Analizar los precios de la competencia, detectar tendencias o estudiar conversaciones en redes sociales en cuestión de minutos. El web scraping permite convertir grandes cantidades de información publicada en Internet en datos útiles para las empresas, pero esa misma capacidad de recopilación automatizada también puede ser aprovechada por los ciberdelincuentes para obtener información sensible y preparar ataques mucho más dirigidos.
El web scraping es una técnica automatizada de extracción de datos que puede utilizarse como parte de tareas de inteligencia de fuentes abiertas u OSINT (open-source intelligence). Mediante herramientas, extensiones o bibliotecas de software, permite recopilar y analizar información procedente de páginas web, plataformas de comercio electrónico o redes sociales.
En el ámbito empresarial, algunas de sus aplicaciones más habituales incluyen el seguimiento de precios y productos de la competencia, el análisis de contenido y conversaciones en redes sociales, la identificación de tendencias o el seguimiento de noticias relevantes para un determinado sector. ESET, compañía líder en ciberseguridad, advierte, sin embargo, de que las mismas técnicas pueden emplearse para recopilar información personal, credenciales expuestas, datos corporativos o cualquier otro contenido que posteriormente pueda utilizarse en campañas de fraude o ingeniería social.
El creciente valor de este tipo de información también se refleja en el mercado. Según Grand View Research, el segmento global de datos alternativos obtenidos mediante web scraping alcanzó los 2.538,9 millones de dólares en 2025 y se estima que crecerá a una tasa anual compuesta del 36,9% hasta 2033.
Que esté en Internet no significa que pueda utilizarse sin límites
El web scraping no es ilegal por sí mismo. Su encaje legal depende, entre otros factores, de qué información se recopila, con qué finalidad, cómo se trata posteriormente y qué normativa resulta aplicable. Extraer determinados datos accesibles públicamente puede ser legítimo en algunos contextos, pero la situación cambia cuando entran en juego datos personales, contenidos protegidos por propiedad intelectual u otras restricciones legales o contractuales.
En España, la Agencia Española de Protección de Datos ha señalado expresamente que, cuando el data scraping recopila datos personales, se produce un tratamiento de datos sujeto a la normativa de protección de datos. En la misma línea, las directrices sobre web scraping adoptadas por el Comité Europeo de Protección de Datos en julio de 2026 establecen que el RGPD resulta aplicable cuando esta práctica implica operaciones de tratamiento de datos personales, como su recopilación, almacenamiento, organización o recuperación.
"Que una información sea públicamente accesible no significa que pueda recopilarse y reutilizarse sin ningún límite. Más allá de la tecnología empleada, las empresas deben preguntarse qué datos están obteniendo, con qué finalidad y qué van a hacer después con ellos”, señala Josep Albors, responsable de Investigación y Concienciación de ESET España. “Cuando hablamos de datos personales o información sensible, una recopilación automatizada e indiscriminada puede convertirse rápidamente en un problema tanto de privacidad como de ciberseguridad".
Para ESET, este matiz es especialmente importante. El problema no está únicamente en la extracción de información, sino también en la escala que permite la automatización y en el uso posterior de los datos. Un ciberdelincuente puede recurrir al scraping para localizar y recopilar nombres, direcciones de correo electrónico, teléfonos u otros datos disponibles en páginas corporativas, redes sociales y fuentes abiertas. Esta información puede utilizarse después para crear perfiles detallados de empleados, clientes o directivos y personalizar campañas de phishing, spear phishing u otros ataques de ingeniería social, aumentando así sus probabilidades de éxito.
El scraping malicioso también puede tener consecuencias directas para las empresas. Un volumen elevado de peticiones automatizadas puede consumir recursos del servidor, ralentizar los sitios web e incluso afectar temporalmente a su disponibilidad. A ello se suma el posible impacto reputacional, económico y legal derivado de que información vinculada a la empresa, sus empleados o sus clientes sea recopilada y utilizada posteriormente con fines fraudulentos.
Seis medidas para reducir el scraping malicioso
Evitar por completo la extracción automatizada de información puede resultar complejo, especialmente cuando el contenido debe permanecer accesible públicamente. Por ello, ESET recomienda aplicar varias capas de protección en lugar de confiar en un único mecanismo.
1. Bloquear y limitar tráfico sospechoso: supervisar las direcciones IP y los patrones de acceso permite detectar volúmenes anómalos de solicitudes, aplicar límites de velocidad y bloquear temporalmente determinadas fuentes. Los atacantes pueden recurrir a proxys o VPN para cambiar de dirección IP, por lo que esta medida debe combinarse con otros controles.
2. Configurar correctamente robots.txt: este archivo permite indicar a los rastreadores qué recursos deberían o no deberían explorar. Sin embargo, no funciona como una barrera de seguridad y un scraper malicioso puede ignorarlo, por lo que nunca debe utilizarse para proteger información sensible.
3. Filtrar las solicitudes automatizadas: el análisis de direcciones IP, agentes de usuario, frecuencia de peticiones y otros patrones de navegación ayuda a identificar comportamientos propios de bots. Un firewall de aplicaciones web o WAF también puede contribuir a bloquear accesos sospechosos.
4. Utilizar CAPTCHA en puntos sensibles: Estas pruebas ayudan a diferenciar entre usuarios humanos y programas automatizados, dificultando la recopilación masiva de información en formularios, búsquedas u otras áreas críticas.
5. Emplear honeypots: los señuelos o recursos creados específicamente para atraer actividad automatizada pueden ayudar a detectar scrapers y recopilar información sobre su comportamiento sin exponer los sistemas reales.
6. Reducir la información expuesta y concienciar: Las empresas deberían publicar únicamente los datos personales y corporativos estrictamente necesarios y revisar periódicamente qué información permanece accesible desde Internet. La concienciación de los empleados también resulta fundamental para evitar exposiciones innecesarias de nombres, teléfonos, direcciones de correo electrónico u otros datos que puedan facilitar ataques dirigidos.
Desde ESET recuerdan que ningún mecanismo es capaz de detener por sí solo todas las formas de web scraping. La combinación de supervisión del tráfico, limitación de solicitudes, mecanismos antibot y una política de minimización de la información pública permite reducir considerablemente la superficie disponible para quienes utilizan estas técnicas con fines maliciosos.