Balizas web en sitios web y correos electrónicos

Existe un gran número de rastreadores (trackers) que recopilan información sobre las actividades en línea de los usuarios. Ya casi nos hemos acostumbrado a que los proveedores de servicios en línea y las empresas de marketing y análisis rastreen todos nuestros clics, nuestras publicaciones en redes sociales, nuestro historial de sitios web visitados y los programas que vemos. Los datos que recopilan pueden utilizarse, por ejemplo, para mejorar la interfaz de usuario y la experiencia del usuario o para personalizar la publicidad que se nos muestra.

Existen diferentes tipos de rastreadores diseñados para recopilar distintos tipos de información, como los rastreadores publicitarios (AdAgency) o los rastreadores analíticos (WebAnalytics), entre otros. La mayoría se utiliza en sitios web o en aplicaciones. Sin embargo, existen rastreadores más versátiles que se utilizan en sitios web, aplicaciones e incluso en correos electrónicos. En este artículo le contaremos sobre uno de estos elementos de seguimiento: las balizas web, y le mostraremos qué sistemas de seguimiento y balizas de empresas nuestras soluciones de seguridad detectan con más frecuencia: complementos anti-rastreo para navegadores web y tecnologías anti-spam.

¿Qué son las balizas web (web beacons)?

Las balizas web (web beacons o web bugs, así como píxeles de rastreo, píxeles espía, píxeles invisibles, etc.) son elementos de seguimiento que se usan en páginas web, aplicaciones y correos electrónicos para verificar que un usuario ha accedido a determinados contenidos (ha abierto un correo electrónico o ha visitado una página web). El objetivo principal de las balizas web es recopilar estadísticas y elaborar informes analíticos sobre la actividad de los usuarios.

En los sitios web, las balizas rastrean a los visitantes. Pueden ser utilizadas por agencias de análisis de mercado o por los propietarios de los sitios para medir la eficacia de un contenido en particular, o evaluar la actividad de una audiencia o de una campaña publicitaria. Además, algunos recursos utilizan píxeles de rastreo como marcas de agua para identificar contenidos, por ejemplo, para rastrear plagios.

En los correos electrónicos, al igual que en los sitios web, el objetivo principal de las balizas web es conocer el número de usuarios que interactúan con determinados contenidos. Por ejemplo, los píxeles de rastreo se utilizan para informar del número de veces que se abre un correo electrónico (Email Open Rates). Estos informes permiten a las empresas averiguar qué boletines de anuncios les interesan a los usuarios y cuáles no. Por ejemplo, si baja la cantidad de personas que abren el boletín, la empresa puede cambiar el titular del mensaje para que sea más llamativo y genere más clicks o, por el contrario, hacerlo más riguroso e informativo.

Cómo funcionan las balizas web

Una baliza en una página web suele ser una imagen que se descarga de un recurso externo. El tamaño de esta imagen suele ser de cero o un píxel, por lo que el usuario no puede verla. De ahí el nombre de “píxel de rastreo”. El atributo CSS display con el valor “none” también puede utilizarse para ocultar la imagen. Menos habitual es la implementación de balizas web a través de JavaScript, como Beacon API, una interfaz que permite enviar peticiones a un servidor y que no requieren respuesta.

Ejemplo de baliza web en el código HTML de un sitio web

Las balizas web se implementan de forma similar en los mensajes de correo electrónico: pueden ser imágenes invisibles colocadas en el cuerpo del mensaje o código JavaScript en un archivo HTML adjunto.

Ejemplo de baliza web en la parte HTML de un correo electrónico

Al abrir una página web (o un correo electrónico), se “carga” la baliza web. Para ello, se envía una petición al servidor. Si se trata de una imagen, será una petición para descargar la imagen, y en el caso de JavaScript, será una petición proporcionada por el script. Generalmente, se transmite la siguiente información al servidor:

• Fecha y hora de apertura de la página web o del correo electrónico
• Versión del sistema operativo
• Versión y tipo de navegador o cliente de correo electrónico
• Resolución de pantalla
• La dirección IP

Ejemplo de transferencia de datos de usuario

Las balizas web más habituales en sitios web y correos electrónicos

Analizamos las balizas web detectadas por nuestros sistemas en diciembre de 2022 y elaboramos una lista TOP 20 de las empresas cuyas balizas nuestros usuarios en sitios web y correos electrónicos encontraron con más frecuencia.

TOP 20 balizas web en sitios web

En esta sección, utilizamos estadísticas anonimizadas recogidas del 1 al 31 de diciembre de 2022 por el componente Do Not Track (DNT), que impide la descarga de elementos de seguimiento que rastrean la actividad de los usuarios en los sitios web. El componente DNT está incluido en Kaspersky Internet Security, Kaspersky Total Security, Kaspersky Security Cloud y está desactivado por defecto. Las estadísticas incluyen datos anónimizados facilitados voluntariamente por los usuarios. Hemos elaborado una lista de las 20 empresas cuyas balizas que el componente DNT web detectó con más frecuencia a nivel mundial. Tomamos como 100% el número total de veces que las balizas web de estos veinte sistemas activaron el componente DNT.

La mayoría de las empresas del TOP 20 según el componente DNT tienen alguna relación con la publicidad y el marketing digital. Por ejemplo, Aniview (2,68%), que ocupa el sexto lugar, está especializada en videos publicitarios. OpenX (2,19%), Taboola (1,63%), Smart AdServer (1,55%) y muchas otras son también empresas de publicidad o marketing.

