Precios, correos, teléfonos, publicaciones en redes sociales y otros datos disponibles en internet pueden recopilarse automáticamente en cuestión de segundos. La técnica se conoce como web scraping y, aunque tiene usos completamente legítimos, también puede convertirse en una herramienta para fraudes, estafas y otros riesgos digitales.

Cada día dejamos una enorme cantidad de información disponible en internet. Empresas publican precios, catálogos, datos de contacto, noticias y contenidos en redes sociales. Pero ¿qué ocurre cuando un programa es capaz de recorrer cientos o miles de páginas y recopilar toda esa información automáticamente?

Eso es, en términos sencillos, web scraping: una técnica que permite extraer grandes cantidades de datos de sitios web y redes sociales de forma automatizada.

Puede ser utilizada por empresas para comparar precios, estudiar tendencias, seguir noticias del sector o conocer mejor a la competencia. Sin embargo, ESET advierte que la misma tecnología también puede ser aprovechada por ciberdelincuentes para recopilar información que posteriormente facilite fraudes, suplantaciones de identidad o ataques más personalizados.

Si la información es pública, ¿significa que cualquiera puede utilizarla?

No necesariamente.

Que una persona o una empresa pueda encontrar un dato en internet no significa que pueda utilizarlo libremente para cualquier propósito.

Por ejemplo, recopilar automáticamente los precios publicados por distintas tiendas para realizar una comparación comercial puede ser una práctica legítima. El problema aparece cuando la extracción incluye datos personales, información sensible o propiedad intelectual, especialmente si luego esa información se utiliza con fines maliciosos.

David González, Investigador de Seguridad Informática de ESET Latinoamérica, explica que las herramientas de scraping no son ilegales por sí mismas: lo determinante es qué información se recopila y para qué se utiliza.

También existe otro punto importante: una persona pudo haber publicado accidentalmente un número de teléfono, un correo electrónico u otro dato personal. El hecho de que esa información sea visible no elimina las obligaciones relacionadas con la privacidad y la protección de datos.

Los bots ya generan más tráfico que las personas

La dimensión de este fenómeno puede sorprender.

Según datos citados en el informe, hasta junio de 2026 el 57 % del tráfico web era generado por bots, frente al 42 % generado por personas, de acuerdo con la plataforma Radar de Cloudflare.

Además, el Thales Bad Bot Report 2026 señala que aproximadamente el 40 % de todo el tráfico generado por bots durante 2025 correspondió a bots maliciosos.

No todos los bots son peligrosos. Muchos realizan tareas necesarias para el funcionamiento de internet. El problema aparece cuando programas automatizados recorren sitios web buscando información que pueda resultar útil para cometer un fraude o preparar un ataque.

De un dato aparentemente inofensivo a una estafa mucho más creíble

Un nombre, un cargo, un correo corporativo o un número de teléfono pueden parecer datos poco relevantes de manera aislada. Cuando se recopilan y combinan automáticamente con información disponible en otros sitios, la situación cambia.

Según ESET, el scraping malicioso puede generar diferentes riesgos para las organizaciones:

• Fraudes y estafas más convincentes. La información recopilada puede utilizarse para crear perfiles falsos o desarrollar engaños personalizados. Un mensaje que menciona el nombre, empresa, puesto de trabajo o alguna actividad real de la víctima tiene mayores posibilidades de parecer legítimo.
• Problemas de privacidad. Datos personales publicados por error pueden ser recopilados en grandes cantidades sin conocimiento de sus propietarios.
• Sitios web más lentos. Algunos programas realizan miles de solicitudes en poco tiempo. Ese tráfico adicional puede consumir recursos y afectar el funcionamiento de una página, provocando lentitud e incluso interrupciones temporales.
• Daño reputacional. Si información relacionada con una empresa termina siendo utilizada para cometer fraudes o engañar a clientes, la organización también puede enfrentar pérdida de confianza y posibles consecuencias económicas o legales.

Entonces, ¿cómo se puede reducir el riesgo?

Evitar completamente que un sitio web sea consultado por programas automatizados puede resultar complejo, pero existen medidas que permiten dificultar la recopilación masiva de información.

ESET comparte seis prácticas principales:

1. Detectar comportamientos inusuales

Si una misma dirección en internet realiza una cantidad excesiva de solicitudes en poco tiempo, puede tratarse de un programa automatizado. Identificar y bloquear este tipo de actividad permite reducir la extracción masiva de información.

2. Definir qué partes del sitio pueden ser consultadas

Los sitios web pueden utilizar un archivo conocido como robots.txt, que funciona como una especie de señal para indicar a ciertos programas qué contenidos pueden consultar y cuáles deberían permanecer restringidos.

3. Analizar desde dónde llegan las solicitudes

Cada dispositivo que visita una página entrega determinada información técnica sobre el navegador, sistema operativo y otros elementos. Analizar estos patrones puede ayudar a identificar comportamientos automatizados y limitar determinados accesos.

4. Utilizar CAPTCHA

Las conocidas pruebas que piden marcar una casilla, seleccionar determinadas imágenes o realizar una pequeña verificación tienen un objetivo: comprobar que detrás de una acción existe una persona y no un programa automatizado. Esto puede dificultar que una herramienta recopile enormes cantidades de información de forma rápida.

5. Crear “trampas” para detectar actividad sospechosa

En ciberseguridad existen mecanismos conocidos como honeypots, que simulan recursos atractivos para un atacante. Cuando alguien intenta acceder a ellos, es posible recopilar información sobre su comportamiento y comprender mejor cómo opera.

6. Publicar únicamente lo necesario

Esta puede ser una de las medidas más sencillas y, al mismo tiempo, más importantes. Antes de publicar nombres completos, correos, teléfonos, extensiones internas u otros datos, las organizaciones deberían preguntarse si realmente necesitan estar disponibles públicamente.

“Mientras menos información innecesaria esté expuesta, menos material tendrá un delincuente para construir un engaño.”

El problema no es solamente lo que publicamos, sino lo que otros pueden hacer con ello

El web scraping demuestra cómo una herramienta puede tener dos caras. Puede servir para investigar mercados, comparar información y detectar tendencias, pero también puede permitir que alguien reúna en minutos información que manualmente tomaría días encontrar.

Por eso, desde ESET destacan que la protección no depende únicamente de herramientas tecnológicas. También requiere revisar qué información se publica, establecer controles sobre los sitios web y generar conciencia dentro de las organizaciones sobre el valor que puede tener incluso un dato aparentemente insignificante.

Porque en internet, un correo, un número de teléfono o un cargo publicado de forma aislada quizá no diga demasiado. Miles de datos recopilados y conectados entre sí pueden contar una historia completamente diferente.