Con el aumento de las transacciones digitales y el flujo constante de información en internet, los usuarios se enfrentan a un proceso que permite a empresas recopilar datos de sitios web y redes sociales mediante herramientas, extensiones y bibliotecas especializadas, con el objetivo de realizar investigaciones de mercado, identificar tendencias y analizar el posicionamiento de marcas y competidores.
Según expertos de la compañía ESET, esta técnica puede considerarse una herramienta de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés), ya que permite “automatizar la extracción y el análisis de grandes volúmenes de información disponible en internet”. Sin embargo, cuando se utiliza “para recopilar datos personales o propiedad intelectual” sin autorización, puede convertirse en una práctica maliciosa y violar leyes de privacidad.
Aunque obtener datos web podría ser legal, según las leyes de protección de datos personales sería ilegal publicar esa información personal sensible, ya sea accidentalmente o no. Expertos de ESET señalan que el hecho de que los datos o la información estén disponibles públicamente no significa que siempre sea legal o ético utilizarlos mediante scraping.
“Dentro de estos enormes volúmenes de datos y contenido recopilados también se encuentran los ciberdelincuentes que utilizan estas mismas técnicas para obtener contenido valioso y datos sensibles y con frecuencia trabajan para vulnerar la seguridad de las organizaciones. Teniendo esto en cuenta, es necesario adoptar medidas para reducir los riesgos”, señaló David González, investigador de seguridad informática de ESET Latinoamérica.
El scraping malicioso puede afectar a las organizaciones cuyos datos son extraídos y publicados, tanto por las implicaciones legales que puede generar como por los riesgos de seguridad asociados. Según los expertos, estas son las principales formas en que esta práctica puede afectar a una empresa:
- Violación de privacidad: un ciberdelincuente puede recopilar datos personales sin el consentimiento del propietario, independientemente de que sean públicos debido a un descuido por parte de quien los publicó.
- Frudes y estafas: la información obtenida puede utilizarse para crear perfiles falsos, hacer que los fraudes financieros sean más efectivos al aumentar su nivel de personalización (spearphishing) y posteriormente llevar a cabo ataques de ingeniería social.
- Impacto en el rendimiento de los sitios objeto de scraping: al acceder y consumir recursos de portales o redes sociales, el aumento del tráfico web puede afectar negativamente el rendimiento de los recursos web, provocando que los sitios se vuelvan más lentos o queden temporalmente fuera de servicio.
- Daño en la reputación: la obtención de datos personales puede utilizarse con fines maliciosos, como perjudicar la reputación de una empresa, lo que puede llevar a una pérdida de clientes debido a la desconfianza sobre cómo se expuso y recopiló esa información. Esto puede tener un impacto duradero tanto en cuestiones legales como financieras.