Web scraping: qué es, cómo funciona y cuándo es legal

CIUDAD DE MÉXICO ­- El scraping es una técnica de inteligencia de fuentes abiertas (OSINT, open-source intelligence) que automatiza la extracción y el análisis de grandes volúmenes de información de internet. Este proceso permite a las empresas recopilar datos de sitios web o redes sociales, mediante herramientas, extensiones y bibliotecas, para realizar investigaciones de mercado, identificar tendencias y analizar el posicionamiento de marca y la competencia. ESET, compañía líder en detección proactiva de amenazas, advierte qué riesgos enfrentan las empresas y cómo mantener la información protegida.

"En teoría, el uso de herramientas, extensiones o bibliotecas de scraping no es ilegal. Sin embargo, esto depende del propósito y del uso que se haga de esta información. Por ejemplo, si una empresa publica los precios de sus productos en su marketplace, es legal obtener esos datos utilizando herramientas extensiones de navegador. Pero cuando el scraping se utiliza para recopilar datos personales y propiedad intelectual, puede convertirse en una práctica maliciosa y violar leyes de privacidad", comenta David González, Investigador de Seguridad Informática de ESET Latinoamérica.

Aunque obtener datos web podría ser legal, según las leyes de protección de datos personales sería ilegal publicar esa información personal sensible, ya sea accidentalmente o no. Desde ESET señalan que el hecho de que los datos o la información estén disponibles públicamente no significa que siempre sea legal o ético utilizarlos mediante scraping.

Usos más pupulares de los scrapers:

·         Monitoreo de precios

·         Contenido de redes sociales

·         Noticias especializadas del sector

Según la plataforma Radar de Cloudflare, el tráfico generado por bots superó al tráfico web humano, con un 57% del tráfico impulsado por bots, frente al 42% impulsado por humanos hasta junio de 2026. Además, según el Thales Bad Bot Report 2026, el tráfico malicioso de bots representó aproximadamente el 40% del tráfico total de bots en 2025.

"Dentro de estos enormes volúmenes de datos y contenido recopilados también se encuentran los ciberdelincuentes que utilizan estas mismas técnicas para obtener contenido valioso y datos sensibles y con frecuencia trabajan para vulnerar la seguridad de las organizaciones. Teniendo esto en cuenta, es necesario adoptar medidas para reducir los riesgos", comenta David González, Investigador de Seguridad Informática de ESET Latinoamérica.

El scraping malicioso puede afectar a la organización cuyos datos fueron publicados, tanto en términos de implicaciones legales como de riesgos de seguridad asociados. Las principales formas, según ESET, en que el scraping malicioso puede afectar a una empresa son:

·         Violación de privacidad: un ciberdelincuente puede recopilar datos personales sin el consentimiento del propietario, independientemente de que sean públicos debido a un descuido por parte de quien los publicó.

·         Frudes y estafas: la información obtenida puede utilizarse para crear perfiles falsos, hacer que los fraudes financieros sean más efectivos al aumentar su nivel de personalización (spearphishing) y posteriormente llevar a cabo ataques de ingeniería social.

·         Impacto en el rendimiento de los sitios objeto de scraping: al acceder y consumir recursos de portales o redes sociales, el aumento del tráfico web puede afectar negativamente el rendimiento de los recursos web, provocando que los sitios se vuelvan más lentos o queden temporalmente fuera de servicio.

·         Daño en la reputación: la obtención de datos personales puede utilizarse con fines maliciosos, como perjudicar la reputación de una empresa, lo que puede llevar a una pérdida de clientes debido a la desconfianza sobre cómo se expuso y recopiló esa información. Esto puede tener un impacto duradero tanto en cuestiones legales como financieras.

Desde ESET comparten 6 técnicas y buenas prácticas para que las organizaciones puedan minimizar el impacto de esta actividad maliciosa en sus sitios web y reducir sus efectos. Entre las principales se encuentran:

·         Bloqueo de direcciones IP: la mayoría de los proveedores de servicios en la nube permiten a sus clientes monitorear las direcciones IP que visitan sus sitios para identificar si, durante un período determinado, se genera una cantidad inusual de tráfico desde una dirección IP específica (tráfico generado por algunos scrapers o bots) y potencialmente bloquearla por completo. Sin embargo, este control puede ser superado si los bots o scrapers tienen la posibilidad de cambiar su dirección IP mediante un proxy o una VPN, aunque esto requeriría un mayor esfuerzo de programación y es algo que los ciberdelincuentes a menudo no hacen.

·         Configuración correcta del archivo "robots.txt": la mayoría de las páginas en internet contienen un archivo llamado "robots.txt", que indica a motores de búsqueda como Google o Bing qué recursos pueden acceder desde la página web. Por ejemplo, permite controlar el acceso a archivos de imágenes o bloquear el acceso a recursos o directorios que pueden ser privados, otorgando un mejor control. En el caso de los scrapers, estos pueden ser restringidos mediante este archivo.

·         Filtrado de solicitudes mediante agentes: cuando se visita un sitio, se realiza una solicitud para acceder a una página HTML desde el servidor. Esta solicitud está acompañada por factores de identificación como la dirección IP y el agente de usuario (user agent), que contiene información sobre el dispositivo y el software utilizados para acceder a la página web, incluido el nombre de la aplicación, la versión, el sistema operativo y el idioma. Del mismo modo, la mayoría de los proveedores de servicios en la nube permiten filtrar el acceso a la información de una página web mediante el agente de usuario; en el caso de los scrapers, estos pueden ser limitados si se identifican desde una determinada IP, versión de navegador o sistema operativo.

·         Uso de CAPTCHA: CAPTCHA es el acrónimo de "prueba pública de Turing completamente automatizada para distinguir entre computadoras y humanos". Esta prueba de seguridad se utiliza para verificar que un usuario es humano y no un bot o programa automatizado, lo que impediría que un scraper obtenga grandes volúmenes de información de manera tan rápida y sencilla.

·         Uso de honeypots: en TI, una práctica común consiste en crear servicios falsos, como un servidor web o una base de datos, que aparentan ser vulnerables a ataques. Cuando los ciberdelincuentes caen en la trampa y atacan, los honeypots recopilan y analizan los datos del ataque. La información obtenida se utiliza para conocer mejor los ataques y su origen. Esto ayuda a preparar los sistemas reales frente a posibles amenazas como los scrapers.

·         Higiene digital y concientización: los buenos hábitos en el mundo digital permiten a los usuarios proteger la información personal frente a amenazas cibernéticas, entre ellas publicar únicamente la información mínima necesaria en las páginas oficiales para que la empresa pueda continuar operando. Si se toman medidas adecuadas para proteger el acceso o la divulgación de información personal en sitios web expuestos a terceros (como nombres y números de teléfono de empleados, correos electrónicos o extensiones, por mencionar algunos ejemplos), los usuarios pueden minimizar el impacto de un ciberdelincuente que utilice scrapers para obtener dicha información. Finalmente, concientizar a los usuarios, independientemente de su nivel dentro de la organización, es fundamental para identificar los riesgos existentes al publicar y consultar información en diferentes sitios de internet.

"Cuando las organizaciones no adoptan medidas de seguridad adecuadas ni implementan buenas prácticas para protegerse a sí mismas y a su contenido, incluidos datos, recursos o propiedad intelectual, frente a actores maliciosos, la publicación de ese contenido estratégico y sensible puede dar lugar a fraudes y estafas más sofisticados. Esto, a su vez, genera desconfianza entre los usuarios y puede derivar en importantes pérdidas financieras. En los casos en que las empresas puedan emplear el web scraping de manera legal, siguen existiendo múltiples preocupaciones relacionadas con el cumplimiento normativo que requieren atención específica, además de la necesidad permanente de mantener estrictas medidas editoriales y controles sobre el contenido", concluye González de ESET.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/inteligencia-artificial-empresas-implementacion-politicas-uso/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw