Peritaje informático forense en Panamá

¿Qué es el peritaje informático forense?

El peritaje informático forense es la disciplina que convierte datos en prueba. Consiste en localizar, adquirir, analizar y documentar evidencia almacenada en dispositivos electrónicos —computadoras, móviles, servidores, correo, la nube— de manera que un tribunal, una aseguradora o un comité interno puedan confiar en que esa evidencia es auténtica, íntegra y no fue manipulada. El producto final no es un archivo recuperado, sino un informe pericial que explica qué se encontró, cómo se obtuvo y por qué se puede creer en ello.

La evidencia digital es frágil por naturaleza: encender un equipo, abrir un archivo o conectar un disco sin las precauciones adecuadas modifica metadatos y puede invalidar la prueba. Por eso el peritaje no improvisa; sigue un método repetible y verificable que blinda el resultado frente a cualquier impugnación.

¿En qué se diferencia de una recuperación de datos?

En el propósito, y eso cambia todo el procedimiento. En una recuperación de datos el éxito es devolver la información; en un peritaje, el éxito es devolverla de forma que sirva como prueba. Una recuperación puede priorizar la rapidez; un peritaje prioriza la integridad y la trazabilidad, aunque eso lleve más tiempo y documentación. La misma imagen de un disco se trata distinto: en la recuperación basta con extraer los archivos; en el peritaje, cada operación se registra, se verifica con un hash y se incorpora a la cadena de custodia.

La consecuencia práctica es que un dato recuperado por una vía no forense puede ser perfectamente útil para volver a operar y, al mismo tiempo, inservible como evidencia en un juicio. Cuando hay un litigio en el horizonte, conviene tratar el caso como pericia desde el primer minuto. Esa decisión temprana evita un problema habitual: descubrir, ya en el proceso, que la única copia de la información se obtuvo de una forma que la otra parte puede tumbar. Recuperar y peritar no son incompatibles, pero el orden y el método importan, y empezar bien cuesta lo mismo que empezar mal.

¿Qué es la cadena de custodia y por qué decide el caso?

La cadena de custodia es la documentación cronológica e ininterrumpida de cada operación realizada sobre la evidencia, desde el momento en que se adquiere hasta su presentación ante el tribunal. Si esa cadena se rompe —un acceso sin registrar, una copia sin verificar, un traslado sin firmar— la parte contraria tiene un argumento para impugnar la prueba, por muy reveladora que sea. En la práctica forense moderna, los sellos físicos y las actas en papel se sustituyen por mecanismos criptográficos: hashes, sellos de tiempo, firmas digitales y registros de acceso automáticos.

La cadena documenta cuatro elementos: la identificación (quién hizo qué, con qué herramienta, dónde y cuándo), la preservación (el hash de integridad, el sello de tiempo y el sellado de la evidencia), la transferencia (el registro firmado de cada paso entre custodios) y la presentación (el informe pericial que remite a la adquisición). Reunidos, forman un paquete que un tercero puede verificar de forma independiente. Esa verificabilidad es, al final, lo que sostiene la prueba.

El estándar ISO/IEC 27037

Cuando una ley o un tribunal hablan de «buena práctica forense», buscan una referencia, y esa referencia es ISO/IEC 27037. El estándar define cuatro procesos —identificación, recolección, adquisición y preservación de la evidencia digital— y tres principios que toda operación debe cumplir: auditabilidad, repetibilidad y reproducibilidad. En otras palabras, cualquier otro perito debería poder seguir nuestros pasos y llegar al mismo resultado. Trabajar bajo este marco es lo que diferencia una documentación defendible de una simple recolección de archivos.

ISO/IEC 27037 no está solo: lo complementan ISO/IEC 27041 (aseguramiento de que los métodos son adecuados), 27042 (análisis e interpretación) y 27043 (principios de investigación de incidentes), además de guías como NIST SP 800-86. Aplicamos ese conjunto de normas tanto en un peritaje para juicio como en la respuesta a un incidente que más tarde puede acabar en los tribunales.

La verificación por hash: SHA-256

Un hash es una huella digital de tamaño fijo que se calcula sobre los datos: si cambia un solo bit, la huella cambia por completo. Al adquirir una imagen forense, calculamos el hash del original y el de la copia; si coinciden, queda demostrado que la imagen es idéntica al soporte de origen y que no se alteró nada. La práctica forense ha convergido en SHA-256: SHA-1 quedó obsoleto tras las colisiones demostradas en 2017 y MD5 desde las de 2004 y 2008, así que presentar MD5 como única comprobación de integridad expone la prueba a una impugnación seria.

