Tres amenazas digitales ponen a prueba a las tiendas online en El Buen Fin 2026
Bots que alteran el inventario, contraseñas robadas que abren cuentas de clientes y ataques que pueden dejar fuera de servicio una tienda en línea forman parte de los riesgos que enfrentará el comercio electrónico durante el Buen Fin
Del 13 al 17 de noviembre, las tiendas en línea en México enfrentarán una de las jornadas comerciales de mayor exigencia operativa del año: El Buen Fin. El incremento de visitantes, transacciones y consultas de productos también amplía las oportunidades para los ciberdelincuentes, que pueden aprovechar la alta demanda para manipular inventarios mediante bots, tomar el control de cuentas de compradores o interrumpir la disponibilidad de las plataformas justo cuando más ventas están en juego.
No todo el tráfico que recibe una tienda digital corresponde a consumidores interesados en comprar, una parte puede provenir de programas automatizados diseñados para extraer información comercial, acaparar productos, probar credenciales obtenidas en filtraciones anteriores o consumir recursos de los servidores. Distinguir entre actividad legítima y maliciosa es una condición relevante para proteger tanto los ingresos como la experiencia de compra.
De acuerdo con el 2025 Bad Bot Report de Imperva, los bots maliciosos representaron el 37% del tráfico global de internet y, en el sector retail, el 33% del tráfico de los sitios analizados durante 2024. El mismo informe advierte que, durante los grandes eventos de descuentos, el tráfico de bots puede multiplicarse entre dos y tres veces respecto de los días habituales.
Para Gustavo Valdez, director general de Ikusi en México, el reto de las empresas comerciales consiste en entender que una campaña de ventas también puede convertirse en una oportunidad para explotar las debilidades de su infraestructura digital. «Una tienda en línea no solamente debe estar preparada para recibir más compradores; necesita distinguir quién está interactuando con su plataforma y con qué propósito. Durante una temporada de alta demanda, una actividad automatizada puede alterar la disponibilidad de productos, afectar los precios de referencia o consumir recursos que deberían estar destinados a los clientes. La seguridad debe acompañar a la operación comercial, no atenderse únicamente cuando aparece una incidencia», señala.
-
Cuando los bots compiten con los compradores
Uno de los riesgos para el comercio electrónico es el uso de bots para consultar precios de manera masiva, extraer información de catálogos y acaparar inventario. Estas herramientas automatizadas pueden revisar cientos o miles de productos en poco tiempo, identificar descuentos, comparar precios entre establecimientos y aprovechar mecanismos de compra para reservar o adquirir artículos de alta demanda.
Cuando los bots acaparan existencias, los consumidores pueden encontrar productos agotados sin que exista una demanda equivalente de compradores reales. También pueden generarse distorsiones en la disponibilidad del catálogo y en la información que utilizan los comercios para tomar decisiones sobre precios y promociones.
La dificultad para las empresas está en que no toda automatización es maliciosa: los buscadores, comparadores y herramientas legítimas también consultan información de los sitios. Por ello, bloquear indiscriminadamente las solicitudes automatizadas puede perjudicar la visibilidad comercial, mientras que permitirlas sin controles facilita el abuso de los recursos digitales.
« Las empresas deben de reconocer cuáles bots tienen un comportamiento legítimo y cuáles buscan obtener una ventaja mediante la automatización. Se necesita analizar patrones de navegación, frecuencia de solicitudes y comportamiento sobre sus inventarios para evitar que una actividad artificial termine condicionando la experiencia de sus compradores», explica Gustavo Valdez.
-
Contraseñas recicladas: una puerta de entrada a las cuentas de clientes
Otra amenaza relevante durante las temporadas de descuentos es el credential stuffing, una técnica mediante la cual los atacantes utilizan combinaciones de correos electrónicos y contraseñas obtenidas en filtraciones de otros servicios para intentar ingresar a cuentas de usuarios en distintas plataformas.
La práctica aprovecha un hábito frecuente: reutilizar la misma contraseña en diferentes sitios, así, una filtración que ocurrió en otro servicio puede convertirse en una oportunidad para acceder a una cuenta de comercio electrónico, consultar información personal, utilizar métodos de pago almacenados o realizar compras no autorizadas.
El riesgo adquiere especial relevancia para las tiendas digitales porque el acceso a una cuenta puede tener consecuencias que van más allá del robo de información. También puede traducirse en transacciones fraudulentas, pérdida de puntos o beneficios de lealtad, modificaciones de datos personales y reclamaciones que afectan la confianza del consumidor.
-
El riesgo de quedarse fuera de línea en el momento de mayor demanda
Un tercer frente son los ataques de denegación de servicio distribuido (DDoS), que buscan saturar una página o sus servicios mediante un volumen elevado de solicitudes provenientes de múltiples dispositivos o sistemas. El objetivo es agotar la capacidad de respuesta de la infraestructura e impedir que los usuarios legítimos puedan navegar, consultar productos o completar sus compras.
En una jornada como El Buen Fin, una interrupción de este tipo puede tener consecuencias inmediatas: carritos abandonados, transacciones inconclusas, pérdida de ingresos y clientes que optan por comprar en otro establecimiento. Además, si la plataforma no cuenta con mecanismos adecuados de respuesta, la recuperación puede prolongarse incluso después de que disminuya el volumen del ataque.
A diferencia de una interrupción causada por un aumento legítimo de visitantes, un ataque DDoS genera solicitudes con la intención de consumir recursos y degradar el servicio. La respuesta, por tanto, no consiste solamente en ampliar la capacidad de los servidores, sino en contar con mecanismos para identificar, filtrar y mitigar el tráfico malicioso sin bloquear a los compradores.
«Una caída durante una temporada comercial no representa únicamente un problema de tecnología: puede significar ventas que no se recuperan, pérdida de confianza y afectaciones a la reputación de una marca. La resiliencia digital requiere monitoreo continuo, capacidad de respuesta y una infraestructura preparada para mantener disponibles los servicios críticos, incluso cuando enfrenta actividad maliciosa», puntualiza Gustavo Valdez.
La preparación digital también forma parte de la estrategia comercial
La protección de una tienda en línea no debe comenzar cuando aparecen las primeras señales de un ataque ni limitarse a instalar herramientas de seguridad antes de una campaña de descuentos. La preparación implica revisar la capacidad de respuesta de la infraestructura, identificar vulnerabilidades en aplicaciones y APIs, analizar los patrones de acceso, proteger las cuentas de los usuarios y establecer procedimientos para contener incidentes.
También supone conocer qué servicios son indispensables para completar una venta y cuáles podrían verse afectados si una aplicación, una API o un proveedor tecnológico presenta una falla. La continuidad de las operaciones depende de que estas piezas funcionen de manera coordinada, finaliza Gustavo Valdez.
