¿Su asunto se parece
a alguno de estos?
Seis situaciones típicas en las que un dictamen de informática forense hace la diferencia: qué preguntas responde, qué no puede afirmar un perito y qué hacer hoy para no perder la evidencia.
Un empleado que se va y la base de clientes que aparece con la competencia
Semanas después de la renuncia de un vendedor, la lista de clientes aparece en manos de un competidor. La empresa quiere saber si la información salió de sus equipos y cuándo.
- ¿Se conectaron memorias USB u otros dispositivos al equipo, en qué fechas y cuáles?
- ¿Se abrieron, copiaron o enviaron por correo o nube los archivos de clientes? ¿Cuándo?
- ¿La actividad ocurrió antes o después de la fecha de renuncia?
Copia forense del disco, registros del sistema sobre dispositivos USB, historial de archivos abiertos, correo corporativo y servicios en la nube.
Puede mostrar que los archivos se copiaron a un dispositivo. No puede afirmar qué se hizo con ellos después, ni quién los usó, sin otra evidencia.
No reasigne, formatee ni "limpie" el equipo del empleado. Guárdelo apagado y anote quién lo tiene.
La contraparte dice que los WhatsApp son falsos
Se exhiben capturas de pantalla de una conversación y la otra parte las objeta por "alteradas" o "apócrifas".
- ¿La conversación existe en el teléfono o en su respaldo, y coincide con las capturas?
- ¿A qué número o cuenta corresponde cada participante?
- ¿Hay indicios de edición, borrado o inconsistencia en fechas y secuencia?
El teléfono o el respaldo original (no solo las capturas), con copia forense, valor hash y cadena de custodia.
Una captura de pantalla sola casi nunca se puede autenticar. Sin acceso al teléfono o al respaldo, el dictamen se limita mucho.
No borre la conversación, no cambie de teléfono ni restaure el equipo. Deje el celular con carga y con su PIN a la mano.
Movimientos no autorizados en el sistema de la empresa (ERP, banca, facturación)
Aparecen transferencias, cancelaciones o cambios que nadie reconoce. No está claro si fue alguien de fuera, alguien de dentro o una falla del sistema.
- ¿Con qué usuario, desde qué equipo o red y a qué hora se hicieron las operaciones?
- ¿Hubo accesos desde fuera de la red o en horarios inusuales?
- ¿Las bitácoras del sistema están completas o fueron alteradas?
Bitácoras del sistema y del servidor, registros de acceso, configuración de usuarios y permisos.
Las bitácoras muestran qué cuenta hizo algo, no qué persona. Si las contraseñas se compartían, la atribución necesita más pruebas.
Pida a su proveedor que conserve las bitácoras (muchos sistemas las borran solos en 30 a 90 días). No borre usuarios todavía: desactívelos.
Alguien sigue entrando a los sistemas después de un despido
Tras la salida del encargado de sistemas, se detectan cambios en servidores, correo o nube que nadie autorizó.
- ¿Qué accesos hubo después de la fecha de baja, con qué credenciales y desde qué direcciones IP?
- ¿Qué se modificó, borró o descargó?
- ¿Qué credenciales siguieron activas y deberían haberse revocado?
Registros de inicio de sesión del proveedor de nube o correo, VPN y bitácoras de servidor.
Una dirección IP no identifica a una persona. Para saber a quién pertenece, la autoridad tiene que pedirlo al proveedor de internet.
Antes de cambiar contraseñas, exporte o pida que se conserven los registros de acceso. Luego revoque credenciales.
El dictamen de la contraparte tiene fallas de método
La otra parte presentó un dictamen técnico y usted necesita saber si se sostiene antes de la audiencia.
- ¿Se identificó la evidencia con hash y se documentó la cadena de custodia?
- ¿Se dice qué herramientas y versiones se usaron? ¿Otro perito podría repetir el análisis?
- ¿Las conclusiones responden a las preguntas planteadas o van más allá de lo que muestran los datos?
Un informe de observaciones técnicas y, si lo necesita, preguntas para el interrogatorio del perito contrario.
Consiga copia completa del dictamen con sus anexos. Los anexos suelen mostrar dónde está la falla.