Un detalle importante: el hash demuestra que un archivo no cambió, pero no cuándo se obtuvo. Por eso lo acompañamos de un sello de tiempo, de modo que la evidencia quede anclada a un momento verificable. Integridad y temporalidad, juntas, son las que dan peso a la prueba.

¿Qué casos atendemos?

El peritaje informático aparece en muchos más escenarios de los que las empresas suelen reconocer como «forenses»:

• Fraude interno y desvío de fondos. Rastreo de operaciones, correos y documentos manipulados.
• Fuga de información y robo de propiedad intelectual. Un empleado que se lleva la cartera de clientes o el código fuente al salir.
• Disputas laborales y societarias. Evidencia de conductas, comunicaciones o accesos no autorizados.
• Incidentes de seguridad y ransomware. Determinar el alcance y preservar la evidencia, en coordinación con la recuperación ante ransomware.
• Incumplimientos contractuales y reclamaciones de seguro. Soporte técnico documentado para sostener una posición.
• E-discovery. Identificación y preparación de evidencia electrónica para un proceso.

Qué analizamos y de qué dispositivos

La evidencia puede vivir en casi cualquier soporte: computadoras y portátiles, servidores, teléfonos y tabletas, unidades USB, las grabaciones de videovigilancia (CCTV, DVR y NVR), correo corporativo y servicios en la nube. Sobre la imagen forense buscamos lo que el caso requiere: archivos borrados y sus rastros, líneas de tiempo de actividad, metadatos, registros de acceso y de eventos, historiales, mensajería y artefactos del sistema que revelan quién hizo qué y cuándo. En dispositivos móviles trabajamos las comunicaciones y los datos de aplicaciones según lo que la adquisición permita; en correo y nube, los mensajes, los adjuntos y los registros asociados. Todo se hace sobre copias, nunca sobre el dispositivo original, para no comprometer ni los datos ni la prueba.

El análisis se guía por las preguntas del caso, no al revés: definimos qué hay que demostrar —si un archivo salió de la empresa, si alguien accedió a un sistema, cuándo se modificó un documento— y orientamos la búsqueda a esos hechos. Documentamos tanto lo que aparece como lo que no, porque la ausencia de un rastro también es un hallazgo con valor probatorio. Y mantenemos cada paso reproducible, de modo que otro perito que parta de la misma imagen llegue a las mismas conclusiones.

El perito y la validez de sus herramientas

Una prueba digital vale tanto como la persona y los métodos que la sostienen. El perito debe ser idóneo e independiente, y debe poder explicar y defender cada decisión técnica que tomó. Las herramientas que usa no pueden ser una caja negra: tienen que estar reconocidas en la práctica forense y producir resultados que otro profesional pueda repetir con el mismo material. Por eso trabajamos con utilidades de adquisición y análisis de grado forense, registramos sus versiones y parámetros, y conservamos las imágenes originales con sus hashes para que cualquier verificación posterior sea posible.

Esa transparencia es también una defensa. Si la otra parte cuestiona el método, la respuesta no es una opinión, sino un procedimiento documentado y repetible que cualquiera puede auditar. La credibilidad del perito y la trazabilidad de su trabajo son, al final, dos caras de lo mismo.

Nuestro proceso pericial

El método es lo que sostiene el resultado. Cada fase se documenta para que sea auditable y reproducible por un tercero.

1. Identificación y preservación

Localizamos los dispositivos y fuentes de datos relevantes, los aislamos y documentamos su estado para que nada cambie desde el primer contacto.

2. Adquisición forense

Clonamos cada soporte con bloqueo de escritura y calculamos su hash; el hash del original y el de la imagen deben coincidir. A partir de aquí trabajamos solo sobre la copia.

3. Análisis de la evidencia

Examinamos la imagen buscando lo que el caso necesita: archivos, líneas de tiempo, metadatos, registros y artefactos, siempre de forma reproducible.

4. Informe pericial

Redactamos un informe claro que explica el método, los hallazgos y sus límites, comprensible para quien no es técnico y sólido para quien sí lo es.

5. Ratificación ante el tribunal

Cuando el proceso lo requiere, el perito comparece a ratificar y explicar el informe, y a responder las preguntas de las partes.

# Imagen forense de la evidencia con cálculo de hash
$ ewfacquire /dev/sdb -t evidencia_caso_2026-014
Acquiry completed.
  MD5 hash:    [obsoleto, solo de referencia]
  SHA-256:     9f2c4e...b1a4

# Verificación: el hash de la imagen coincide con el del original
$ sha256sum evidencia_caso_2026-014.E01
9f2c4e...b1a4  evidencia_caso_2026-014.E01   # íntegra, sin alteración
# Se añade sello de tiempo y se registra en la cadena de custodia.

