El ecosistema abierto de bots de Telegram es uno de sus mayores puntos fuertes y, como ya hemos comentado, una gran parte de la razón por la que las herramientas de IA despegaron allí. Pero esa misma apertura implica que no hay una revisión de tienda de apps entre un desarrollador y un bot publicado, ni un mecanismo automático que retire uno que ha dejado de mantenerse, ha cambiado de manos o nunca fue legítimo.
Un amplio estudio académico sobre bots de Telegram reveló que alrededor del 10 % de los bots relacionados con finanzas ya tenían la etiqueta de advertencia de estafa del propio Telegram, frente a aproximadamente el 1 % en otras categorías de bots. Por otra parte, los investigadores de fraude de Revolut informaron de que Telegram concentra ya el 58 % de todas las estafas de empleo denunciadas en el mundo, frente al 50 % de solo dos años antes. Ninguna de esas cifras se refiere específicamente a bots de IA, pero el patrón se aplica de lleno: las categorías en las que las herramientas de IA son más activas ahora mismo en Telegram (cripto, finanzas, asistentes personales que gestionan tareas reales) son también las que más atraen a los estafadores.
No es un motivo para evitar los bots de Telegram. Es un motivo para dedicar dos minutos a comprobarlos antes de entregarle a uno una conversación, la conexión con una billetera o derechos de administrador en un grupo que te importe.
La lista de comprobación: qué mirar realmente
1. Comprueba cuándo se actualizó por última vez y si sigue respondiendo correctamente
Un bot abandonado no es lo mismo que un bot de estafa, pero puede ser igual de arriesgado, sobre todo si sigue registrando tus mensajes o conserva permisos que nadie supervisa. Busca:
- Un registro de cambios visible, un historial de versiones o una nota de “última actualización” en el sitio web o el canal vinculado al bot
- Si los comandos básicos siguen funcionando como se describe o devuelven respuestas desactualizadas o rotas
- Si el canal de soporte o el contacto vinculado al bot ha tenido actividad reciente
Un bot que nadie toca desde hace meses pero sigue plenamente activo es, posiblemente, un riesgo mayor a largo plazo que uno nuevo: no queda nadie responsable si algo sale mal con los datos que ya ha recopilado.
2. Compara el nombre de usuario con el auténtico, carácter por carácter
El truco de suplantación más común no tiene nada de sofisticado: consiste en cambiar una letra, añadir un guion o un guion bajo, o usar un carácter parecido (por ejemplo, una “I” mayúscula en lugar de una “l” minúscula) en un nombre de usuario que, por lo demás, es idéntico al de un proyecto legítimo. Funciona porque la mayoría de la gente echa un vistazo al nombre de usuario en lugar de leerlo carácter por carácter.
Qué hacer: si un bot dice representar a una empresa, un proyecto o una figura pública, ve directamente a su sitio web oficial o a su canal verificado y copia de ahí el enlace exacto del bot, en lugar de fiarte de un enlace que te enviaron por mensaje privado o en un chat grupal.
3. Compara lo que pide realmente con lo que dice hacer
Es la señal más rápida de todas. Un bot que genera imágenes a partir de texto no necesita todo tu historial de mensajes. Un bot de alertas de precio no necesita derechos de administrador en un grupo. Un bot de “atención al cliente” que te pide introducir un código de inicio de sesión o de verificación no está haciendo atención al cliente: es un intento de robo de credenciales, sin más, por muy oficial que parezca.
Qué hacer: antes de conceder cualquier permiso (derechos de administrador en un grupo, conexión con una billetera, acceso a la lista de contactos), pregúntate si ese permiso concreto es algo que la función declarada del bot podría necesitar de verdad. Si la respuesta es no, detente ahí.
4. Desconfía de las prisas, las ganancias garantizadas y las comisiones de “verificación”
Los bots de estafa, incluidos los que se disfrazan de asistentes de trading con IA o de “asesores” cripto, dependen mucho de crear una sensación de urgencia: cuentas atrás falsas, saldos simulados que parecen crecer o peticiones de un pequeño pago de “verificación” o “desbloqueo” antes de que supuestamente puedas retirar fondos. Las herramientas legítimas no necesitan que pagues una comisión para acceder a un dinero que ya es tuyo.
Qué hacer: considera cualquier petición de pago por adelantado para “desbloquear”, “verificar” o “liberar” fondos como una señal de alerta automática, por muy convincente que sea la conversación que la rodea.
5. Busca una política de privacidad real y concreta, no un texto genérico
Ya hemos escrito sobre cuánto te cuestan en datos las herramientas de IA “gratuitas”, y aquí esas comprobaciones valen el doble. Un bot legítimo, use IA o no, debería poder remitirte a una política de privacidad concreta que explique qué guarda y durante cuánto tiempo. Un lenguaje vago y genérico que podría describir cualquier app suele ocultar que no hay una respuesta real.
6. Comprueba que haya una forma real de contactar con el desarrollador
Muchas buenas herramientas las crean desarrolladores independientes que prefieren no identificarse públicamente, y el anonimato por sí solo no es motivo de descarte automático. Pero un bot sin ninguna forma visible de contactar con su desarrollador (sin canal vinculado, sin sitio web, sin contacto de soporte en ningún lugar), sumado a una petición de permisos sensibles, elimina cualquier responsabilidad si algo sale mal.
Referencia rápida: señales de alerta de bots falsos o abandonados
| Señal | Qué suele significar |
|---|---|
| El nombre de usuario altera sutilmente el de una marca o proyecto conocido | Intento de suplantación |
| El bot tiene la etiqueta de advertencia “SCAM” integrada en Telegram | Otros usuarios ya lo han denunciado: hazle caso a la advertencia |
| Pide un código de inicio de sesión, un código de un solo uso o un código 2FA | Intento de robo de la cuenta: nunca es una petición legítima |
| Solicita permisos que van más allá de su función declarada | Extralimitación: continúa solo después de preguntarte por qué |
| Sin actualizaciones, comandos rotos, canal de soporte inactivo | Abandonado: puede seguir recopilando datos sin que nadie se haga responsable |
| Promete ganancias garantizadas o pide una “comisión de desbloqueo” | Patrón de estafa financiera |
| Sin política de privacidad, o con una genérica que encaja con cualquier app | No se puede verificar el tratamiento de los datos: actúa con precaución |
Dónde importa más esto en este directorio
Algunas categorías implican más riesgo que otras simplemente por aquello a lo que están diseñadas para acceder:
- Las herramientas de IA para cripto que piden permisos para conectar una billetera combinan la exposición financiera con la exposición de los datos de las conversaciones, y es justo la categoría en la que el estudio de arXiv encontró la mayor concentración de bots marcados como estafa.
- Los agentes personales acumulan por diseño contexto sobre ti con el tiempo, lo que hace más importante revisar su historial de actualizaciones y su política de privacidad que en el caso de un chatbot sin memoria.
- Los bots de Grupos y equipos con derechos de administrador pueden ver todos los mensajes de un grupo, no solo los dirigidos a ellos, lo que supone una superficie mucho mayor que la de un bot individual.
Nada de esto significa que debas evitar estas categorías. Significa que la lista de comprobación anterior importa más, no menos, cuanto más acceso pide un bot.
Preguntas frecuentes
Telegram muestra un mensaje de advertencia directamente en el chat cuando intentas interactuar con un bot que ha marcado como posible estafa o cuenta falsa. Si ves esta advertencia, hazle caso: no sigas adelante por mucho que te tranquilicen en otro sitio.
No por sí solo. Muchas herramientas legítimas las crean desarrolladores independientes o que usan seudónimo. Lo preocupante es el anonimato combinado con una petición de permisos sensibles y sin forma de contactar con nadie si algo sale mal.
Deja la conversación, no envíes más información ni pagos y denuncia el bot directamente a Telegram. Si compartiste un código de inicio de sesión o una contraseña, cámbiala y cierra de inmediato todas las sesiones activas. Si enviaste criptomonedas, ten en cuenta que esa transacción será muy difícil de revertir y guarda los registros por si necesitas denunciarla.
Pueden serlo, sí. Un bot abandonado con derechos de administrador o con un historial de conversaciones guardado que nadie mantiene es un vacío en la gestión de los datos: no hay nadie responsable si ese acceso se usa mal o si el bot cambia de manos más adelante.