Incluso gigantes tecnológicos como Google (32,53%), Microsoft (21,81%), Amazon (13,15%) y Oracle (2,86%), que tienen la mayor cuota de activaciones en el TOP 20, tienen sus propias divisiones de marketing y publicidad, y usan balizas web no sólo para mejorar sus propios productos.

TOP 20 de las balizas web más comunes en los sitios web, diciembre de 2022 (descargar)

TOP 20 de balizas web en el correo electrónico

Esta parte del informe presenta datos anónimos sobre la activación del componente antispam en dispositivos de usuarios de productos de Kaspersky. El componente antispam está presente en soluciones como Kaspersky Security para servidores de correo Linux, Kaspersky Security para servidores Microsoft Exchange, Kaspersky Secure Mail Gateway y Kaspersky Security para Microsoft Office 365.

Si nos fijamos en la lista de balizas web más comunes en los correos electrónicos, a diferencia del TOP 20 de balizas utilizadas en sitios web, no vemos a los gigantes tecnológicos en los primeros puestos: Adobe Analytics (4,49%) ocupa el octavo lugar, Google (3,86%) y Microsoft (3,18%) están aún más abajo. Esta modesta cuota puede explicarse por que en el mercado hay bastantes empresas especializadas en marketing por correo electrónico. Se pueden distinguir dos tipos de empresas de este tipo:

• ESP (Email Service Provider): Empresas que prestan servicios de organización de envíos masivos por correo electrónico.
• CRM (Customer Relationship Management): Empresas especializadas en plataformas para gestionar todas las interacciones con los clientes en las distintas fases de las ventas.

Los gigantes de Internet son propietarios de las grandes redes publicitarias utilizadas por la mayoría de los recursos web y, por tanto, sus rastreadores dominan los sitios web. En cambio, los ESP y los CRM gestionan la mayoría de los envíos de marketing y, por ende, sus rastreadores dominan los correos electrónicos. Las balizas ESP y CRM recopilan datos sobre los usuarios para hacer un seguimiento de sus reacciones a los envíos: qué porcentaje de destinatarios abre los mensajes, cómo varía esta cifra según la región, etc. Las balizas más frecuentes que encontramos en el tráfico de correo electrónico fueron las de Mailchimp (21,74%) y SendGrid (19,88%), dos importantes empresas estadounidenses de marketing por correo electrónico.

Además de ESP y CRM, en el TOP 20 de empresas cuyas balizas web se detectaron con más frecuencia en diciembre, entraron Rakuten (5,97%), un importante minorista en línea japonés, LinkedIn (4,77%), una red social para contactos de negocios, Uber (1,49%), un agregador de taxis, y Booking (0,56%), un importante servicio de reservas hoteleras. Estas empresas utilizan balizas web por el mismo motivo que lo hacen los servicios ESP/CRM: para medir el rendimiento de los envíos y recopilar estadísticas generales sobre los usuarios.

TOP 20 balizas web más comunes en los correos electrónicos, diciembre de 2022 (descargar)

Conclusión

Las empresas buscan recopilar el mayor número posible de datos de sus clientes para crear un retrato lo más detallado posible de cada usuario, lo que les permite personalizar las ofertas y ser más eficaces para vender productos y servicios. Varios sistemas de seguimiento permiten a las organizaciones rastrear a los usuarios en sitios web y aplicaciones, así como en correos electrónicos.

Muchas grandes empresas tienen la opción de no recurrir a contratistas para este fin y prefieren crear sus propias divisiones de publicidad, vendiendo los mismos servicios que las agencias de publicidad especializadas. A menudo combinan los conocimientos sobre los usuarios recopilados en diferentes recursos, enriqueciendo y complementando el retrato existente de cada usuario. Al mismo tiempo, otras empresas recurren a los gigantes de Internet, las agencias de marketing, los ESP y los CRM, lo que les permite recopilar aún más datos.

Es difícil, si no imposible, rastrear desde la perspectiva del usuario adónde irán a dar los datos recopilados. Además, por lo general ni siquiera es evidente que se están recopilando sus datos. Las balizas web de los correos electrónicos y los sitios web no son visibles para el usuario y no se le advierte sobre ellas, al contrario de lo que ocurre con el uso de cookies. De este modo, permiten a las empresas averiguar cuántas veces y desde dónde accedieron los usuarios al sitio, quién abrió el correo electrónico, cuándo y desde dónde. La recopilación regular de esta información permite hacerse una idea no sólo de las reacciones a boletines y feeds específicos, sino también de los hábitos del usuario, como el horario de su actividad en línea.

Si esa información cayera en manos de ciberdelincuentes, por ejemplo a través de una filtración, podrían utilizarla para sus propios fines. En particular, sabiendo cuándo un usuario no está conectado, pueden intentar piratear sus cuentas o enviar correos electrónicos falsos en su nombre. Además, la tecnología de balizas web también es utilizada por los propios atacantes.

Para protegerse contra la atención indebida de las empresas, y más aún de los defraudadores, vale la pena tomar al menos algunas medidas mínimas contra el rastreo. En concreto, se puede instalar un complemento especial en el navegador para impedir que los elementos de seguimiento se carguen en la página, y la configuración de privacidad puede hacerse más estricta. Muchos servicios VPN ofrecen un bloqueo adicional del rastreo. También se puede configurar los buzones para que no carguen imágenes automáticamente. En este caso, incluso si abre un correo electrónico que contenga un píxel de seguimiento, éste no funcionará porque todas las imágenes (y una baliza web también es una imagen), sólo se cargarán si lo permite. En cuanto a las balizas JavaScript más complejas, que están contenidas en un archivo adjunto, sólo se cargan si el usuario lo abre.