La coincidencia de los dos hashes es la prueba matemática de que la copia es idéntica al original. Ese valor, junto con el sello de tiempo y el registro de custodia, es lo que un tercero puede verificar para confiar en la evidencia.

Errores que arruinan una prueba digital

La mayoría de las pruebas digitales no se pierden en el análisis, sino en las primeras horas, por acciones que parecen inofensivas. Los errores que más casos debilitan son:

• Encender o usar el dispositivo. Arrancar el equipo modifica decenas de archivos y metadatos; cada uso posterior sobrescribe rastros y puede borrar lo que se busca.
• Dejar que IT «investigue». Copiar carpetas, revisar correos o instalar herramientas sobre el original altera la evidencia y rompe la cadena de custodia.
• Presentar el dispositivo como prueba sin imagen forense. Sin una copia verificada, no hay forma de demostrar que nada cambió desde la incautación.
• Omitir el hash o apoyarse solo en MD5. Sin SHA-256 y un sello de tiempo, la integridad queda expuesta a una impugnación.
• Cadena de custodia incompleta. Un traslado sin firmar o un acceso sin registrar basta para sembrar la duda.
• Demorar la adquisición. En sistemas vivos, los registros rotan y los datos volátiles desaparecen; el tiempo juega en contra de la prueba.

La regla preventiva es simple: ante la sospecha, aislar el equipo, no tocarlo y llamar. Asegurar bien desde el inicio cuesta lo mismo que asegurar mal, pero cambia el desenlace.

¿Hacen contraperitaje?

Sí. El contraperitaje consiste en revisar el peritaje presentado por la otra parte para evaluar si su metodología, su cadena de custodia y sus conclusiones se sostienen. Muchas pruebas digitales caen no por lo que dicen, sino por cómo se obtuvieron: una adquisición sin hash, una cadena rota o un análisis que no se puede reproducir. Conocer el estándar ISO/IEC 27037 da una ventaja clara al señalar esas debilidades, y también al reforzar un peritaje propio frente a una impugnación.

Conviene aclarar un límite: el contraperitaje no consiste en fabricar dudas, sino en verificar si el trabajo contrario cumple el estándar. Si la evidencia de la otra parte está bien obtenida, lo decimos con la misma franqueza; nuestra credibilidad como peritos depende de esa honestidad tanto como del rigor técnico. Un perito que solo dice lo que su cliente quiere oír pierde valor ante el tribunal, y con él lo pierde su cliente.

El informe pericial y la ratificación

El informe pericial es el entregable que importa. Describe el alcance, los dispositivos, el método de adquisición y sus hashes, los hallazgos y las conclusiones, con un lenguaje que un juez o un abogado puedan entender sin perder el rigor técnico. Documenta también los límites de lo encontrado, porque un informe honesto es más fuerte que uno que promete certezas imposibles. Si el proceso llega a audiencia, el perito ratifica el informe y responde a las preguntas de las partes, sosteniendo cada afirmación en la evidencia y en el método. Un buen informe anticipa las preguntas difíciles y deja claro qué se puede afirmar con certeza, qué es probable y qué queda fuera del alcance de la evidencia disponible. Esa honestidad metodológica no debilita el peritaje, lo fortalece: un tribunal confía más en quien delimita sus conclusiones que en quien promete certezas absolutas sobre datos incompletos.

Casos frecuentes en empresas panameñas

Trabajamos con bufetes que necesitan sostener o impugnar una prueba digital, con departamentos de recursos humanos ante una desvinculación conflictiva, con direcciones que sospechan un desvío de fondos o una fuga de información, y con empresas que, tras un incidente de seguridad, necesitan documentar qué pasó para su aseguradora o para una eventual demanda. En todos los casos la discreción es absoluta: cada proyecto se trabaja bajo acuerdo de confidencialidad y con acceso restringido a la evidencia. Coordinamos la recepción en toda la república y, cuando el tiempo apremia —un equipo que hay que asegurar antes de que se altere—, activamos la atención prioritaria. Trabajamos en coordinación con los abogados de la empresa para que la adquisición responda a lo que el proceso necesita demostrar, y entregamos la evidencia y el informe en el formato y los plazos que el caso exige. Cuando el asunto cruza fronteras —datos en servidores o nubes fuera del país—, encuadramos el trabajo en estándares internacionales para que la prueba sea reconocible en otras jurisdicciones.

Preguntas frecuentes