La automatización permite recopilar información pública a escala, pero también facilita fraude, perfilado, robo de datos y abuso automatizado. El web scraping automatiza la extracción de información disponible en sitios web y redes sociales. Puede utilizarse legítimamente para análisis de precios, tendencias o investigación, pero se convierte en un riesgo cuando recopila datos personales, propiedad intelectual o información sensible, sobrecarga servicios o alimenta fraude, phishing y otras operaciones maliciosas.

Aspectos clave

• El scraping automatiza la extracción y análisis de grandes cantidades de información web y forma parte de numerosas prácticas de OSINT.
• ESET identifica entre sus usos empresariales el monitoreo de precios, redes sociales y noticias especializadas.
• La técnica en sí misma no determina la legalidad; importan finalidad, tipo de información, acceso utilizado, derechos sobre los contenidos y legislación aplicable.
• Thales calculó que los bots representaron 53% del tráfico de Internet analizado durante 2025 y que los bad bots alcanzaron 40%.
• Los ataques automatizados habilitados por IA crecieron 12,5 veces interanualmente según el Thales Bad Bot Report 2026.
• En Perú, el tratamiento de datos personales está regulado por la Ley 29733 y por su nuevo Reglamento, vigente desde el 31 de marzo de 2025.
• robots.txt ayuda a comunicar reglas de rastreo, pero no impide técnicamente el acceso de un scraper hostil.
• Una defensa efectiva combina reducción de exposición, controles de acceso, rate limiting, detección de bots, monitoreo, WAF y protección de APIs; ninguna técnica aislada resulta suficiente frente a automatización sofisticada.

Web scraping: automatizar lo que antes hacía una persona

Lima, Perú, 14 de agosto de 2026.— Consultar una página, copiar un precio y almacenarlo en una hoja de cálculo es una acción manual. Hacer lo mismo automáticamente sobre miles de productos, páginas o sitios convierte esa tarea en web scraping. ESET lo describe como una técnica vinculada con OSINT —Open Source Intelligence— que automatiza la extracción y análisis de grandes cantidades de información disponible en Internet. Las empresas pueden utilizarla para investigación de mercado, seguimiento de precios, identificación de tendencias y análisis competitivo. Por tanto, scraping no es sinónimo de ataque. Es una técnica automatizada de ingesta de datos. El riesgo aparece con qué información recopila, cómo lo hace y qué ocurre después con esos datos.

Un mismo scraper puede servir para investigar o para atacar

Pensemos en dos escenarios. Una empresa necesita conocer diariamente los precios publicados por diferentes comercios para estudiar cómo evoluciona su mercado. Otro actor automatiza la recolección de nombres, teléfonos, cargos, direcciones de correo y perfiles sociales de miles de empleados para construir campañas de spear phishing. Tecnológicamente, ambos pueden utilizar herramientas semejantes. La diferencia está en la finalidad y el tratamiento posterior. David González, investigador de Seguridad Informática de ESET Latinoamérica, explica en el comunicado que el uso de herramientas de scraping no es por sí mismo necesariamente ilícito, pero advierte que la extracción de datos personales o propiedad intelectual puede terminar vulnerando normas de privacidad u otros derechos. En diferentes jurisdicciones también pueden intervenir condiciones contractuales, copyright, derechos sobre bases de datos, elusión de controles técnicos y otras normas. La respuesta correcta es contextual.

Público no significa automáticamente libre de obligaciones

En el Perú, la Ley 29733 tiene como objeto proteger el derecho fundamental de las personas respecto del tratamiento de sus datos personales. Su nuevo reglamento, aprobado mediante el Decreto Supremo 016-2024-JUS, está vigente desde marzo de 2025. La Autoridad Nacional de Protección de Datos Personales incluso ha emitido criterios específicos sobre el tratamiento de información personal procedente de fuentes accesibles al público. Esto significa que la disponibilidad pública de una información debe analizarse por separado de preguntas como: ¿para qué voy a utilizarla?, ¿es necesario recopilarla?, ¿puedo almacenarla?, ¿puedo combinarla con otros datos?, ¿puedo utilizarla comercialmente? La protección de datos no desaparece simplemente porque la información pueda encontrarse mediante un navegador.

Los bots ya comparten Internet con nosotros

El contexto tecnológico hace que esta discusión sea cada vez más relevante. ESET cita datos de Cloudflare Radar que situaban el tráfico automatizado alrededor del 57% frente a 42% humano durante junio de 2026. Esta métrica debe entenderse como una fotografía variable: Cloudflare Radar actualiza continuamente sus porcentajes según ubicación, ventana temporal y tipo de tráfico. Sus propias mediciones recientes continúan mostrando que las solicitudes automatizadas pueden superar a las humanas en tráfico HTML global. Para una referencia anual más estable, Thales calculó que durante 2025 los bots representaron 53% del tráfico, frente a 47% humano. De ese volumen total, aproximadamente 40% correspondió a bad bots. La conclusión importante no es si un día la proporción exacta es 53%, 57% o 59%. Es que el tráfico automatizado ya constituye una parte estructural de la Web.

La IA está haciendo mucho más difícil diferenciar un bot bueno de uno malo

Durante años resultaba relativamente sencillo pensar en dos categorías: bot legítimo: buscadores, monitoreo, automatización autorizada. bad bot: scraping abusivo, fraude, credential stuffing, spam. La llegada de agentes de IA desdibuja esa frontera. Un agente puede recorrer Internet legítimamente para comparar productos para un usuario. Otro puede utilizar prácticamente la misma tecnología para extraer propiedad intelectual, recopilar identidades o explotar lógica empresarial. Thales sostiene en su informe 2026 que los ataques de bots habilitados por inteligencia artificial aumentaron 12,5 veces respecto del año anterior y que la intención se está convirtiendo en una variable más importante que simplemente identificar si una petición proviene de una máquina. Cloudflare ya mantiene incluso una sección específica de Radar dedicada a rastreadores y bots de IA, diferenciando finalidades como búsqueda, entrenamiento de modelos y otras tareas automatizadas.

El scraping malicioso convierte información dispersa en inteligencia accionable

Un dato aislado puede parecer poco importante. Pero el poder del scraping surge precisamente al combinar miles o millones de ellos. Un atacante podría relacionar: nombre + empresa + cargo + email + teléfono + LinkedIn + tecnología utilizada + ubicación. De pronto, información aparentemente inocua se convierte en materia prima para ingeniería social.ESET identifica cuatro grandes áreas de impacto: privacidad, fraude, rendimiento del sitio y reputación empresarial.

De scraping a spear phishing

Los datos recopilados pueden utilizarse para crear mensajes extremadamente personalizados. Un atacante ya no necesita enviar:

Su cuenta ha sido bloqueada”.

Puede construir algo mucho más verosímil:

José, detectamos un problema con la acreditación del evento al que asistirá su equipo mañana”.

Para generar ese contexto pudo haber recopilado previamente redes sociales, páginas corporativas, agendas públicas y notas de prensa. La automatización permite hacerlo a gran escala.

También puede afectar directamente al rendimiento

Un scraper necesita enviar solicitudes. Uno bien diseñado puede hacerlo de manera moderada. Uno agresivo puede realizar miles o millones de peticiones y consumir:

• CPU;
• ancho de banda;
• conexiones;
• consultas de base de datos;
• capacidad de API.

ESET advierte que este tráfico puede ralentizar un sitio e incluso afectar temporalmente su disponibilidad. En determinados casos, la frontera operacional entre scraping agresivo y una condición similar a un ataque de denegación de servicio puede empezar a difuminarse.

robots.txt ayuda, pero no protege información privada

ESET incluye entre sus recomendaciones configurar correctamente el archivo robots.txt. Mantendría la recomendación, pero con una corrección técnica fundamental. Google explica que robots.txt sirve principalmente para indicar a rastreadores compatibles qué URLs deben o no rastrear y para administrar carga de crawling. No es un mecanismo de control de acceso. Un bot malicioso puede sencillamente ignorarlo. Por eso nunca debe utilizarse para “proteger”: contratos, información personal, documentos confidenciales, paneles administrativos o recursos privados. Ese contenido necesita autenticación y autorización reales.

Bloquear IP tampoco basta

ESET recomienda monitorear patrones de tráfico y bloquear direcciones IP responsables de scraping excesivo. Es útil, pero los atacantes pueden distribuir sus solicitudes mediante:

• proxies;
• VPN;
• infraestructura cloud;
• botnets;
• direcciones residenciales.

La defensa moderna debe analizar también comportamiento. Por ejemplo: ¿cuántas páginas consulta?, ¿con qué velocidad?, ¿en qué secuencia?, ¿ejecuta JavaScript?, ¿mantiene cookies?, ¿parece una sesión humana?, ¿consulta siempre los mismos endpoints? La dirección IP es una señal, no una identidad perfecta.

El User-Agent también puede falsificarse

El comunicado propone filtrar solicitudes mediante el agente de usuario. El User-Agent proporciona información útil sobre el software que realiza la solicitud, pero también puede modificarse. De hecho, Thales encontró que 41% de los ataques automatizados analizados utilizaban Chrome para intentar parecer tráfico legítimo. Por eso una defensa eficaz combina señales: IP + comportamiento + frecuencia + cookies + navegador + reputación + fingerprint + contexto.

CAPTCHA aumenta el costo de automatización, pero tampoco es infalible

CAPTCHA continúa siendo una herramienta para introducir fricción cuando una acción parece automatizada. ESET la recomienda como mecanismo para dificultar que un scraper recopile cantidades muy grandes de información rápidamente. Pero los CAPTCHA actuales enfrentan dos problemas: la automatización puede resolver algunos desafíos y una utilización excesiva deteriora la experiencia del usuario legítimo. Por ello, resulta más efectivo aplicar desafíos cuando el riesgo aumenta, en lugar de obligar a cada visitante a demostrar constantemente que es humano.

Los honeypots ayudan a descubrir qué busca el atacante

Otra recomendación de ESET consiste en utilizar honeypots: recursos diseñados para resultar interesantes para actores automatizados y ayudar a observar su comportamiento. En un sitio web podrían utilizarse, por ejemplo, elementos que:

• una persona normal nunca necesita abrir;
• un navegador real no sigue;
• un scraper indiscriminado sí intenta recopilar.

Cuando una automatización accede repetidamente a ellos, se obtiene una señal adicional de riesgo. Un honeypot no reemplaza al control de acceso. Funciona principalmente como herramienta de detección e inteligencia.

La mejor información para proteger es la que nunca fue innecesariamente publicada

La recomendación más sencilla de ESET probablemente sea también una de las más importantes: higiene digital. La organización debería preguntarse si realmente necesita publicar:

• teléfonos directos;
• extensiones;
• emails individuales;
• estructuras completas del personal;
• documentos con metadatos sensibles;
• identificadores internos.

ESET recuerda que reducir la exposición de información limita también aquello que un scraper puede convertir en inteligencia para un ataque. Este principio puede resumirse así: lo que no está públicamente expuesto no puede ser recopilado públicamente a escala.

Para los medios digitales aparece un nuevo dilema

El scraping adquiere otra dimensión en medios, editoriales, bases de conocimiento y creadores. Durante años, permitir rastreo tenía una lógica relativamente clara: crawler → indexación → enlace → lector.

Los rastreadores de inteligencia artificial introducen modelos más diversos: crawler → búsqueda generativa, crawler → entrenamiento, crawler → recuperación para un agente, crawler → extracción comercial, crawler → resumen sin visita posterior. Cloudflare Radar ya diferencia específicamente bots de IA y sus distintos propósitos. Por eso, la política de acceso al contenido empieza a convertirse también en una decisión editorial y económica, no solamente técnica. Un publisher puede querer permitir un bot de búsqueda y bloquear uno de entrenamiento; autorizar determinadas APIs; exigir atribución; o monetizar ciertos tipos de acceso automatizado. La Web agéntica hará que esas decisiones sean cada vez más relevantes.

