Durante años se asumió que detrás de cada visita a un sitio corporativo había una persona. Ese supuesto dejó de ser cierto. Los reportes internacionales de tráfico web correspondientes al primer semestre de 2026 indican que cerca del 57% de las solicitudes que llegan a los sitios de internet provienen de bots automatizados, frente a un 43% de origen humano. Y dentro de ese tráfico automatizado, los informes especializados del sector estiman que alrededor del 40% corresponde a bots con intenciones maliciosas.
Para las áreas de TI de empresas e instituciones públicas en Perú, esto cambia el cálculo: buena parte de lo que se publica en un portal institucional no está siendo leído por ciudadanos o clientes, sino recolectado, clasificado y almacenado por terceros.
Qué es el scraping y por qué importa
El scraping es una técnica de inteligencia de fuentes abiertas que automatiza la extracción masiva de información publicada en internet. Mediante scripts, extensiones y bibliotecas, un actor puede recorrer miles de páginas en minutos y estructurar todo lo que encuentre: precios, catálogos, artículos, documentos y —el punto crítico— datos de personas.
En sí misma, la técnica es neutra. Un área comercial que monitorea precios públicos de la competencia hace scraping. El problema aparece cuando la misma herramienta se apunta a información personal o propiedad intelectual.
La línea entre lo legal y lo indebido
Que un dato esté disponible públicamente no significa que su recolección y reutilización sean legales. En Perú, la Ley de Protección de Datos Personales establece obligaciones sobre el tratamiento de información identificable con independencia de que haya estado accesible en un sitio web. Recolectar nombres, correos institucionales y cargos para construir bases de datos comerciales o campañas dirigidas puede constituir un tratamiento sin consentimiento.
El riesgo es doble: la organización que recolecta puede incurrir en infracción, y la organización cuyos datos fueron recolectados asume las consecuencias de la exposición.
El eslabón peruano: transparencia y superficie de ataque
Las entidades públicas peruanas están obligadas a publicar directorios de funcionarios, correos institucionales, anexos telefónicos y documentos de contrataciones. Esa transparencia es legítima y necesaria, pero también constituye un insumo perfecto para automatizar.
Con un directorio institucional completo, un atacante no necesita adivinar nada. Conoce nombres reales, la estructura de correo de la organización, la jerarquía interna y quién autoriza pagos. A partir de ahí, el phishing deja de ser genérico y se convierte en spearphishing: un mensaje que menciona al jefe correcto, el proyecto correcto y el proveedor correcto.
Los efectos concretos del scraping malicioso sobre una organización suelen agruparse en cuatro frentes:
- Fraude dirigido. Perfiles falsos, suplantación de directivos y correos de negocio comprometidos con alto nivel de personalización.
- Vulneración de privacidad. Recolección de datos personales sin consentimiento, con las implicancias regulatorias correspondientes.
- Degradación del servicio. El consumo intensivo de recursos por bots ralentiza portales y puede dejarlos temporalmente inoperativos.
- Daño reputacional. La exposición de información sensible erosiona la confianza de ciudadanos, clientes y socios.
Controles que sí reducen la exposición
Ningún control aislado detiene a un scraper determinado. La defensa efectiva es por capas:
Limitación de velocidad y bloqueo por IP. Identificar volúmenes anómalos desde una misma dirección o rango y cortarlos. Es eludible mediante proxies, pero eleva el costo del ataque.
Filtrado por agente de usuario. Restringir el acceso según navegador, sistema operativo o cliente declarado permite descartar automatización evidente.
robots.txt bien configurado. Delimita qué recursos pueden indexar los rastreadores. Es una solicitud, no una barrera: los bots maliciosos la ignoran, pero su ausencia deja todo abierto por omisión.
CAPTCHA en puntos sensibles. Formularios, buscadores internos y listados de personal son los objetivos más rentables para un scraper.
WAF y gestión de bots. Una capa de firewall de aplicaciones web detecta patrones de navegación imposibles para un humano y bloquea antes de que el dato salga.
Higiene de publicación. El control más subestimado. Publicar únicamente lo mínimo exigido: correos genéricos por área en lugar de correos personales, sin anexos telefónicos individuales ni organigramas detallados con datos de contacto.
Qué revisar esta semana
Antes de invertir en tecnología, conviene auditar qué está publicando la propia organización. Un recorrido por el portal institucional, los PDFs indexados y las páginas de contacto suele revelar más información expuesta de la que el área de TI supone.
El scraping no se elimina; se encarece y se limita. Y como el vector final casi siempre termina siendo el correo corporativo, la autenticación de dominio, el filtrado avanzado de correo y el control de suplantación son la capa que convierte una lista de objetivos recolectada en un intento fallido.
Conclusión
El scraping malicioso no requiere vulnerar sistemas: basta con automatizar lo que ya está publicado. Para las empresas e instituciones peruanas, la primera línea de defensa no es tecnológica sino editorial: publicar únicamente lo mínimo necesario, usar correos genéricos por área y eliminar organigramas con datos personales. A partir de ahí, un WAF, la limitación de velocidad y la autenticación del dominio de correo completan una defensa por capas que encarece significativamente cualquier intento de recolección masiva.
