Web scraping: qué es y cuándo puede convertirse en un riesgo para la seguridad
El web scraping permite extraer grandes cantidades de información de internet de forma automatizada, pero su uso para recopilar datos personales o sensibles puede generar riesgos de privacidad, fraudes y problemas de seguridad.
El web scraping es una técnica de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) utilizada para extraer y analizar de manera automatizada grandes volúmenes de información disponible en sitios web y redes sociales.
La herramienta puede tener usos legítimos. Empresas y organizaciones la emplean para realizar investigaciones de mercado, monitorear precios, identificar tendencias, seguir contenidos publicados en redes sociales o analizar el posicionamiento de una marca y sus competidores.
ESET advierte que la misma tecnología puede ser aprovechada por ciberdelincuentes para recopilar información personal y otros datos sensibles que posteriormente pueden utilizarse en ataques.
“En teoría, el uso de herramientas, extensiones o bibliotecas de scraping no es ilegal. Sin embargo, esto depende del propósito y del uso que se haga de esta información”, explica David González, investigador de seguridad informática de ESET Latinoamérica.
El especialista pone como ejemplo los precios publicados por una empresa en un marketplace, que pueden ser recopilados mediante este tipo de herramientas. La situación cambia cuando el scraping se utiliza para obtener datos personales o propiedad intelectual y posteriormente darles un uso indebido.
El hecho de que determinada información esté disponible públicamente en internet tampoco significa que pueda recopilarse, publicarse o utilizarse libremente. Las leyes de protección de datos personales y el propósito para el cual se obtiene la información son factores que deben tomarse en cuenta.
Robo de credenciales se afianza como una de las principales vías de ciberataques
Bots en aumento
La dimensión del fenómeno cobra relevancia por el creciente peso del tráfico automatizado en internet.
Según datos de Cloudflare Radar citados por ESET, hasta junio de 2026 el 57 % del tráfico web era generado por bots, frente al 42 % correspondiente a humanos. Asimismo, el Thales Bad Bot Report 2026 señala que el tráfico malicioso representó aproximadamente el 40 % del tráfico total de bots durante 2025.
Dentro de ese volumen de actividad automatizada también operan ciberdelincuentes que utilizan técnicas de scraping para recopilar información que puede facilitar ataques posteriores.
Entre los principales riesgos señalados por ESET se encuentra la violación de la privacidad, debido a que pueden recopilarse datos personales sin consentimiento, incluso cuando estos quedaron expuestos públicamente por descuido.
La información obtenida también puede emplearse para crear perfiles falsos, personalizar fraudes financieros y preparar ataques de spearphishing e ingeniería social.
El scraping masivo puede, además, consumir recursos de los sitios afectados y provocar lentitud o interrupciones temporales. Para las organizaciones, la exposición y posterior utilización maliciosa de información también puede traducirse en daños reputacionales, pérdida de confianza de los clientes y consecuencias económicas o legales.
Cómo reducir riesgos
ESET recomienda distintas medidas para disminuir la exposición de las organizaciones frente al scraping malicioso.
Una de ellas consiste en monitorear y bloquear direcciones IP que generen cantidades inusuales de tráfico. Aunque los bots pueden cambiar de dirección mediante proxys o VPN, la medida permite establecer una primera barrera.
También recomienda configurar correctamente el archivo robots.txt, utilizado para indicar qué recursos de una página pueden ser consultados por motores de búsqueda y otros sistemas automatizados.
Otra alternativa es filtrar solicitudes mediante el denominado user agent, que proporciona información sobre el dispositivo, navegador, sistema operativo y otros elementos utilizados para acceder a una página.
El uso de CAPTCHA puede ayudar a distinguir entre usuarios humanos y programas automatizados y dificultar la extracción masiva de información. A esto se suma la utilización de honeypots, sistemas diseñados para atraer y analizar determinadas actividades maliciosas.
La sexta recomendación apunta directamente a los usuarios: mantener una adecuada higiene digital y publicar únicamente la información necesaria. Datos como nombres de empleados, teléfonos, correos electrónicos o extensiones corporativas pueden convertirse en insumos para ataques cuando quedan expuestos innecesariamente.
La concientización dentro de las organizaciones resulta igualmente importante, debido a que limitar la cantidad de información personal o estratégica disponible públicamente reduce las posibilidades de que sea recopilada y utilizada para preparar fraudes más sofisticados.
Una dirección IP expuesta puede revelar información y facilitar ciberataques