Seis medidas de ESET, reforzadas para 2026

Las recomendaciones originales de ESET incluyen bloqueo de IP, robots.txt, filtrado de User-Agent, CAPTCHA, honeypots e higiene digital. Para una arquitectura empresarial actual, las organizaría en una defensa por capas:

1. Minimizar la información expuesta: no publicar datos que no necesitan ser públicos.
2. Definir políticas de crawling: robots.txt y controles específicos para crawlers conocidos.
3. Proteger realmente los recursos sensibles: autenticación, autorización y segmentación.
4. Controlar automatización abusiva: rate limiting, WAF, bot management y análisis conductual.
5. Monitorear continuamente: logs, anomalías, consumo de APIs, honeypots y patrones de extracción.
6. Gobernar los datos: privacidad, copyright, términos de uso y procedimientos claros para el scraping que la propia organización realiza.

La defensa funciona mejor cuando diferencia automatización legítima, automatización no deseada y automatización hostil, en lugar de intentar bloquear indiscriminadamente todos los bots.

La declaración de ESET

David González resume el riesgo empresarial señalando que una exposición insuficientemente protegida puede alimentar fraudes más sofisticados y producir consecuencias financieras y reputacionales. También advierte que incluso cuando una organización realiza scraping con fines legítimos, continúan existiendo obligaciones relacionadas con cumplimiento y manejo de la información. Ese último punto es especialmente importante. Una empresa puede ser simultáneamente: víctima de scraping en su sitio y usuaria de scraping para inteligencia comercial. Necesita reglas para ambos escenarios.

Más contexto

Es conveniente ampliar cuatro aspectos concretos al comunicado original.

Legalidad: sustituiría afirmaciones absolutas como “es legal obtener precios públicos” por “puede ser legítimo dependiendo de la jurisdicción, finalidad y condiciones de acceso”. ESET mismo reconoce que el propósito y posterior utilización de los datos son determinantes.

• Datos personales públicos: no diría que todo scraping de información personal pública es automáticamente ilegal; diría que su tratamiento puede quedar sujeto a obligaciones de protección de datos aunque la información sea públicamente accesible. En Perú rigen la Ley 29733 y su Reglamento actualizado.
• robots.txt: debe describirse como un protocolo de control de crawling para bots cooperativos, no como mecanismo de protección de directorios privados.
• 57% de bots: conservaría la cifra como referencia temporal atribuida a Cloudflare Radar y ESET, no como porcentaje permanente de Internet. Para un dato anual, el informe de Thales ofrece una referencia de 53% de tráfico de bots durante 2025.

Datos citables

• ESET define el scraping como una técnica que automatiza la extracción y análisis de grandes volúmenes de información disponible en Internet.
• Entre sus usos legítimos aparecen monitoreo de precios, redes sociales e información especializada.
• Thales atribuye a bots 53% del tráfico analizado en 2025, frente a 47% humano.
• Los bad bots representaron alrededor de 40% del tráfico total según el mismo informe.
• Los ataques de bots impulsados por IA aumentaron 12,5 veces entre 2024 y 2025.
• Thales bloqueó 17,2 billones de solicitudes de bad bots durante 2025.
• En Perú, el nuevo Reglamento de la Ley 29733 entró en vigor el 31 de marzo de 2025.

Preguntas y respuestas para comprender el web scraping

¿Web scraping y crawling son lo mismo?

Están relacionados, pero no exactamente. Un crawler recorre páginas y descubre recursos; el scraping se enfoca principalmente en extraer y estructurar información concreta encontrada durante ese proceso.

¿El web scraping es ilegal?

No existe una respuesta universal. Depende de los datos recopilados, la jurisdicción, finalidad, derechos sobre el contenido, controles técnicos, privacidad y otras condiciones aplicables.

¿Puedo recopilar cualquier dato porque aparece públicamente en Internet?

No necesariamente. Un dato accesible públicamente puede continuar estando sujeto a normas de protección de datos, copyright u otras restricciones. En Perú el tratamiento de datos personales se rige por la Ley 29733 y su Reglamento.

¿robots.txt puede detener un scraper malicioso?

No. Comunica instrucciones a rastreadores cooperativos, pero no aplica técnicamente esas restricciones.

¿Todos los bots son peligrosos?

No. Motores de búsqueda, sistemas de monitoreo, servicios de accesibilidad y agentes autorizados también utilizan automatización. El desafío consiste en distinguir intención legítima de abuso.

