Cequence Security ha avisado de un patrón que ya no parece anecdótico. En una sola semana de octubre, bots maliciosos se hicieron pasar por asistentes digitales legítimos para lanzar ataques a gran escala. La firma sostiene que la suplantación ya está golpeando de forma tangible a sectores como el comercio, las telecomunicaciones y el consumo.
En esos mismos siete días de octubre, los atacantes generaron 414.210 visitas a la página de inicio de sesión de un marketplace haciéndose pasar por un asistente muy conocido, de acuerdo con el análisis de Cequence Security. Todas acabaron en error, y eso encaja con bastante claridad con un caso de credential stuffing: intentos masivos de acceso con combinaciones de usuario y contraseña robadas.
La propia Cequence calcula que ese asistente suplantado movió por sí solo cerca de 1,5 veces más tráfico que todas las visitas legítimas de asistentes digitales que la compañía observó, sumadas, en cinco sectores durante esa misma semana. Dicho de otro modo, la automatización maliciosa ya puede ir por delante, y con margen, del uso real de estas herramientas.
El problema tiene otra capa, porque el tráfico legítimo también puede presentar un aspecto totalmente humano. En una gran teleco, un asistente personal auténtico pasó de registrar unas 100 solicitudes al día a moverse entre 19.000 y 32.000 en apenas tres semanas, siempre según Cequence Security. Entre esas acciones había inicios de sesión, verificaciones multifactor, revisión de facturas, consultas sobre planes de canje e incluso añadir dispositivos al carrito. Todo aparecía identificado como si fuera un navegador de escritorio corriente.
En ese caso concreto, el de la gran teleco, la anomalía solo salió a la luz al mirar el comportamiento con más detalle, explica Cequence Security. La pista estuvo en la velocidad con la que ese tráfico adoptó una nueva versión del navegador. Mientras los clientes normales tardaban alrededor de dos semanas en actualizarse, ese tráfico pasó de casi cero a rozar el 98% en unas 48 horas. Eso se parece bastante más a navegadores en la nube gestionados de manera centralizada.
En total, más de 270.000 transacciones quedaron clasificadas como automatizadas, aunque no maliciosas, según el recuento de Cequence Security.
Eso da una idea bastante clara de por qué los filtros tradicionales se quedan cortos. En una muestra de 281.627 visitas de asistentes digitales en cinco sectores, tomada a mediados de octubre y analizada por la firma, el 85% se limitó a navegar o comparar productos. Pero aproximadamente una de cada siete llegó hasta acciones sensibles, como reservar, comprar, iniciar sesión o gestionar cuentas, justo los puntos donde el riesgo de fraude o de toma de control se dispara.
Y cuando el tráfico sí es malicioso, las puntuaciones clásicas de bot tampoco siempre llegan a tiempo. En una marca global de consumo, un análisis de comportamiento bloqueó 3,51 millones de intentos de acceso no autorizado en 31 días, siempre según Cequence Security, aunque cerca del 82% había recibido una puntuación demasiado baja como para activar la detección convencional.
La recomendación de los expertos de Cequence Security es bastante directa: dejar de fiarse ciegamente del nombre declarado en el agente de usuario y evaluar cada sesión por lo que hace. A partir de ahí, piden reforzar las verificaciones en situaciones de alto riesgo, limitar peticiones y endurecer los controles en pagos, cambios de beneficiario o modificaciones en el control de la cuenta.
También está ganando peso un enfoque de confianza cero para asistentes y automatizaciones. La idea es tratarlos como identidades no humanas, separadas y con permisos bien delimitados, en vez de dejar que operen como si fueran usuarios normales. El panorama de amenaza empuja justo hacia ahí. Los atacantes ya están usando automatización avanzada para phishing, reconocimiento y suplantación de bots y, en una campaña, llegaron a imitar 32 bots distintos, según Cequence Security. Organismos como el National Cyber Security Centre (NCSC) británico y el Australian Signals Directorate (ASD) australiano ya vienen avisando de estos riesgos y reclaman reforzar las salvaguardas cuanto antes.
