¿Quién lo hizo? A veces la respuesta está en el propio archivo; otras veces, en los registros de un proveedor, que solo los entrega por orden judicial. El peritaje muestra qué camino permite el caso y prepara cada uno.
¿Quién está detrás de un perfil anónimo, de un correo falso o de un acceso indebido? Hay dos caminos técnicos, y no se confunden.
En el primero, el vestigio de autoría está en el propio material. Un documento digital guarda metadatos: quién lo creó, en qué programa, en qué computadora, cuándo fue guardado y editado. Un correo electrónico guarda en el encabezado los servidores por los que pasó. Un sistema registra qué cuenta hizo cada operación. El peritaje lee esos vestigios y dice qué demuestran.
En el segundo, el rastro sale del entorno de la víctima y termina en una dirección IP. Quién usaba aquella conexión, en aquel instante, solo lo sabe el proveedor. Por el Marco Civil da Internet (la ley brasileña de derechos y deberes en internet), solo está obligado a entregar esos registros mediante orden judicial (Ley 12.965/2014, art. 10, § 1º). Es el levantamiento del secreto telemático. Aquí el peritaje aporta los elementos técnicos para que la autoridad policial, o el abogado de la empresa en juicio, pida los datos correctos e identifique al titular de la conexión usada en el fraude.
Cuando el material está disponible, la autoría comienza por él. El examen no acepta un campo aislado como prueba. Un metadato puede editarse. Por eso cada vestigio se confronta con otros, de fuentes independientes, y la incoherencia entre ellos también es un hallazgo.
Textos, planillas, PDF e imágenes registran autor, organización, programa, fechas internas de creación y de edición y, a veces, el nombre del usuario y de la máquina. El peritaje extrae esos campos de la copia preservada y los compara con el sistema de archivos y con otras versiones del documento.
El encabezado muestra el camino real del mensaje, los servidores de paso y la hora de cada etapa. La firma digital del dominio remitente (DKIM), cuando existe, indica si el mensaje salió realmente del servidor del que dice haber salido.
Los logs de aplicación, de VPN y de directorio muestran qué cuenta hizo qué, desde qué dirección y a qué hora. Cruzados con los turnos y con el uso de los equipos, reducen el universo de personas posibles.
La dirección IP identifica una conexión, no una persona. Para llegar al titular, hay que pedir al proveedor correcto los registros correctos, del período correcto. El Marco Civil exige que el requerimiento al juez traiga indicios fundados del ilícito, la justificación de la utilidad de los registros y el período al que se refieren (Marco Civil, art. 22, párrafo único). Los tres puntos dependen de fundamentación técnica.
Adriano Vallim prepara esa fundamentación. El estudio jurídico aplica en el escrito la información que el peritaje identificó. Cuando el proveedor responde, el peritaje cruza los datos devueltos con los eventos del caso.
Registros de acceso a la aplicación, registros de conexión y datos de registro del abonado. Un pedido vago vuelve incompleto. Un pedido demasiado amplio es denegado o demora.
El proveedor de aplicación (correo, red social, plataforma) informa desde qué IP vino el acceso. El proveedor de conexión, identificado por el registro del bloque de direcciones, informa qué abonado usaba aquella IP. Por regla son dos etapas, y la segunda depende de la precisión de la primera.
Muchos proveedores colocan cientos o miles de clientes detrás de la misma IP pública, cada uno en un rango de puertos. Sin el puerto lógico de origen, la operadora solo puede responder con la lista de todos los que usaban aquella IP en aquel momento.
Los servidores suelen registrar en UTC (la hora universal, tres horas por delante de Brasilia), y las operadoras responden en hora de Brasilia. Tres horas mal convertidas apuntan a otro abonado. El peritaje también mide la desviación del reloj de cada sistema.
El proveedor de conexión debe conservar los registros por un año. El de aplicación, por regla, por seis meses (Marco Civil, arts. 13 y 15). La autoridad policial o administrativa y el Ministerio Público pueden pedir que la conservación se extienda (Marco Civil, arts. 13, § 2º, y 15, § 2º). Un pedido tardío puede encontrar el registro ya descartado.
La víctima puede llegar a la comisaría solo con una denuncia, o con la autoría y la materialidad ya demostradas. El dossier pericial para autoridades marca esa diferencia. Es una notitia criminis con base técnica.
En los delitos de acción pública, el Código Procesal Penal brasileño permite que cualquier persona provoque al Ministerio Público con información escrita sobre el hecho, la autoría, el tiempo, el lugar y los elementos de convicción (CPP, art. 27). El dossier organiza exactamente eso:
El dossier no sustituye la investigación: individualizar a los autores y pedir medidas cautelares corresponde a la autoridad. El peritaje entrega el camino técnico.
Una empresa que quedó en tercer lugar en una licitación pidió la anulación del certamen. Aportó al proceso una prueba digital del supuesto fraude.
El peritaje demostró que esa prueba había sido producida con el navegador adulterado. Los metadatos del material forjado indicaban quién lo creó.
El fraude alegado no existía, y la autoría de la prueba falsa quedó demostrada. La empresa ganadora pudo ejecutar los servicios.
Una empresa sufrió un fraude por intrusión en sus sistemas, y Adriano Vallim actuó como asistente técnico. Los accesos vinieron de pocas direcciones IP, y los registros de la operadora mostraron que cada una era compartida por miles de líneas móviles.
El peritaje cruzó esos registros con la hora de cada evento del ataque y conservó solo las líneas activas en aquellas IP en los instantes correctos.
En la fase final quedaron cerca de 300 sospechosos. La empresa no guardaba el puerto lógico de origen de los accesos, y sin él no hubo cómo individualizar al autor. El caso muestra el valor de la auditoría forense hecha antes del incidente, descrita en Investigación Corporativa y Compliance: verifica si los registros de la empresa permitirán determinar la autoría.
Consulte también
Investigación Corporativa y Compliance → Antiforense y Evidencia Destruida → Peritaje en Fraude Financiero y Medios de Pago → Peritaje en Nube, Identidad y DevOps → Documentoscopia Digital → Peritaje Judicial y Extrajudicial → Derecho Digital y Tecnología →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso