¿Qué es el peritaje informático?
Una recuperación de datos normal tiene un único objetivo: volver a tener tus archivos. Un peritaje informático tiene dos: recuperar los datos y, además, poder demostrar ante un tercero —un juez, un árbitro, un comité interno— que esos datos son auténticos y que nadie los manipuló. Esa segunda mitad lo cambia todo. En una recuperación común, el técnico hace lo que haga falta para sacar la información; en un peritaje, cada acción está pensada para que el resultado resista el escrutinio legal. El forense digital no solo rescata el archivo: rescata también la prueba de que ese archivo es el que dice ser. Por eso un mismo dispositivo, tratado de una manera o de otra, puede acabar siendo una fuente de evidencia sólida o una pila de datos sin valor probatorio.
¿Cuándo necesitas un peritaje y no solo recuperar los datos?
La pregunta clave es sencilla: ¿existe alguna posibilidad de que estos datos terminen importando legalmente? Si la respuesta es sí, necesitas un peritaje. Los escenarios más comunes que vemos son:
- Litigios civiles o comerciales donde un correo, un contrato o un registro es la prueba central.
- Investigaciones internas de fraude, malversación o uso indebido de recursos.
- Despidos y conducta de empleados: filtración de información, competencia desleal, borrado intencional de archivos al salir.
- Robo o fuga de datos e información confidencial, donde hay que probar qué salió y por dónde.
- Atribución de un incidente —por ejemplo, tras un ataque— para reconstruir qué pasó y quién o qué lo causó.
- Reclamaciones de seguros o requerimientos regulatorios que exigen evidencia verificable.
El detalle crítico es el momento de decidir. La diferencia entre una recuperación y un peritaje no se elige al final, cuando ya tienes los datos; se elige al principio, antes de tocar el dispositivo. Si esperas a ver «qué hay» y luego decides que quieres usarlo legalmente, probablemente ya sea tarde.
La diferencia clave: la cadena de custodia
Si hay un concepto que define el peritaje, es la cadena de custodia. Es el registro cronológico y documentado de todo lo que le pasó a la evidencia: quién la recogió, cuándo, dónde, cómo, en qué condiciones, quién la tuvo después, qué se hizo con ella y dónde se guardó. Cada traspaso se firma y se fecha; el dispositivo se etiqueta con identificadores únicos y se guarda bajo acceso restringido; y se minimiza el número de manos por las que pasa. ¿Por qué tanto rigor? Porque la evidencia digital es fácil de alterar y, si la otra parte puede señalar un hueco en ese registro —un periodo sin documentar, un traspaso sin firma—, puede pedir que la prueba se impugne o se excluya, por impecable que haya sido la recuperación técnica. Hay casos reales en los que registros perfectamente recuperados fueron rechazados por inconsistencias en la cadena de custodia. La lección es dura: una prueba que no puedes documentar es, a efectos legales, una prueba que no tienes.
Imagen forense y hash: cómo se preserva el original
El principio rector del forense digital es no trabajar nunca sobre el original. Lo primero que se hace es una imagen forense: una copia exacta, bit a bit, de todo el medio, que incluye tanto los archivos visibles como los borrados y el espacio no asignado, donde a menudo está lo interesante. Esa copia se verifica con una función hash —MD5 y SHA-256 son las habituales—, que genera una especie de huella digital del contenido: si cambiara un solo byte, la huella sería completamente distinta. Así se demuestra, en cualquier momento, que la copia es idéntica al original y que no se alteró. Durante la captura se usan bloqueadores de escritura, preferiblemente de hardware, que impiden que el equipo de análisis escriba nada en el dispositivo de origen. Y todo el examen posterior se hace sobre la imagen, mientras el original queda sellado y bajo custodia. De ese modo, el dato y su prueba de autenticidad viajan siempre juntos.
El informe pericial: el entregable que llega al tribunal
Todo el trabajo anterior desemboca en un documento: el informe pericial. No es un volcado técnico para ingenieros, sino un relato ordenado y verificable de qué se hizo y qué se encontró, redactado para que una persona sin formación técnica —un juez, un abogado, un comité interno— pueda seguirlo, y con el detalle suficiente para que otro perito pudiera repetir el procedimiento y llegar al mismo resultado. En él se registran la metodología empleada, las herramientas utilizadas, los valores hash que prueban la integridad, los hallazgos y también sus límites, porque un buen informe es honesto sobre lo que no puede afirmar. Ese informe, y no los archivos en bruto, es lo que de verdad se presenta; y el perito debe poder sostenerlo y explicarlo si la otra parte lo cuestiona. Un dato recuperado sin un informe que lo respalde rara vez convence a un tribunal.
