El PII harvesting es la recolección sistemática de información de identificación personal — nombres, correos electrónicos, números de teléfono, direcciones, identificadores — desde sitios web, generalmente mediante scripts que leen campos de formularios y datos de la página directamente en el navegador del visitante. Abarca desde el skimming criminal para fraude y reventa hasta etiquetas legítimas de proveedores que silenciosamente recolectan de más, y ambos casos se ven idénticos en tu pestaña de red.
PII vs PII harvesting
La PII es el dato: cualquier cosa que identifique a una persona por sí sola o en combinación. El harvesting es la actividad — la extracción a escala. Un sitio puede custodiar la PII de forma responsable y aun así ser un escenario de harvesting, porque los recolectores son scripts que se ejecutan en sus páginas, no su propio backend.
Cómo funciona el PII harvesting
| Técnica | Qué captura | Quién suele hacerlo |
|---|---|---|
| Scraping de formularios / captura de teclas | Lo que los usuarios escriben — incluso antes de enviar, y en formularios abandonados | Skimmers criminales; etiquetas de marketing agresivas |
| Formjacking | Credenciales y datos personales de formularios específicos | Actores criminales |
| Sobrecaptura de session replay | Todo lo que aparece en pantalla, incluidos campos de PII sin enmascarar | Herramientas de analítica mal configuradas |
| Abuso de autofill | Datos que los navegadores autocompletan en campos ocultos o fuera de pantalla | Scripts maliciosos y de zona gris |
| Sobrerrecolección de píxeles/etiquetas | Correos, identificadores y contexto enviados a plataformas publicitarias | Etiquetas de marketing mal configuradas — el patrón detrás de las sanciones por datos de salud |
El hilo común incómodo: cada una de estas técnicas se ejecuta como JavaScript ordinario con todos los privilegios de la página. Los casos criminales y los mal configurados solo difieren en la intención — la mecánica de inyección y los flujos de datos son los mismos.
Por qué es difícil de ver
El harvesting ocurre después de que la página se sirve, en el navegador, donde los logs del servidor y los WAF no tienen visibilidad. Los scripts implicados suelen ser los que instalaste a propósito — un widget de chat, una herramienta de replay, una etiqueta de marketing — haciendo más de lo que creías. Nada da error; la conversión no se ve afectada; los datos simplemente se van. El descubrimiento suele llegar desde fuera: un regulador, un investigador o el punto ciego de la PII aflorando en una auditoría.
Cómo detenerlo
- Inventaría los scripts en las páginas con PII — login, registro, checkout, cuenta, formularios — y exige una justificación para cada uno, la disciplina que PCI DSS formaliza para las páginas de pago.
- Verifica el comportamiento real, no las afirmaciones del proveedor. El monitoreo de cside observa qué lee cada script y adónde transmite, por sesión real, y el monitoreo de privacidad marca específicamente los flujos de PII.
- Enmascara la captura de replay y analítica en cada campo sensible, y vuelve a verificar tras cada actualización de las herramientas.
- Restringe los destinos con una Content Security Policy para que los datos recolectados tengan menos lugares adonde ir — sin olvidar que un proveedor en la lista de permitidos también puede ser quien hace el harvesting.