¿Qué cambia con los bots de IA?

Pueden navegar, interpretar contenido y realizar acciones de forma más parecida a un usuario, haciendo más difícil clasificarlos únicamente mediante firmas estáticas o User-Agent. Thales identifica esta evolución como uno de los cambios centrales del tráfico automatizado en 2026.

Knowledge Layer | Glosario

• Web scraping: extracción automatizada de información desde páginas o servicios web.
• Web crawler: software que recorre sistemáticamente páginas y enlaces para descubrir contenido.
• OSINT —Open Source Intelligence—: recopilación y análisis de información obtenida de fuentes públicamente accesibles.
• Bot: programa automatizado que ejecuta acciones en Internet sin interacción humana directa.
• Bad bot: automatización utilizada con fines como fraude, abuso de cuentas, scraping hostil o explotación de lógica empresarial.
• User-Agent: identificador que acompaña una solicitud HTTP e informa qué navegador, aplicación u otro cliente dice estar realizando la petición.
• robots.txt: archivo utilizado para comunicar instrucciones de crawling a rastreadores que respetan el protocolo; no es un control de seguridad.
• Rate limiting: mecanismo que limita cuántas solicitudes puede realizar un cliente durante determinado periodo.
• CAPTCHA: desafío destinado a distinguir interacciones humanas de automatizadas.
• Honeypot: recurso preparado para atraer y observar actividades potencialmente maliciosas.
• Bot Management: conjunto de tecnologías destinadas a identificar, clasificar y controlar tráfico automatizado según comportamiento y riesgo.

¿Por qué es importante?

Internet fue construido para que la información pudiera ser encontrada y enlazada, pero la automatización permite recopilarla ahora a una escala imposible para una persona. El mismo mecanismo que facilita comparación de precios o investigación puede construir bases de datos para fraude, suplantación o entrenamiento automatizado. El desafío ya no es impedir toda máquina, sino decidir qué automatización queremos permitir y bajo qué reglas.

Visión Estratégica

El web scraping anticipa uno de los debates centrales de la Web agéntica. Durante décadas, el contrato implícito de Internet era relativamente sencillo: un buscador rastreaba contenido y devolvía lectores al sitio original. Los agentes de IA modifican ese equilibrio porque pueden leer, interpretar, combinar y actuar sobre información sin que el usuario visite necesariamente la fuente. La próxima arquitectura de confianza necesitará algo más que bloquear bots: deberá distinguir identidad, intención, autorización y valor económico. Para empresas y medios digitales, proteger contenido no significará cerrar la Web, sino desarrollar reglas que permitan a humanos y máquinas útiles acceder sin convertir la apertura en una licencia irrestricta de extracción.

Acerca de ESET

ESET® proporciona seguridad digital de vanguardia para prevenir ataques antes de que ocurran. Al combinar el poder de la IA y la experiencia humana, ESET® se anticipa a las ciberamenazas conocidas y emergentes, asegurando empresas, infraestructuras críticas e individuos. Ya sea protección de endpoints, nube o dispositivos móviles, sus soluciones y servicios nativos de IA y basados en la nube son altamente efectivos y fáciles de usar. La tecnología de ESET incluye detección y respuesta sólidas, cifrado ultraseguro y autenticación multifactor. Con defensa en tiempo real las 24 horas, los 7 días de la semana y un sólido soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios.

Para obtener más información, visite https://www.eset.com/latam

Tu Opinión nos Importa ツ

El debate sobre scraping se vuelve más complejo cuando ya no hablamos únicamente de buscadores, sino de agentes de IA capaces de leer miles de páginas, resumirlas y actuar utilizando ese conocimiento.

¿Consideras que los sitios web deberían poder decidir por separado si autorizan su contenido para búsqueda, entrenamiento de IA, agentes autónomos o explotación comercial?

¿Dónde colocarías la frontera entre información pública, derecho a ser indexado y derecho del creador a decidir cómo una máquina reutiliza su contenido?

Comparte tu perspectiva con la comunidad de IT/USERS® Magazine:

#ItusersAwards2026 #superfan.

Apoya al Periodismo Independiente

¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457