La pregunta "¿me están vigilando?" llega de la persona que desconfía de su propio celular y de la empresa que encontró un aparato extraño en la red. El peritaje cambia la sospecha por un examen, y el examen por un dictamen.
Quien sospecha de espionaje quiere acabar con él de inmediato. Borra la aplicación extraña, restaura el celular, arranca el aparato encontrado detrás del armario. Cada una de esas acciones termina la vigilancia y borra la prueba de quién la instaló.
El contraespionaje digital invierte el orden: primero preserva, después examina, por último remueve. El examen sigue el método de la informática forense: copia, hash y cadena de custodia. El dictamen dice si hay vigilancia, cómo funciona, desde cuándo y, cuando los vestigios lo permiten, quién está del otro lado.
El núcleo atiende a empresas y, con reservas, a personas físicas. Son tres frentes: programa espía, barrido de escuchas y rastreadores, y aparato implantado en la red corporativa.
El programa espía (stalkerware) es la aplicación instalada sin el conocimiento del dueño para copiar mensajes, grabar llamadas, encender el micrófono o informar la ubicación. Quien lo instala suele ser alguien cercano: cónyuge, expareja, socio. En empresas, la sospecha recae sobre los aparatos de ejecutivos cuando se filtra información estratégica.
El examen busca aplicaciones ocultas o disfrazadas, permisos de accesibilidad y de administración, perfiles de configuración y certificados instalados. El dictamen registra cuándo entró cada ítem y qué permitía hacer.
No todo espionaje necesita un programa. Una sesión de WhatsApp abierta en otra computadora, una regla de reenvío en el correo, el backup en la nube accedido con una contraseña conocida o la ubicación compartida hacen el mismo trabajo. El examen verifica los dispositivos vinculados a cada cuenta.
El aparato queda encendido en una caja de Faraday, un recinto que bloquea cualquier señal de radio, con internet simulada por el laboratorio, y el peritaje observa durante días cada conexión que intenta hacer. Así se detecta el programa que envía datos a un servidor de comando, incluso cuando no aparece en la lista de aplicaciones.
Instalación, cuentas usadas, datos enviados y destino se convierten en una línea de tiempo fechada. Cuando el rastro lleva a un servidor o a una cuenta, el dictamen indica qué registros pedir a los proveedores para llegar al responsable.
Las contramedidas de vigilancia técnica (TSCM, por su sigla en inglés) son el barrido de un ambiente en busca de escuchas, cámaras y rastreadores. El laboratorio cuenta con equipo de detección de señales de radiofrecuencia y de localización de rastreadores Bluetooth, como AirTag y SmartTag. El barrido alcanza oficinas, salas de reunión, residencias y vehículos.
La detección de radiofrecuencia encuentra el aparato que transmite: escucha con chip de celular, cámara que envía imagen por Wi-Fi, transmisor escondido en un objeto cotidiano.
Rastreadores del tamaño de una moneda, escondidos en el auto, en el bolso o en la maleta, informan por dónde anda la persona. La búsqueda localiza el rastreador por la señal que emite.
El barrido encuentra; el peritaje explica. El aparato hallado se preserva y se examina: qué captó, adónde enviaba, con qué chip o cuenta y desde cuándo. El mismo perito responde por las dos etapas.
Un grabador que solo almacena no transmite, y la detección de radiofrecuencia no lo capta. Por eso la inspección física forma parte del barrido, y el reporte declara qué fue barrido y con qué alcance.
Una minicomputadora escondida detrás de una impresora, conectada a la red interna y con módem celular propio, abre una puerta que el firewall no ve. Hallado el aparato, tres preguntas importan: qué hizo, qué vio y quién lo puso allí.
El peritaje copia el almacenamiento del aparato y reconstruye la actividad: barridos en la red, credenciales usadas, carpetas accedidas, datos copiados. Examina el chip (los números que identifican la tarjeta y la línea, ICCID e IMSI, además de mensajes y agenda), las redes Wi-Fi que el aparato guardaba y las claves de acceso remoto. Son vestigios que ayudan a señalar quién preparó el aparato.
El error más común ocurre en la primera hora: TI desconecta el aparato, lo lleva a la mesa y lo enciende para "ver qué es". Eso altera datos y destruye vestigios físicos. Al encontrar un aparato extraño, fotografíelo en el lugar, restrinja el acceso al sitio y active el peritaje. Apagar o aislar es una decisión técnica. El acta de custodia sale en hasta 24 horas.
Las empresas piden el examen de sus propios aparatos y ambientes. Las personas físicas también son atendidas, con triage antes de la propuesta. El triage verifica si los aparatos son de quien pide, si la persona podrá entregar las contraseñas y qué espera del dictamen. Sin contraseña, el examen sigue siendo posible, con alcance menor y límite declarado en el dictamen. Parte de las sospechas no se confirma, y el triage lo dice con franqueza.
El laboratorio no examina aparatos de terceros sin su autorización u orden judicial, no invade cuentas y no monitorea personas.
Las conductas que el examen revela suelen tener nombre en la ley brasileña: invasión de dispositivo informático (Código Penal, art. 154-A), persecución reiterada que invade la privacidad (art. 147-A), vigilancia constante como forma de violencia psicológica contra la mujer (Ley 11.340/2006, la Ley Maria da Penha, art. 7º, II) y escucha ambiental sin autorización judicial (Ley 9.296/1996, la ley de interceptación de comunicaciones, art. 10). El dictamen describe el hecho técnico; la calificación jurídica queda en manos del abogado y del juzgado.
Una persona sospechaba de programa espía y de escucha ambiental en sus celulares y computadoras. No entregó las contraseñas, lo que impedía la extracción completa.
El peritaje hizo el análisis dinámico: los aparatos quedaron encendidos en una caja de Faraday, con internet simulada, de cinco a diez días, para detectar cualquier conexión con un servidor de comando.
El dictamen registró lo que la observación mostró y declaró, en un capítulo propio, el límite impuesto por la falta de las contraseñas.
Una empresa encontró una minicomputadora conectada a su red interna, con módem 4G propio y sistema operativo orientado a pruebas de intrusión.
El peritaje mostró que el aparato había barrido más de mil máquinas y accedido a carpetas compartidas con una credencial de red. Las claves de acceso remoto y las redes Wi-Fi configuradas en el aparato, sumadas al peritaje del chip, fueron usadas para señalar la autoría.
El dictamen también registró lo que se perdió: TI había manipulado el aparato, y la toma de huellas dactilares resultó imposible.
Una ejecutiva percibe que alguien sabe por dónde anduvo. El barrido del auto encuentra un rastreador Bluetooth bajo el asiento. El peritaje registra el lugar y la forma de instalación, preserva el aparato y documenta el número de serie, base para pedir al fabricante, por las vías legales, los datos de la cuenta vinculada.
Consulte también
Extracción Forense de Celulares y Dispositivos Móviles → Informática Forense e Investigación Digital → Autoría Digital y Levantamiento del Secreto Telemático → Investigación Corporativa y Compliance → Familia y Sucesiones → Para Usted →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso