes.

Exposición y vulnerabilidades de API: Los ataques web dirigidos a las API aumentaron un 9 por ciento interanual. De hecho, el estudio sobre el impacto en la seguridad de las API de 2026 de Akamai reveló que el 85 por ciento de los encuestados del sector comercial experimentó al menos un incidente relacionado con las API en el último año, pero sólo el 22 por ciento sabe cuál de sus API expone datos confidenciales.

Más ataques DdoS a la capa 7: El comercio fue atacado con ataques DdoS de capa 7 casi 3 billones de veces en 2025, y el sector del retail soportó el 84 por ciento de ese volumen. Los atacantes utilizan botnets HTTP para inundar las API durante los picos de tráfico de las vacaciones, agotar los servidores de aplicaciones y detener las ventas.

Procesos industrializados de phishing y malware: Entre noviembre de 2025 y abril de 2026, el malware representó el 56.5 por ciento de la actividad observada de amenazas en los endpoints, seguido del phishing, con un 37.6 por ciento. El volumen medio diario de phishing entre los clientes de este sector se disparó de 56,600 en febrero a 134,600 en abril, y sirvió como materia prima principal que impulsó el robo de cuentas (ATO) y el robo de puntos de fidelidad.

Tendencias regionales

La actividad automatizada de bots y los ataques web varían según la región:

Norteamérica y EMEA: Estos mercados maduros experimentaron aumentos modestos de bots (7 por ciento y 16 por ciento, respectivamente), pero ataques web significativos basados en el periodo festivo, con una actividad líder en Norteamérica de bots de IA de 33 mil millones de casos.

APAC y LATAM: La actividad de bots aumentó un 63 por ciento en APAC y un 48 por ciento en Latinoamérica. El mercado de viajes fragmentado de APAC y los programas de lealtad lo convirtieron en un objetivo principal de ataques de bots y DdoS a la capa 7.

Estrategias de mitigación

Para contrarrestar eficazmente estas amenazas en constante evolución, el informe “Protección de las tiendas online: ataques en el sector del comercio” ofrece una hoja de ruta estratégica para los directores de seguridad de la información. Las recomendaciones incluyen:

Definir la cadena de ingresos: Implemente detecciones y haga inventario de manera continua del estado de las API para eliminar las brechas de visibilidad críticas relacionadas con la exposición de datos confidenciales. Controlar la automatización: Aléjese de los modelos binarios de “permitir/bloquear” y fomente una gobernanza basada en el riesgo que clasifique los bots por intención y valor empresarial.

Minimizar el alcance del impacto: Implemente la microsegmentación para eliminar el movimiento lateral. Aunque el 92 por ciento de las organizaciones utiliza la segmentación de red básica, sólo el 35 por ciento ha avanzado hacia una verdadera microsegmentación.

Establecer resiliencia cooperativa: Integre equipos de ciberseguridad y prevención de fraudes para implementar biometría conductual en tiempo real, autenticación multifactor basada en riesgos y conmutadores de interrupción automatizados para congelar las cuentas comprometidas al instante.

Ahora, en su decimosegunda edición, los informes SOTI en materia de seguridad de Akamai continúan ofreciendo perspectivas críticas sobre las tendencias de la ciberseguridad y el rendimiento de la web, extraídas de los ataques observados en la infraestructura de ciberseguridad de Akamai, que maneja un volumen significativo del tráfico web global.