Santo Domingo.– El scraping, una técnica utilizada para recopilar y analizar grandes cantidades de información disponible en internet, se ha convertido en una herramienta de utilidad para empresas, pero también en un potencial riesgo de ciberseguridad cuando es utilizada por actores maliciosos para obtener datos personales, información sensible o propiedad intelectual.

La alerta fue emitida por ESET, compañía especializada en detección proactiva de amenazas, que advierte que el hecho de que una información esté publicada en internet no significa necesariamente que su recopilación automatizada, almacenamiento o posterior utilización sea legal o ética.

“El uso de herramientas, extensiones o bibliotecas de scraping no es ilegal en teoría; sin embargo, depende del propósito y del uso que se haga de la información”, explicó David González, investigador de seguridad informática de ESET Latinoamérica.

El especialista puso como ejemplo el monitoreo de precios publicados por empresas en sus plataformas comerciales, una práctica que puede ser legítima. Sin embargo, advirtió que el escenario cambia cuando el scraping se utiliza para recopilar datos personales o propiedad intelectual, ya que puede entrar en conflicto con las leyes de protección de datos.

Los bots ya generan más tráfico que los humanos

El crecimiento de la automatización en internet evidencia la magnitud del fenómeno. Según los datos citados por ESET de la plataforma Radar de Cloudflare, hasta junio de 2026 el 57 % del tráfico web fue generado por bots, frente al 42 % correspondiente a usuarios humanos.

Asimismo, el Thales Bad Bot Report 2026 señala que el tráfico de bots maliciosos representó aproximadamente el 40 % del tráfico total de bots durante 2025.

ESET advierte que dentro de ese enorme volumen de información recopilada también operan ciberdelincuentes que utilizan técnicas automatizadas para localizar contenido valioso y datos sensibles que posteriormente pueden ser empleados contra organizaciones.

¿Para qué se utiliza normalmente el scraping?

Entre los usos más comunes y legítimos de esta tecnología se encuentran:

• Monitoreo de precios.

• Seguimiento de contenido en redes sociales.

• Recopilación de noticias especializadas de un sector.

El problema aparece cuando las técnicas de extracción automatizada son utilizadas para obtener información personal o estratégica con fines fraudulentos.

Los principales riesgos para las empresas

De acuerdo con ESET, el scraping malicioso puede generar consecuencias legales, financieras, operativas y reputacionales.

Violación de la privacidad: los ciberdelincuentes pueden recopilar datos personales sin consentimiento, incluso cuando estos hayan quedado expuestos públicamente por descuido.

Fraudes y estafas: la información recopilada puede servir para crear perfiles falsos, personalizar ataques de spearphishing y desarrollar campañas de ingeniería social más convincentes.

Afectación del rendimiento de los sitios web: una cantidad excesiva de solicitudes automatizadas puede consumir recursos de los servidores y provocar que una página funcione lentamente o quede temporalmente fuera de servicio.

Daño reputacional: la exposición de información personal puede generar desconfianza entre clientes y usuarios y provocar consecuencias legales y financieras para la organización.

ESET recomienda seis medidas de protección

Para reducir los riesgos asociados al scraping malicioso, ESET recomienda a las organizaciones fortalecer sus controles de seguridad mediante varias medidas.

1. Bloquear direcciones IP.
Las empresas pueden monitorear las direcciones desde las que reciben cantidades inusuales de tráfico y bloquear aquellas que presenten comportamientos sospechosos. No obstante, esta medida puede ser evadida mediante proxies o VPN.

2. Configurar correctamente el archivo “robots.txt”.
Este archivo permite establecer qué recursos de un sitio pueden ser consultados por determinados agentes automatizados y ayuda a restringir el acceso a directorios o contenidos específicos.

3. Filtrar solicitudes mediante agentes de usuario.
Las organizaciones pueden analizar información como dirección IP, navegador, sistema operativo y otros elementos asociados a las solicitudes para identificar y limitar comportamientos automatizados.

4. Implementar CAPTCHA.
Estas pruebas permiten distinguir entre usuarios humanos y programas automatizados, dificultando la extracción masiva de información.

5. Utilizar honeypots.
Se trata de servicios o sistemas diseñados para aparentar ser vulnerables y atraer a posibles atacantes. Su actividad permite recopilar información sobre los métodos utilizados y mejorar posteriormente las defensas de los sistemas reales.

6. Fortalecer la higiene digital y la concientización.
ESET recomienda publicar únicamente la información necesaria en sitios expuestos a terceros y proteger datos como números telefónicos, correos electrónicos y extensiones de empleados. También considera fundamental capacitar al personal sobre los riesgos asociados con la publicación y consulta de información en internet.

El llamado: los datos públicos no deben confundirse con datos sin protección

González insistió en que las organizaciones deben asumir que cualquier información expuesta en internet puede convertirse en un objetivo para los ciberdelincuentes.

“Cuando las organizaciones no adoptan medidas de seguridad adecuadas ni implementan buenas prácticas para protegerse a sí mismas y a su contenido, incluidos datos, recursos o propiedad intelectual, frente a actores maliciosos, la publicación de ese contenido estratégico y sensible puede dar lugar a fraudes y estafas más sofisticados”, sostuvo.

El investigador agregó que incluso cuando una empresa utiliza scraping dentro de un marco legal, persisten obligaciones relacionadas con el cumplimiento normativo y la protección de los contenidos.

El llamado de ESET es contundente: que una información sea pública no significa que esté libre de riesgos. Las empresas deben controlar qué datos exponen, quién puede acceder a ellos y cómo protegerlos frente a herramientas automatizadas que pueden convertir una simple publicación en una puerta de entrada para el fraude y la ingeniería social.