Peritaje informático forense, donde el valor probatorio nace del método y no del hallazgo

Lo que se contrata es el método, no el hallazgo

La escena que casi todos imaginamos es la misma: alguien conecta el teléfono, encuentra la conversación y la imprime. Ese trabajo existe, pero no es un peritaje y rara vez sirve para lo que el cliente necesita.

Un peritaje informático forense es una secuencia con orden fijo: identificar qué material es relevante y dónde vive, adquirirlo sin modificarlo, preservarlo con registro y solo entonces analizarlo. El valor probatorio nace de esa secuencia y de que cada paso quede documentado. Un hallazgo espectacular sin trazabilidad es un archivo suelto que la otra parte va a discutir; uno modesto con adquisición documentada es una prueba.

El dictamen no responde solo «qué encontré», sino «cómo llegué a esto, con qué herramienta, en qué fecha y por qué puede verificarse». Esa segunda mitad es la que se revisa cuando la contraparte objeta.

Cadena de custodia digital, explicada en concreto

La expresión suena a trámite y describe cuatro decisiones prácticas que se toman el primer día.

No se trabaja sobre el original. Se obtiene una copia forense —una réplica del contenido, no un respaldo de los archivos visibles— y el análisis se hace sobre ella. El original queda resguardado sin usarse, para que el examen pueda repetirse o revisarlo un tercero.

El hash es la huella de esa copia. Al terminar la adquisición se calcula un valor a partir del contenido íntegro y se asienta en el acta; cualquier modificación posterior produce un valor distinto. Meses después el cálculo se repite y se compara: si coincide, la copia entregada es la misma que se tomó ese día.

Queda registro de quién tuvo el material y cuándo. Nombre, fecha, hora, motivo y forma de resguardo en cada traslado. Un hueco de tres días sin responsable asignado es el punto que la contraparte va a señalar.

El sellado de tiempo fija el momento. Acredita que un archivo o un informe existían con ese contenido en una fecha determinada, y no se confeccionaron después de conocer la estrategia del otro lado.

Como referencia internacional existe la norma ISO/IEC 27037, con directrices para la identificación, recolección, adquisición y preservación de evidencia digital: qué se documenta, cómo se trata un dispositivo encendido frente a uno apagado y qué competencias debe tener quien interviene. Sirve como marco de método y como criterio para leer un dictamen; no es una acreditación de personas.

El límite legal es el corazón de esta contratación

Antes de cualquier consideración técnica hay una pregunta que decide si el trabajo puede hacerse: de quién es el dispositivo o la cuenta.

El análisis legítimo se sostiene en uno de tres supuestos: que el equipo, el sistema o la cuenta sean del propio solicitante; que exista autorización expresa de su titular; o que medie una orden judicial. Fuera de eso no hay contrato, permiso ni consentimiento tácito que lo ampare.

Intervenir comunicaciones privadas sin mandato de autoridad judicial competente es delito conforme al artículo 177 del Código Penal Federal, con pena de seis a doce años de prisión. Acceder a sistemas, equipos o cuentas ajenas sin autorización de quien puede otorgarla constituye además otro delito distinto, con independencia de la relación personal o laboral entre las partes. Que el teléfono esté en la misma casa, o que el equipo lo pague la empresa, no resuelve por sí solo la titularidad.

La consecuencia cae sobre el cliente por dos vías. La prueba obtenida por medio ilícito puede excluirse del procedimiento, y entonces el gasto no produce nada utilizable. Y quien la encargó queda expuesto a la responsabilidad que corresponda, a veces convertido en denunciado dentro del mismo asunto que quería ganar. Por eso un perito formal pide acreditar titularidad o consentimiento antes de tocar nada: ese requisito no es burocracia del proveedor, es la protección del comprador.

Qué se puede recuperar y con qué límites realistas

Los metadatos —fechas de creación, modificación y acceso, dispositivo de origen, ubicación cuando el archivo la conserva— suelen sobrevivir y a menudo son más útiles que el contenido, porque construyen una línea de tiempo. Los registros de actividad acreditan conexiones, instalaciones y sesiones aunque el contenido ya no exista.

