- Por Alexis Campos Molina, CEO y Fundador de Cut Security by Grupotech, empresa chilena de ciberseguridad gestionada (MSPP) y cumplimiento normativo. www.grupotech.cl
Hace unos días, la Fiscalía boliviana allanó una vivienda en La Paz y encontró algo que en el mundo de la ciberseguridad conocemos bien pero que rara vez llega a portada: una «granja de bots». Miles de cuentas creadas de forma artificial, listas para generar mensajes en cadena en redes sociales.
El hallazgo está ligado a una causa judicial que involucra a un consultor político y que hoy se investiga también en Chile por sus eventuales conexiones con campañas locales.
No voy a entrar en quién trabajó para quién ni en qué sector político sale beneficiado o perjudicado. Eso ya lo están cubriendo otros medios y, honestamente, no es la conversación que más le sirve a la gente común. La pregunta que sí me parece urgente es otra: ¿sabes reconocer cuándo estás interactuando con una cuenta automatizada? ¿Y qué tan expuesta está tu empresa a que una campaña de bots la use como blanco, ya sea para dañar su reputación o para inflar artificialmente una tendencia a su favor?
¿Qué es técnicamente una granja de bots?
Una granja de bots es una infraestructura, no una sola herramienta. Combina cientos o miles de cuentas falsas (creadas manualmente en tandas, o con ayuda de CAPTCHA-solvers y números de teléfono virtuales), software de automatización que programa publicaciones, respuestas y «me gusta» en horarios específicos, y —cada vez con más frecuencia— modelos de lenguaje que generan texto variado para que cada cuenta no repita exactamente el mismo mensaje y así evite los filtros anti-spam de las plataformas.
El objetivo no siempre es viralizar algo falso desde cero. Muchas veces es más sutil: hacer que un tema parezca más discutido de lo que realmente es (lo que se conoce como «astroturfing», simular pasto donde no lo hay), acosar a una cuenta específica hasta agotarla, o simplemente inflar métricas de alcance para vendérselas a un cliente. Todo esto ocurre con software relativamente accesible; no se necesita ser un actor estatal para montar una operación de este tipo.
Por qué esto es un problema de ciberseguridad, no solo de comunicación
Cuando hablamos de ciberseguridad, casi siempre pensamos en ransomware, phishing o fuga de datos. Pero la manipulación coordinada mediante bots comparte la misma lógica de fondo que cualquier otro vector de ataque: explota la confianza. Un correo de phishing te hace creer que el remitente es tu banco. Una granja de bots te hace creer que cientos de personas reales piensan lo mismo sobre un tema, o que una marca está siendo atacada de forma genuina y espontánea.
Para una empresa, el riesgo es concreto. He visto casos donde una campaña coordinada de cuentas falsas satura las menciones de una marca con quejas idénticas o levemente modificadas, buscando presionar a la empresa a tomar una decisión apurada, o simplemente dañar su reputación de forma sostenida. Si el equipo de comunicaciones no distingue entre una crisis real y una operación automatizada, puede terminar respondiendo mal a un problema que ni siquiera existe con la magnitud que aparenta.
Señales que ayudan a detectar una cuenta o campaña automatizada
No hace falta ser analista forense digital para notar patrones sospechosos. Algunas señales típicas:
- Cuentas creadas en fechas muy cercanas entre sí, con nombres de usuario que siguen un patrón (letras seguidas de números al azar).
- Fotos de perfil que parecen generadas por IA o robadas de bancos de imágenes.
- Publicaciones o respuestas con la misma estructura de frase, cambiando solo un par de palabras.
- Actividad concentrada en ventanas horarias muy específicas, o volúmenes de publicación que ninguna persona sostiene manualmente.
- Pocas interacciones «humanas» reales: casi no hay fotos personales, conversaciones previas, ni historial de varios años.
Herramientas como Botometer o incluso una revisión manual del historial de una cuenta sospechosa (¿cuándo se creó?, ¿qué publicaba antes?, ¿tiene seguidores reales?) permiten hacer una primera evaluación rápida, sin necesidad de herramientas forenses avanzadas.
Qué puede hacer una empresa u organización
Primero, monitorear menciones de marca no solo por volumen sino por patrón. Un salto repentino en menciones negativas casi idénticas es una alerta más confiable que el volumen total. Segundo, tener protocolos claros de respuesta ante crisis digitales que incluyan una etapa de verificación antes de reaccionar públicamente. Tercero, capacitar a los equipos de marketing y comunicaciones —no solo a TI— en reconocer estos patrones, porque muchas veces son ellos quienes primero notan algo raro en las redes.
Y a nivel personal, el hábito más simple sigue siendo el más efectivo: antes de sumarte a una discusión acalorada en redes o de compartir algo que «todo el mundo está diciendo», revisa quién lo está diciendo realmente. A veces el consenso digital que ves no es tan real como parece.
La tecnología detrás de las granjas de bots seguirá evolucionando, especialmente con inteligencia artificial generativa haciendo que cada mensaje falso suene más natural. La mejor defensa no es la paranoia, sino la ciberhigiene: cuestionar la fuente, revisar el patrón, y no asumir que más ruido significa más verdad.
