El acceso barato a la IA que te vacía la cuenta: cómo funcionaba la reventa fraudulenta que documenta Anthropic
La factura de la API se te está comiendo. Tienes un producto que funciona, unos cuantos clientes de pago y un consumo de inteligencia artificial que crece más deprisa que los ingresos. Y entonces encuentras a alguien que ofrece el mismo acceso a la mitad de precio.
Ese momento es el que alguien estaba esperando.
El informe de amenazas que Anthropic publicó en septiembre de 2026 documenta una operación fraudulenta de reventa de inteligencia artificial: webs que se presentaban como intermediarios de servicios de IA, con su aspecto de producto serio, y que no revendían nada.
Cómo funcionaba
El anzuelo era el precio. Lo que había detrás, según el informe, eran dos cosas.
Primero, una aplicación cliente que te descargabas para usar el servicio. Imitaba a las herramientas de desarrollo conocidas, incluida la propia de Anthropic. Y lo que hacía por dentro era recoger credenciales y tokens de sesión ya autenticados.
Segundo, cuando el servicio respondía, no siempre respondía lo que decía ser. El informe describe que el tráfico se redirigía a un modelo distinto del anunciado. Pagabas por uno y te contestaba otro.
Las credenciales recogidas se vendían después a redes de revendedores fraudulentos. Tu token de sesión pasa a ser mercancía.
Por qué esto engancha justo a las empresas pequeñas
Porque el fraude está diseñado para el momento exacto en el que una empresa pequeña es más vulnerable, que no es cuando le va mal: es cuando le empieza a ir bien.
Mientras no tienes usuarios, el consumo es de juguete. Cuando el producto arranca, el consumo se dispara antes de que lo hagan los ingresos, porque cobras a mes vencido y consumes al segundo. Ese desfase es un agujero real de tesorería para una empresa sin colchón, y es cuando la palabra «descuento» deja de sonar sospechosa y empieza a sonar razonable.
Un equipo grande tiene a alguien que compra y que revisa proveedores. Una empresa de cuatro personas tiene a un fundador que a las once de la noche busca cómo bajar la factura del mes que viene.
La señal que hay que aprender a leer
Es una sola, y funciona para esto y para casi todo lo demás que se compra en internet: a quién le estás dando la credencial.
Un intermediario legítimo de acceso a modelos te pide tu clave o te da la suya, y en ambos casos el tráfico va y viene por HTTP contra un servidor. No necesita que te instales nada suyo en el ordenador donde trabajas.
En el momento en que un proveedor te pide instalar su cliente para usar un servicio que es una API, la pregunta que hay que hacerse no es si el precio es bueno. Es por qué necesita estar dentro de tu máquina.
Cuatro comprobaciones antes de meter una clave en ningún sitio
Busca la empresa fuera de su propia web. Registro mercantil, perfiles de las personas que dicen estar detrás, alguien que hable de ellos que no sea ellos. Una web con textos impecables y ninguna huella en el mundo es una web que se montó el mes pasado.
Comprueba de dónde sale la respuesta. Si un proveedor dice darte acceso a un modelo concreto, hazle preguntas cuya respuesta conozcas y compara. Los modelos tienen personalidad y límites distintos, y un sustituto barato se nota en diez minutos.
Usa una clave que pueda hacer poco. Si vas a probar a alguien, pruébalo con una credencial con tope de gasto y sin acceso a nada más. Que el experimento tenga un precio máximo conocido.
Nunca instales el cliente. Es la línea más simple. Si el servicio es una API, se usa con las herramientas que ya tienes.
La cuenta de verdad
Merece la pena poner el número al lado, porque el descuento nunca se compara con lo que se arriesga.
Lo que se ahorra un fundador con un descuento agresivo durante seis meses es una cantidad conocida y modesta. Lo que cuesta que te roben el token de sesión de la cuenta desde la que se despliega tu producto no es una cantidad: es un fin de semana rotando credenciales, avisando a clientes y explicando por qué.
Y el consejo aburrido, que es el bueno
Si la factura de IA te aprieta, la solución no está en el proveedor: está en el producto. Cachear lo que se repite, usar el modelo pequeño donde no hace falta el grande, cortar las llamadas que nadie mira. Casi todas las empresas que se quejan del precio están pagando tres veces por la misma respuesta.
Eso baja la factura de verdad, no la mitad de un mes, y no hay que darle a nadie las llaves.