Los archivos y mensajes borrados dependen del caso. En algunos sistemas de archivos y tipos de almacenamiento el espacio liberado permanece un tiempo y el contenido se reconstruye; en otros el dispositivo lo libera de inmediato. El uso posterior es determinante: cada hora que el equipo sigue operando puede sobrescribir justo el espacio donde vivía lo que se busca.

El contenido cifrado marca el límite duro. Sin credenciales, clave de recuperación o colaboración del titular, no se abre. Ningún método legal lo evita, y cualquier oferta de saltarse ese punto describe una vía ilícita, no una capacidad técnica superior.

Por eso la promesa de recuperarlo todo es la señal de alarma más fiable del ramo. Un análisis se contrata sobre un material determinado y una hipótesis acotada, y el resultado legítimo incluye que no haya nada que recuperar.

OSINT: lo que queda cuando no hay acceso autorizado

Cuando el dispositivo no es del solicitante y no hay autorización ni orden judicial, la vía que sí es legal se llama inteligencia de fuentes abiertas, u OSINT: trabajar exclusivamente sobre información que ya es pública.

Incluye perfiles y publicaciones accesibles sin credenciales, registros públicos de la propiedad y del comercio, boletines judiciales, padrones oficiales y la huella digital asociada a un nombre o a un negocio. No hay intrusión porque no hay nada que vulnerar: el trabajo consiste en localizar, correlacionar y documentar con fecha y origen lo que cualquiera podría consultar.

Sus límites también son claros. No accede a lo privado, no sustituye un dictamen sobre un dispositivo y su material puede editarse o desaparecer, razón por la que se preserva desde el primer día. Aun así, en muchos casos basta para confirmar o descartar la hipótesis, y es lo primero que un despacho formal agota. En los asuntos de pareja esa distinción es la que más dinero ahorra: conviene leerla junto con investigación de infidelidad.

Cómo se elige al perito y qué destruye la evidencia antes

El criterio de selección se puede verificar y no depende de la impresión que deje la primera llamada.

• Cédula profesional verificable, cotejada contra el registro oficial y a nombre de quien va a firmar.
• Inscripción en la lista de peritos del poder judicial que corresponda, con número y materia. Pídela antes de contratar, no cuando el dictamen ya se necesita.
• Dictamen que describa método, herramientas con su versión y limitaciones del análisis. Un documento que solo enuncia conclusiones no permite que nadie lo revise.
• Disposición expresa a ratificar el dictamen ante la autoridad y a comparecer a interrogatorio, escrita en el contrato junto con quién cubre esa comparecencia.
• Constancia de titularidad o de autorización solicitada antes de la adquisición, incorporada al expediente.

Del otro lado están los errores que el cliente comete en las primeras horas, cuando todavía no hay perito, y que destruyen material que no vuelve:

• Seguir usando el dispositivo: cada apertura de una aplicación escribe datos y puede sobrescribir lo borrado.
• Tomar capturas de pantalla y tratarlas como prueba: documentan lo que se ve, no de dónde salió ni si se alteró.
• Reiniciar, actualizar o restaurar el equipo, que es la forma más rápida de eliminar en definitiva lo que se buscaba.
• Dejar pasar el tiempo, mientras registros que rotan y respaldos que se sobrescriben hacen su trabajo solos.

Si el asunto todavía no tiene abogado ni destino definido, revisa el rubro completo en investigación privada, donde se explica cómo se cotizan las capas del servicio. Y si vas a contratar a un despacho y no solo a un perito, aplica la misma guía de verificación de permisos: la modalidad cambia, el método de comprobación no.

TuSeguridad es un directorio: no realiza peritajes, no emite dictámenes ni participa en la relación entre las partes. Lo que cada despacho o perito declara en su ficha es una declaración suya, no una verificación nuestra. Verifica la cédula, la inscripción ante el poder judicial y la autorización de la empresa antes de entregar cualquier dispositivo, y consulta con tu abogado antes de decidir cómo se obtiene el material.