Mensajes o correos amenazantes desde cuentas anónimas
Una persona recibe mensajes ofensivos o amenazas desde cuentas que no se identifican y necesita presentar la denuncia con respaldo técnico.
- ¿Desde qué servidor o servicio se enviaron los correos? ¿Qué datos técnicos traen los encabezados?
- ¿Los mensajes y publicaciones están íntegros y fechados?
- ¿Qué datos habría que pedir a cada plataforma para identificar al responsable?
Encabezados completos de los correos, mensajes y publicaciones, preservados con fecha, hash y cadena de custodia.
El perito no "descubre" quién es el autor de una cuenta anónima. Documenta la evidencia y señala qué datos puede pedir la autoridad a la plataforma.
No bloquee ni borre todavía. Guarde los mensajes y no conteste.
Otros asuntos que también atendemos
Mismo método, otro tipo de evidencia. En todos, el dictamen dice lo que los datos muestran y señala con claridad dónde termina lo técnico.
Facturas y CFDI objetados
Validación del XML, del sello, de la cadena original y del estado ante el SAT, incluidas cancelaciones. El dictamen no califica la operación de fondo: dice si el comprobante es íntegro y válido.
Software no entregado o incompleto
Revisión de código, repositorio, historial de cambios y despliegues frente a lo pactado en el contrato. Si el contrato es ambiguo, el dictamen lo señala en vez de resolverlo.
Fotos y videos como prueba
Metadatos, hash y consistencia del archivo. La mensajería borra metadatos al reenviar: se necesita el archivo original, no la copia recibida por chat.
Correo de proveedor suplantado (cambio de CLABE)
Encabezados, autenticación SPF/DKIM/DMARC y dominios parecidos. Identificar a la persona detrás requiere que la autoridad lo pida al proveedor.
⚠ Celulares: solo respaldos y extracción lógica
Trabajamos con el respaldo o con extracción lógica del equipo con PIN conocido. No hacemos desbloqueo de dispositivos ni recuperación de información borrada del chip.
⚠ Audio y video: solo integridad y metadatos
Verificamos que el archivo esté íntegro, fechado y sin indicios de edición. No hacemos identificación de voz ni mejora de imagen.
Cómo trabajamos la evidencia
Un dictamen vale en la audiencia si otro perito puede repetir el análisis y llegar al mismo resultado. Por eso el método no cambia de un asunto a otro.
Copia forense con hash
La evidencia se duplica bit a bit y se identifica con valor hash SHA-256. El original no se toca; se trabaja sobre la copia.
Cadena de custodia documentada
Quién entregó qué, cuándo, en qué estado y con acta. Cada traspaso queda registrado.
Análisis repetible
Se documentan pasos, herramientas y versiones para que el análisis pueda reproducirse y las conclusiones no vayan más allá de los datos.
Tomamos como referencia las normas ISO/IEC 27037 y 27042 como método de trabajo, nunca como certificación.
Del primer contacto a la audiencia
Seis pasos, sin sorpresas. Antes de cotizar revisamos que el asunto sea viable y que no exista conflicto de interés.
Llamada o formulario
Nos cuenta el asunto, la etapa procesal y la fecha límite.
Viabilidad y conflicto de interés
Revisamos si un dictamen aporta y si podemos tomar el asunto.
Propuesta y contrato
Alcance, entregables, plazos y honorarios por escrito.
Recepción de evidencia con acta
Copia forense, hash y cadena de custodia desde el primer minuto.
Dictamen
Informe técnico con método, hallazgos, límites y anexos.
Ratificación y audiencia
Ratificamos el dictamen y acudimos al desahogo cuando el juzgado lo requiere.
Quién firma el dictamen
Lic. Iván Rodríguez
Licenciado en Sistemas Computacionales.
Registro como perito
Perito auxiliar en la lista oficial del Poder Judicial del Estado de Coahuila, conforme a la Ley Orgánica del Poder Judicial del Estado. Registro estatal: atendemos asuntos en todo Coahuila.
Trayectoria
Desde 1999 en sistemas, infraestructura y desarrollo de software. El dictamen lo firma quien hizo el análisis.
¿Tienes un asunto parecido?
Cuéntanos el contexto en una llamada de 30 minutos. Te decimos si un dictamen aplica, qué alcance tendría y qué evidencia hay que preservar desde hoy.