ESET analiza cómo el web scraping puede ser beneficioso para las empresas, pero también es utilizado por ciberdelincuentes para recopilar y comprometer datos sensibles, lo que representa un riesgo para la seguridad.
Foto: ESET.
Centroamérica. El scraping es una técnica de inteligencia de fuentes abiertas (OSINT, open-source intelligence) que automatiza la extracción y el análisis de grandes volúmenes de información de internet.
Este proceso permite a las empresas recopilar datos de sitios web o redes sociales, mediante herramientas, extensiones y bibliotecas, para realizar investigaciones de mercado, identificar tendencias y analizar el posicionamiento de marca y la competencia. ESET advierte sobre qué riesgos enfrentan las empresas y cómo mantener la información protegida.
Aunque obtener datos web podría ser legal, según las leyes de protección de datos personales sería ilegal publicar esa información personal sensible, ya sea accidentalmente o no. Desde ESET señalan que el hecho de que los datos o la información estén disponibles públicamente no significa que siempre sea legal o ético utilizarlos mediante scraping.
Usos más pupulares de los scrapers:
Monitoreo de precios, contenido de redes sociales y noticias especializadas del sector.
Según la plataforma Radar de Cloudflare, el tráfico generado por bots superó al tráfico web humano, con un 57% del tráfico impulsado por bots, frente al 42% impulsado por humanos hasta junio de 2026. Además, según el Thales Bad Bot Report 2026, el tráfico malicioso de bots representó aproximadamente el 40 % del tráfico total de bots en 2025.
El scraping malicioso puede afectar a la organización cuyos datos fueron publicados, tanto en términos de implicaciones legales como de riesgos de seguridad asociados. Las principales formas, según ESET, en que el scraping malicioso puede afectar a una empresa son:
Violación de privacidad: un ciberdelincuente puede recopilar datos personales sin el consentimiento del propietario, independientemente de que sean públicos debido a un descuido por parte de quien los publicó.
Fraudes y estafas: la información obtenida puede utilizarse para crear perfiles falsos, hacer que los fraudes financieros sean más efectivos al aumentar su nivel de personalización (spearphishing) y posteriormente llevar a cabo ataques de ingeniería social.
Impacto en el rendimiento de los sitios objetos de scraping: al acceder y consumir recursos de portales o redes sociales, el aumento del tráfico web puede afectar negativamente el rendimiento de los recursos web, provocando que los sitios se vuelvan más lentos o queden temporalmente fuera de servicio.
Daño en la reputación: la obtención de datos personales puede utilizarse con fines maliciosos, como perjudicar la reputación de una empresa, lo que puede llevar a una pérdida de clientes debido a la desconfianza sobre cómo se expuso y recopiló esa información. Esto puede tener un impacto duradero tanto en cuestiones legales como financieras.
Técnicas para minimizar el impacto
Bloqueo de direcciones IP: la mayoría de los proveedores de servicios en la nube permiten a sus clientes monitorear las direcciones IP que visitan sus sitios para identificar si, durante un período determinado, se genera una cantidad inusual de tráfico desde una dirección IP específica (tráfico generado por algunos scrapers o bots) y potencialmente bloquearla por completo.
Configuración correcta del archivo “robots.txt”: la mayoría de las páginas en internet contienen un archivo llamado “robots.txt”, que indica a motores de búsqueda como Google o Bing qué recursos pueden acceder desde la página web.
Filtrado de solicitudes mediante agentes: cuando se visita un sitio, se realiza una solicitud para acceder a una página HTML desde el servidor. Esta solicitud está acompañada por factores de identificación como la dirección IP y el agente de usuario (user agent), que contiene información sobre el dispositivo y el software utilizados para acceder a la página web, incluido el nombre de la aplicación, la versión, el sistema operativo y el idioma.
Uso de CAPTCHA: CAPTCHA es el acrónimo de “prueba pública de Turing completamente automatizada para distinguir entre computadoras y humanos”. Esta prueba de seguridad se utiliza para verificar que un usuario es humano y no un bot o programa automatizado, lo que impediría que un scraper obtenga grandes volúmenes de información de manera tan rápida y sencilla.
Uso de honeypots: en TI, una práctica común consiste en crear servicios falsos, como un servidor web o una base de datos, que aparentan ser vulnerables a ataques.
Higiene digital y concientización: Los buenos hábitos en el mundo digital permiten a los usuarios proteger la información personal frente a amenazas cibernéticas, entre estas publicar únicamente la información mínima necesaria en las páginas oficiales para que la empresa pueda continuar operando.
