Atacantes se están haciendo pasar por los bots de OpenAI, Anthropic y Google para buscar contraseñas y llaves de acceso en servidores mal configurados

La empresa de seguridad GreyNoise reveló una campaña de escaneo automatizado que se hace pasar por los rastreadores (crawlers) de las empresas de IA más conocidas —ClaudeBot de Anthropic, GPTBot y ChatGPT-User de OpenAI, Google-Extended y PerplexityBot— para buscar, en miles de servidores, los archivos donde suelen quedar expuestas contraseñas y llaves de acceso por error de configuración.

Le importa a cualquiera que tenga un sitio o una aplicación corriendo en un servidor propio, porque en los últimos años muchos administradores empezaron a permitir sin restricciones el tráfico de estos rastreadores de IA —para que sus páginas aparezcan en las respuestas de ChatGPT o Claude—, y eso abrió una puerta que los atacantes ya están aprovechando: si tu servidor confía en el nombre del visitante sin verificar de dónde viene realmente, cualquiera puede anunciarse como "ClaudeBot" y entrar sin que nadie sospeche.

Entre el 28 de julio y el 23 de agosto de 2026, GreyNoise registró esta actividad desde 824 direcciones IP distintas, repartidas en 795 redes separadas —lo suficientemente disperso como para que bloquear por dirección o por red no sirva de mucho—. El tráfico falso usó el nombre exacto de los rastreadores reales, con el mismo texto de identificación (user-agent) que usaría el bot legítimo, lo que hace imposible distinguirlos con una simple revisión del nombre.

Lo que sí delata el engaño es el comportamiento: un rastreador real de IA, antes de escanear un sitio, casi siempre pide primero el archivo robots.txt —la lista de reglas que le dice qué puede y qué no puede visitar—. GreyNoise encontró que el ClaudeBot auténtico pide ese archivo en aproximadamente 12% de sus sesiones. El tráfico falso, en cambio, nunca lo pidió ni una sola vez: fue directo a buscar lo que quería.

¿Y qué buscaba? Sobre todo archivos .env y sus variantes (.env.local, .env.production, .env.bak), donde muchas aplicaciones guardan por costumbre —una mala costumbre— las contraseñas de bases de datos y las llaves de servicios externos; también rutas como .aws/credentials (las llaves de acceso a servicios de Amazon) y .git/config, que a veces revela URLs con credenciales incluidas. Son justo los archivos que un servidor bien configurado nunca debería servir a nadie que los pida por HTTP, pero que en la práctica muchos sitios sí exponen por descuido.

La defensa no depende de adivinar qué bot es real: las cuatro empresas mencionadas publican listas oficiales de las direcciones IP desde las que operan sus rastreadores, y GreyNoise recomienda verificar contra esas listas en vez de confiar solo en el nombre que el visitante dice tener. Además, publicó las 824 direcciones detectadas en esta campaña específica, así que cualquiera puede revisar sus propios logs para ver si ya lo visitaron.

Más allá de esta campaña puntual, la lección de fondo es simple y no es nueva, aunque el disfraz sí lo sea: ningún archivo con contraseñas o llaves de acceso debería estar nunca dentro de la carpeta pública de tu sitio web, sin importar qué tan improbable te parezca que alguien lo encuentre. Si administras tu propio servidor —un VPS o un servidor dedicado— vale la pena revisar hoy mismo que tu archivo .env viva fuera de la raíz del sitio y que tu configuración web bloquee explícitamente cualquier solicitud a archivos que empiecen con un punto.