El error que arruina la evidencia
Aquí está la advertencia más importante de todo el artículo, porque es el error que vemos una y otra vez. Ante un equipo que podría contener evidencia, la reacción natural es encenderlo y «echar un vistazo»: abrir el correo, buscar el archivo, quizá correr un programa de recuperación para ver si el dato sigue ahí. Cada una de esas acciones escribe en el dispositivo, modifica metadatos y cambia marcas de tiempo —cuándo se abrió un archivo, cuándo se modificó—, que muchas veces son justamente la parte que importa probar. El resultado es que, aunque recuperes el dato, ya no puedes demostrar que es el mismo de antes ni que nadie lo tocó: la evidencia queda contaminada. Una recuperación casera, incluso exitosa, puede destruir por completo el valor probatorio de lo que recuperó. Por eso, en el peritaje, la primera regla es la misma que en la medicina: lo primero es no hacer daño. Si el dato puede ser prueba, no lo manipules para «comprobarlo».
Recuperación de datos frente a peritaje forense
| Aspecto | Recuperación de datos | Peritaje forense |
|---|---|---|
| Objetivo | Recuperar los archivos | Recuperar y probar su autenticidad |
| Original | Se trabaja para sacar el dato | Se sella; se trabaja sobre una imagen |
| Documentación | Informe técnico | Cadena de custodia completa |
| Verificación | Que el archivo abra | Hash (MD5/SHA-256) del original y la copia |
| Sirve en un juicio | No necesariamente | Sí, si la cadena se mantuvo |
La tabla deja clara la moraleja: no es que el peritaje sea «una recuperación mejor», sino que es una disciplina distinta con otro objetivo. Una buena recuperación no garantiza una buena evidencia; el rigor probatorio hay que construirlo desde el primer minuto.
¿Y si ya manipulé el equipo?
Pasa con frecuencia, y no siempre es el fin del caso. Si ya encendiste el equipo o intentaste recuperar algo por tu cuenta y luego te das cuenta de que podría haber un asunto legal, lo más útil es reaccionar bien a partir de ahora: deja de usar el dispositivo de inmediato, anota con honestidad todo lo que hiciste y cuándo lo hiciste, y consulta con un perito antes de seguir. En muchos casos todavía se puede documentar el estado actual, explicar de forma transparente lo ocurrido y trabajar a partir de ese punto; lo que no se puede es seguir alterando el dispositivo y esperar que la evidencia se mantenga intacta. La honestidad sobre lo que ya se hizo vale más que cualquier intento de disimularlo, que solo debilita el caso.
En resumen
El peritaje informático no es un servicio para todo el mundo ni para cada disco perdido; la mayoría de las recuperaciones nunca pisarán un tribunal. Pero cuando hay un conflicto de por medio —un fraude, un despido espinoso, un litigio, un incidente que hay que atribuir—, tratar el dispositivo como una simple recuperación puede costar el caso. La regla práctica, otra vez, es decidir temprano: ante la duda, asume que podría ser evidencia, no lo enciendas y consulta. En Data Recovery Panama trabajamos los casos corporativos bajo acuerdo de confidencialidad y con cadena de custodia documentada, y combinamos la recuperación con el peritaje informático cuando el caso lo pide. Si no estás seguro de en cuál de los dos terrenos estás, cuéntanos la situación en recuperación de datos; y si el origen fue un ataque, la primera hora tras un ransomware y la evidencia que dejes intacta marcan la diferencia, igual que con un teléfono en recuperación de móviles.
Preguntas frecuentes
Es recuperar y analizar datos de un dispositivo preservando su integridad para que sirvan como prueba legal. A diferencia de una recuperación normal, donde solo importa recuperar el archivo, en un peritaje hay que poder demostrar que ese dato es auténtico y que nadie lo alteró, mediante una cadena de custodia documentada.
Cuando los datos podrían terminar en un proceso: un litigio, una investigación interna, un caso de fraude, un despido o conducta indebida de un empleado, un robo de información, la atribución de un incidente o una reclamación de seguros. Si hay cualquier posibilidad de uso legal, decide el peritaje antes de tocar el dispositivo.
Es el registro cronológico y documentado de quién manejó la evidencia, cuándo, dónde, cómo y en qué condiciones, desde que se recoge hasta que se presenta. Cualquier hueco en ese registro permite que la otra parte impugne la prueba o que se excluya, por buena que sea la recuperación técnica.
Porque encenderlo, abrir archivos o correr programas de recuperación altera metadatos y marcas de tiempo y modifica el original. Eso contamina la evidencia: incluso si recuperas el dato, ya no podrás demostrar que es el mismo y que nadie lo cambió. Por eso el original se sella y se trabaja sobre una copia forense verificada.
No necesariamente, pero complica las cosas. Deja de usarlo de inmediato, anota con honestidad todo lo que hiciste y cuándo, y consulta con un perito: a veces aún se puede documentar el estado actual y trabajar a partir de ahí. Lo importante es no seguir alterando el dispositivo.