La extracción automatizada de información de Internet se ha convertido en una herramienta habitual para analizar mercados y detectar tendencias, pero su uso también plantea desafíos en materia de privacidad, protección de datos y ciberseguridad. ESET advierte de que la información accesible en la Red puede ser utilizada para construir ataques cada vez más personalizados.

Internet contiene una enorme cantidad de información al alcance de cualquier usuario. Precios, perfiles profesionales, correos electrónicos, publicaciones, noticias o datos corporativos pueden consultarse públicamente y, mediante herramientas automatizadas, recopilarse y analizarse a gran escala en cuestión de minutos.

Esta práctica, conocida como web scraping, ofrece importantes posibilidades para las empresas, pero también está abriendo nuevos frentes en materia de seguridad y privacidad. ESET alerta de que las mismas tecnologías utilizadas legítimamente para analizar mercados pueden servir a los ciberdelincuentes para recopilar información con la que preparar fraudes y ataques de ingeniería social.

Del análisis de mercado a la inteligencia sobre personas

El web scraping consiste en automatizar la extracción de información disponible en páginas web, redes sociales, plataformas de comercio electrónico y otros servicios digitales. También puede formar parte de procesos de inteligencia de fuentes abiertas, conocidos como OSINT.

En el entorno empresarial, sus aplicaciones son numerosas. Las organizaciones pueden utilizar estas técnicas para monitorizar precios de competidores, identificar tendencias, analizar conversaciones digitales, estudiar productos o seguir las noticias de un determinado sector.

Sin embargo, la capacidad de recopilar miles o millones de datos de forma automatizada también puede utilizarse con objetivos maliciosos.

Un atacante podría rastrear diferentes fuentes públicas para localizar nombres de empleados, cargos, direcciones de correo electrónico, teléfonos, relaciones profesionales o información sobre una compañía. Una vez agregados y relacionados, esos datos permiten construir perfiles mucho más completos de empleados y directivos.

El resultado es especialmente relevante para la ciberseguridad: cuanto mayor sea la información disponible sobre una víctima, más creíble puede resultar un intento de phishing, spear phishing, fraude o suplantación de identidad.

El interés económico por estas tecnologías continúa, además, aumentando. Según datos de Grand View Research citados por ESET, el mercado mundial de datos alternativos obtenidos mediante web scraping alcanzó los 2.538,9 millones de dólares en 2025 y podría registrar una tasa de crecimiento anual compuesta del 36,9% hasta 2033.

Un dato público no es necesariamente un dato de libre uso

Uno de los principales errores alrededor del scraping consiste en asumir que cualquier información accesible en Internet puede recopilarse y reutilizarse sin restricciones.

No necesariamente.

La legalidad del web scraping depende de factores como la naturaleza de la información extraída, el propósito de su recopilación, el tratamiento posterior de esos datos y las normas aplicables en cada caso.

La situación cobra especial relevancia cuando se recopilan datos personales, pero también cuando existen derechos de propiedad intelectual o limitaciones legales y contractuales sobre determinados contenidos.

En España, la Agencia Española de Protección de Datos considera que la recopilación mediante scraping de información personal constituye un tratamiento de datos y, por tanto, queda sujeta a la normativa correspondiente. Esta interpretación también se refleja en las directrices europeas sobre web scraping adoptadas en julio de 2026, que sitúan bajo el ámbito del RGPD operaciones como la recopilación, almacenamiento, organización o recuperación automatizada de datos personales.

Josep Albors, responsable de Investigación y Concienciación de ESET España, señala que la accesibilidad de una información no elimina las responsabilidades asociadas a su utilización. Las organizaciones deben valorar qué información recopilan, para qué la necesitan y qué tratamiento realizarán posteriormente, especialmente cuando existen datos personales o sensibles.

El problema de la escala

La automatización introduce otro elemento clave: la capacidad de recopilar información a gran escala.

Buscar manualmente los datos de cientos de empleados exigiría tiempo y recursos. Un sistema automatizado puede rastrear numerosas páginas y fuentes públicas, estructurar los resultados y relacionarlos en mucho menos tiempo.

Esta capacidad permite que pequeñas piezas de información aparentemente inocuas adquieran valor cuando se combinan.

Un nombre, un puesto de trabajo, una dirección de correo electrónico y una publicación en una red social pueden ser suficientes para crear un mensaje fraudulento adaptado a una persona concreta. El scraping puede convertirse así en una primera fase de reconocimiento para ataques posteriores.

Las consecuencias para las organizaciones tampoco se limitan al robo de información. Un número elevado de solicitudes automatizadas puede aumentar el consumo de recursos de los servidores, reducir el rendimiento de una web e incluso afectar temporalmente a su disponibilidad.

A ello se añaden posibles daños económicos, reputacionales y legales cuando información relacionada con empleados, clientes o la propia organización termina siendo utilizada fraudulentamente.

Cómo reducir el scraping malicioso

Eliminar por completo estas prácticas resulta complicado cuando una organización necesita mantener determinada información accesible en Internet. Por ello, ESET apuesta por una estrategia basada en diferentes capas de protección.

Entre las principales medidas se encuentra la monitorización del tráfico para identificar direcciones IP o comportamientos con un volumen anormal de peticiones. Aplicar límites de velocidad o bloqueos temporales puede dificultar la recopilación masiva, aunque el uso de proxys y VPN obliga a combinar esta defensa con otros mecanismos.

También resulta importante configurar adecuadamente el archivo robots.txt, utilizado para indicar a los rastreadores qué partes de una web deberían explorar. No obstante, se trata de una indicación y no de una medida de seguridad: un scraper malicioso puede ignorarla, por lo que nunca debería emplearse como protección para información sensible.

El análisis de agentes de usuario, frecuencia de solicitudes y patrones de navegación permite asimismo detectar actividad automatizada. Herramientas como los firewalls de aplicaciones web (WAF) pueden añadir una capa adicional para identificar y bloquear tráfico sospechoso.

En formularios, buscadores u otros puntos especialmente sensibles, los sistemas CAPTCHA pueden dificultar la actividad masiva de bots. Otra alternativa son los honeypots, recursos diseñados como señuelos que permiten detectar sistemas automatizados y analizar su comportamiento sin comprometer activos reales.

Pero una de las medidas más importantes no es estrictamente tecnológica: reducir la cantidad de información innecesaria disponible públicamente.

Las organizaciones deberían revisar periódicamente qué datos corporativos y personales pueden encontrarse en Internet y limitar su exposición a aquellos que sean realmente necesarios. La formación de los empleados también desempeña un papel relevante, ya que publicar de forma innecesaria teléfonos, correos electrónicos u otra información profesional puede proporcionar nuevas piezas para ataques dirigidos.

Menos exposición, menos información para el atacante

No existe una única tecnología capaz de impedir todas las modalidades de web scraping. La protección pasa por combinar controles técnicos, monitorización y una política más estricta sobre la información que una organización hace pública.

En un escenario en el que los ciberdelincuentes pueden automatizar la recopilación y el análisis de grandes cantidades de datos, la superficie de exposición de una empresa ya no está formada únicamente por sus sistemas y aplicaciones, sino también por toda la información que deja accesible en Internet.

El desafío, por tanto, no consiste únicamente en decidir qué puede publicarse, sino también en comprender qué podría hacer un tercero con esos datos una vez recopilados, relacionados y analizados a escala.