El 64% de apps de terceros acceden a datos sensibles sin justificación
Un nuevo informe de Reflectiz, basado en el análisis de 4.700 sitios web, reveló una tendencia preocupante: el 64% de las aplicaciones de terceros acceden a datos sensibles sin justificación, un salto significativo desde el 51% registrado en 2024. Esta brecha de “acceso injustificado“, expone a empresas e instituciones a amenazas que van más allá de las métricas de marketing o analítica.
El concepto detrás del problema se engloba en el término Web Exposure, acuñado por Gartner para describir los riesgos derivados de herramientas de terceros como analytics, pixels, CDNs y pasarelas de pago. Estas aplicaciones expanden la superficie de ataque, y una intrusión en cualquiera de ellas podría desencadenar un robo de credenciales o skimming de pagos a gran escala. La causa no es solo técnica, existe una brecha de gobernanza donde departamentos de Marketing o Digital instalan aplicaciones sin supervisión de TI, lo que resulta en permisos excesivos, configuraciones laxas y acceso innecesario a datos sensibles.
El informe, difundido por TheHackerNews , documenta un ecosistema donde el acceso injustificado se manifiesta a través de prácticas como lectura de datos irrelevantes, aplicaciones inactivas pero instaladas en páginas críticas, shadow deployments y acceso completo al DOM para escanear páginas completas. Entre los actores más señalados aparecen Google Tag Manager (8% de los casos), Shopify (5%) y Facebook Pixel (4%), este último especialmente problemático por su capacidad de capturar campos sensibles sin necesidad funcional.
El informe también profundiza en el papel del marketing digital como vector de riesgo. Estas áreas impulsan el 43% de la exposición de terceros, mientras que TI solo el 19%. El 47% de las apps presentes en entornos de transacción no tienen justificación de negocio. En paralelo, el estudio advierte que el Facebook Pixel, con 53.2% de adopción, podría convertirse en un punto único de fallo sistémico: un compromiso permitiría robar datos en 2.5 millones de sitios simultáneamente, superando por mucho el incidente de Polyfill.io en 2024.
A pesar del panorama preocupante, el informe también deja señales de que es posible mitigar el riesgo. Sitios como ticketweb.uk lograron puntaje A+, mientras que GitHub, PayPal y Yale alcanzaron clasificación A, demostrando que seguridad y funcionalidad pueden coexistir. Las recomendaciones más inmediatas son claras: auditar trackers, implementar monitoreo automatizado y cerrar la brecha Marketing y TI para aplicar controles contextuales sobre herramientas como Facebook Pixel, GTM y Shopify.