El año pasado, la Asamblea Global de Privacidad (GPA), una asociación que agrupa a más de 130 organismos reguladores y autoridades encargadas de hacer cumplir la normativa en materia de protección de datos y privacidad, advirtió de que el relleno de credenciales mediante bots suponía un riesgo global para la privacidad de los datos y de que las organizaciones están obligadas a adoptar medidas razonables para evitarlo. Ahora, el Grupo de Trabajo de Cooperación Internacional en Materia de Aplicación de la Ley (IEWG) de la GPA ha emitido una declaración conjunta en la que advierte de que las empresas de redes sociales y otros sitios web son responsables de proteger la información personal de los usuarios frente a la extracción ilícita de datos.
¿Qué es la extracción de datos?
La extracción de datos consiste en extraer datos de forma automatizada de aplicaciones web y móviles. Los scrapers extraen datos por muchos motivos, desde obtener una ventaja competitiva hasta recopilar datos para comparar precios. Las organizaciones suelen intentar impedir esta práctica porque no quieren que sus competidores accedan a sus datos de precios o inventario, o porque el volumen de tráfico generado afecta al rendimiento de las aplicaciones. En muchos casos, este tráfico puede representar más del 95 % del tráfico total y ralentizar las aplicaciones o incluso provocar que dejen de funcionar.
¿Cómo pone en riesgo la privacidad de los datos el scraping de datos?
Las normativas de privacidad tienen por objeto proteger el derecho de las personas a la privacidad de sus datos, permitiéndoles decidir quién puede utilizarlos, con qué finalidad y durante cuánto tiempo. Cuando los usuarios comparten datos en las redes sociales, esperan que solo los vea un determinado grupo de personas, según lo establecido en la configuración y las políticas de privacidad de la aplicación. Cuando estos datos se extraen sin su conocimiento, las personas pierden el control sobre su información personal, ya que quienes los recopilan pueden utilizarlos para fines distintos de aquellos para los que se compartieron.
La extracción de datos también vulnera el derecho de las personas a solicitar la eliminación o rectificación de sus datos personales. Una vez extraídos los datos, aunque su autor los elimine de la red social, quienes los hayan extraído seguirán utilizándolos y compartiéndolos.
Esta pérdida de control sobre los datos personales, según la declaración conjunta de la GPA, expone a las personas a diversos riesgos. Los delincuentes pueden utilizar estos datos para llevar a cabo ataques de ingeniería social y phishing dirigido, así como para cometer fraudes de identidad. Los datos pueden permitirles crear perfiles de personas con la intención de eludir los sistemas de autorización. Además, los profesionales del marketing menos escrupulosos pueden utilizarlos para realizar acciones de marketing directo y enviar spam.
¿Supone esto un riesgo de incumplimiento normativo para las organizaciones?
Según la declaración conjunta de la GPA, la información personal, incluso cuando está disponible públicamente en internet, está sujeta a las leyes de protección de datos. Esto significa que la extracción masiva de información personal puede constituir una violación de datos que deba notificarse en muchas jurisdicciones.
La declaración conjunta recomienda adoptar medidas para evitar la extracción de datos, medidas que exigen las disposiciones legales de muchas jurisdicciones y que pueden ser «interpretadas como tales por los tribunales y las autoridades de protección de datos».
¿Qué recomienda la GPA?
Para mitigar los riesgos para la privacidad derivados de la extracción de datos, la GPA recomienda aplicar controles técnicos y procedimentales en múltiples niveles, empezando por la creación de un equipo específico encargado de implementarlos y supervisar su eficacia. Otros controles incluyen limitar la frecuencia de las solicitudes de los usuarios, vigilar la creación rápida de vínculos dentro de la red social, emprender acciones legales contra quienes extraigan datos para garantizar su eliminación y notificar a las personas afectadas y a los organismos reguladores las actividades de extracción que constituyan una violación de datos.
Como parte de los controles multicapa, la GPA también recomienda mitigar la actividad de los bots que extraen datos. La declaración conjunta menciona específicamente los CAPTCHA y la limitación de solicitudes por IP. Las organizaciones que deseen una protección multicapa eficaz deberían considerar soluciones de gestión de bots que utilicen la recopilación de señales y la IA para mitigar los bots avanzados que eluden los CAPTCHA y la limitación de solicitudes por IP.
¿Qué ha cambiado para que esta amenaza sea más preocupante?
Si analizamos la extracción de datos a la luz de los últimos avances en phishing, la amenaza para la privacidad individual resulta aún más alarmante. Los proveedores de phishing como servicio (PhaaS) ofrecen conjuntos completos de herramientas para lanzar ataques de phishing, como plantillas de correo electrónico, sitios web falsos diseñados para parecer auténticos, datos de contacto de posibles objetivos, instrucciones detalladas y asistencia al cliente. Todo ello hace que el phishing sea más eficaz incluso para atacantes con pocos conocimientos. Además, el phishing se ha convertido en el principal medio para eludir la MFA mediante proxies de phishing en tiempo real que engañan a los usuarios para que introduzcan contraseñas de un solo uso en aplicaciones controladas por los atacantes. (Consulte el informe de F5 Labs sobre cómo el phishing está haciendo que la MFA resulte ineficaz).
Cabe esperar que el phishing sea cada vez más eficaz gracias al uso de grandes modelos de lenguaje. Los informes sobre nuevas herramientas de ataque a la venta en la web oscura, entre ellas WormGPT y FraudGPT, indican que los delincuentes han empezado a adaptar la IA generativa con fines maliciosos, incluido el phishing. Es casi seguro que estas herramientas se beneficiarán de la incorporación de datos personales extraídos de múltiples aplicaciones para crear mensajes de phishing eficaces y personalizados, un avance que podría conducir a la automatización del phishing dirigido.
¿Por qué debería importarnos?
El scraping de datos y otros usos de la automatización maliciosa, como el relleno de credenciales, amenazan con exponer nuestros datos a los delincuentes. Estos pueden recopilar esos datos y utilizarlos en nuestra contra mediante técnicas de ingeniería social y ataques de phishing, que pueden provocar fraudes financieros y otros perjuicios. La GPA presta un importante servicio público al emitir estas advertencias y concienciar a las organizaciones sobre las consecuencias perjudiciales de permitir que los bots extraigan nuestros datos personales. Para saber cómo puede ayudarle F5 a hacer frente al scraping de datos y proteger la privacidad de los datos, visite www.f5.com/go/solution/scraping.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.