Reporte de que empresas de YC recopilan actividad de GitHub y envían correos spam a usuarios

• Se reportaron casos en los que algunas empresas apoyadas por Y Combinator (en adelante, YC) recopilaron automáticamente datos de actividad de usuarios de GitHub para enviar correos de marketing
• La persona que publicó el caso señaló como problema la recepción de correos sin consentimiento basados en los commits y la actividad en repositorios del perfil de GitHub
• Se menciona que estos correos fueron enviados con el objetivo de promocionar productos o incentivar el registro en servicios
• En la comunidad surgieron críticas sobre la privacidad de los datos y las prácticas éticas de marketing
• Esto vuelve a abrir la discusión sobre los límites entre el uso de datos y el consentimiento del usuario en el ecosistema startup

---

Recopilación de datos de actividad de GitHub y envío de correos

• Se reportaron casos en los que algunas startups de YC scrapearon datos públicos de actividad de usuarios de GitHub para obtener direcciones de correo electrónico
  • La persona que publicó el caso explicó que después de su actividad en GitHub recibió un correo promocional de una empresa de YC
  • El contenido del correo estaba centrado en presentar el producto e incentivar su uso
• Se señala como problemático que esta práctica implique el uso de datos recopilados sin consentimiento del usuario

Reacción de la comunidad y debate ético

• Usuarios de Hacker News criticaron la situación al considerar el envío de correos sin consentimiento como spam
  • Algunos sostuvieron que aunque los datos sean públicos, la recopilación automatizada con fines de marketing es inapropiada
• La discusión se amplió hacia el tema del equilibrio entre las estrategias de crecimiento de las startups y la protección de la privacidad
  • En particular, se planteó que, al tratarse de empresas de YC, las expectativas sobre los estándares éticos son más altas

Uso de datos y consentimiento del usuario

• Aunque los datos públicos de GitHub son accesibles, se enfatiza la idea de que para su uso comercial se necesita consentimiento explícito
• La comunidad señaló que, para mantener la confianza en el ecosistema de desarrolladores, se necesitan políticas transparentes sobre el uso de datos
• Este caso fue evaluado como un incidente que enciende alertas sobre las prácticas de automatización de marketing de las startups

[GN⁺]

Opiniones en Hacker News

• Soy Martin de GitHub. Este tipo de scraping de datos claramente viola los Términos de Servicio de GitHub
  Cuando lo detectamos, tomamos medidas como suspender cuentas. Pero es un problema que sigue repitiéndose, como un juego de golpear topos
  Por la estructura de Git, técnicamente no es difícil extraer datos de repositorios open source. Los commits incluyen nombre y correo electrónico
  Para eso ofrecemos la función de direcciones no-reply, para que los usuarios usen correos anónimos al hacer commits
  En la documentación oficial están las instrucciones detalladas de configuración
  Mantener la apertura del open source y al mismo tiempo frenar el spam es un equilibrio difícil. También hay límites en la API, pero generan muchas quejas. Me gustaría escuchar la opinión de la comunidad

  • Según mi experiencia, GitHub en realidad no bloquea esas cuentas
    Reporté a un spammer en julio de 2025, pero no hubo respuesta y la cuenta sigue activa
    Hice público mi correo esperando que se respetaran los términos. Si GitHub deja pasar a los spammers, se vuelve difícil mantener un contacto público
  • Yo también he reportado más de cinco veces el mismo escenario de spam, pero no hubo ninguna acción
    Resumí en mi blog casos en los que empresas de YC enviaron spam a mi correo de GitHub
  • No tengo una propuesta concreta, pero agradecería una función que bloquee los push si el campo de correo no es una dirección anónima
    Como la mayoría de los usuarios no presta atención a la privacidad, este tipo de protección sería útil
  • Recibo demasiado spam de gente que ve los repositorios a los que les di star y me contacta diciendo que “están haciendo algo parecido”
    Por eso ahora ya no le doy star a ningún repositorio
  • Sé que viola los términos, pero aunque reporte a varias organizaciones, cierran el ticket diciendo que “como fue una actividad fuera de la plataforma no pueden actuar”

• Yo también recibí el mismo correo
  Venía del equipo de RunanywhereAI y presentaba un SDK de LLM on-device
  Después de hablar con el equipo, vi que se tomaban muy en serio el feedback y que también mejoraron rápido su SDK para Flutter
  Incluso agregaron una implementación de RAG en una semana, así de rápido reaccionaron. Tal vez valga más la pena probarlo directamente que criticarlos en público

• Sé que YC invirtió en Flock, pero me pregunto a qué se refieren exactamente con el “problema ético de YC”

  • También me hace pensar en la demo de software de vigilancia de Optifye.ai
  • También está Cluely
  • También está Gecko Security

• Llevo mucho tiempo haciendo marketing para desarrolladores, y enviar spam al correo de GitHub es una de las peores tácticas posibles
  Enviar cold emails a desarrolladores casi nunca funciona y daña la confianza en la marca

  • Pero si alguien viera mis contribuciones en GitHub y me enviara una propuesta personalizada relacionada, probablemente la consideraría de forma positiva
    Es totalmente distinto del spam automatizado sin más
  • Pienso parecido. Si alguien me contactara directamente después de ver mi trabajo, hasta lo sentiría como una señal de alto interés y esfuerzo

• Hay una razón por la que YC pregunta en su solicitud si has “hackeado sistemas para obtener ventaja”
  Porque prefieren fundadores que sepan aprovechar las zonas grises legales
  Airbnb creció violando los términos de Craigslist, Reddit robó contenido de Digg y OpenAI entrenó modelos con material con copyright

• Yo también recibí un correo spam no solicitado de Vincent Jiang de Aden, una empresa de YC
  Era una invitación a una comunidad para desarrollo de agentes de IA

  • También recibí varios correos parecidos de una empresa llamada Backdrop
    Marqué el primero como spam, pero aun así después llegó otro diciendo “solo para confirmar por última vez”
    Nunca volvería a usar empresas así
  • Alguien más dijo que recibió del mismo remitente una oferta para hacer PRs open source por 25 a 50 dólares por hora
    Respondió el correo y solo recibió una respuesta automática

• Hoy otra vez recibí spam en mi correo de GitHub, esta vez de una empresa relacionada con YC llamada Cactus Compute
  Presentaban un motor de modelos de voz on-device y mandaban el enlace al repositorio cactus-compute/cactus

  • Al menos no pidieron una star. Parece que su velocidad de desarrollo sí es bastante rápida
  • La frase “agradeceríamos una star” se sintió como un correo de estafa 419

• Este problema ya se ha discutido muchas veces antes
  Hubo la misma discusión hace 11 años, hace 7 años, hace 5 años y hace 4 años
  Es un problema crónico que se repite

• Mientras leía este hilo, yo también recibí spam de un scraper de GitHub
  El remitente era [e-mail] y el correo se hacía pasar por una propuesta de colaboración entre ingenieros en EE. UU.
  Por mi experiencia, este tipo de cosas probablemente sea un intento de estafa desde Corea del Norte

  • Yo también recibí casi el mismo correo del mismo remitente. Solo cambiaban un poco el asunto y la firma
  • Me da curiosidad por qué piensas que es Corea del Norte. ¿Por la estructura de encubrimiento con un equipo anónimo usando estadounidenses como fachada?

• Como referencia, este tipo de correos publicitarios no autorizados es ilegal en Europa
  La excusa de “no lo sabía” no sirve. Muchas veces la ubicación aparece claramente en el perfil de GitHub
  Si una startup empieza haciendo algo ilegal, ya arranca con puntos en contra también en términos de credibilidad