Cuando la sospecha está dentro de la empresa, la prueba debe preservarse antes de que alguien lo note, y de un modo que resista al proceso después. El peritaje separa el "me hackearon" del "fui yo", con la misma imparcialidad en ambos sentidos.
Surge la denuncia, y la empresa pide a TI que examine la computadora del empleado. La intención es buena; el resultado, casi siempre, es prueba contaminada. Encender la máquina, abrir carpetas y navegar por el historial crea y borra vestigios. Después, nadie consigue separar lo que hizo el investigado de lo que hizo la investigación interna. Uno de los casos reales de esta página muestra hasta dónde puede llegar eso.
La preservación correcta sigue otro orden. El medio original se copia con bloqueo de escritura, que impide cualquier grabación en él. El análisis ocurre solo en la copia, con hash y cadena de custodia. Cuando el caso lo exige, la recolección es acompañada por un notario para el otorgamiento de un acta notarial, y el papel del perito es decir qué debe quedar registrado para que el procedimiento no sea cuestionado en el futuro.
Quien activa este núcleo suele ser compliance, el área jurídica o el consejo de administración. El peritaje no sustituye la investigación de ellos: le da prueba técnica.
En la práctica pericial, quien defrauda a la empresa desde adentro suele aparecer en uno de tres perfiles. Entender cuál es el caso orienta dónde buscar los vestigios.
Percibe una falla en el proceso o en el sistema y pasa a explotarla por cuenta propia, como el empleado que, durante meses, usa el acceso de soporte para alterar límites y emitir tarjetas. El vestigio está en el uso repetido de una función legítima, fuera del patrón.
Acepta participar en un fraude comandado por delincuentes de afuera, a cambio de un porcentaje o de un valor. Entrega cómo funcionan los sistemas, el mejor momento para actuar y cómo eludir los controles, a veces el propio segundo factor de autenticación. Después, suele presentarse como víctima.
Actúa por miedo, tras amenazas contra su propia integridad o la de su familia. El peritaje muestra qué se hizo, por quién y en qué circunstancias, y ese contexto pesa en la decisión de la empresa.
Hay también quien copia datos confidenciales para entregarlos a un competidor o para guardarlos para sí. Y el peritaje siempre pone a prueba la hipótesis inversa. En un caso, la tesis de "máquina invadida" cayó ante el historial del navegador, las herramientas de desarrollo y el control de versiones del propio investigado. En otro, la institución sospechaba de un insider, y el peritaje mostró que los accesos vinieron de credenciales robadas por phishing. El método también busca el vestigio forjado: rastro plantado para esconder al autor, sea externo o interno.
Cuando la sospecha alcanza muchos equipos, peritar cada uno a fondo es lento y, casi siempre, innecesario. El triage por lotes comienza por la preservación amplia de todos los equipos de interés, con hash y cadena de custodia. Es la etapa que más exige al perito en campo.
Con las copias en el laboratorio, el análisis recorre el conjunto en busca de los vestigios del hecho investigado. Los equipos sin vestigio se cierran en modo administrativo. Los positivos siguen al examen profundo, en el estándar de dictamen judicial. En un caso de mensajes ofensivos, decenas de computadoras pasaron por el triage, y solo las positivas siguieron adelante.
La ganancia es evitar peritajes infructuosos, que no ayudan al cliente a recuperar perjuicios, entender el incidente ni determinar la autoría.
La entrevista viene después de que la prueba está preservada, nunca antes. La conducen psicólogos forenses asociados y profesionales con larga experiencia en análisis conductual y de microexpresiones, y el guion parte de lo que el examen ya mostró.
El relevamiento en fuentes abiertas sobre los involucrados en la investigación mapea las relaciones entre personas y empresas, con registro del origen de cada información y cadena de custodia.
No es compliance para certificación. La pregunta es otra: si un incidente ocurre mañana, ¿la empresa tendrá cómo investigarlo? ¿Los registros existen, se conservan por el tiempo necesario e identifican quién hizo qué? ¿Dónde necesita mejorar la madurez, y en qué?
La diferencia aparece cuando falta. En un caso de fraude, la empresa no guardaba los puertos lógicos de las conexiones, y la investigación se detuvo en cientos de sospechosos, sin cómo señalar al autor. En otro, el informe técnico concluyó que la autoría no era determinable por falta de registros y entregó un plan para que el entorno pase a generar los vestigios necesarios.
La auditoría también examina estaciones de trabajo y servidores. Ya encontró, por ejemplo, números de tarjeta grabados en texto plano en las estaciones de un sector, con notificación formal a la empresa. Los hallazgos fortuitos, fuera del objeto de la auditoría, siguen la obligación legal.
En investigaciones anticorrupción, esto tiene peso legal. En la aplicación de sanciones, la Ley Anticorrupción brasileña considera la cooperación de la empresa en la investigación y la existencia de mecanismos internos de integridad y auditoría (Ley 12.846/2013, art. 7º, VII y VIII). Una investigación interna con prueba íntegra es parte de esa respuesta.
Desafío. Un colaborador accedía a datos confidenciales de forma recurrente, usando un dispositivo personal. El aparato era suyo, y la empresa no podía peritarlo.
Método. El análisis del tráfico de red demostró la exfiltración recurrente y fundamentó el pedido de medida cautelar de registro e incautación del dispositivo, que fue concedida.
Resultado. En el peritaje judicial quedó comprobado que los datos confidenciales estaban en el dispositivo y que habían sido entregados a un competidor.
Desafío. Compliance recibió una denuncia de que un director accedía, en el trabajo, a contenido impropio, contrario a la política de ética de la empresa. Fue apartado, y la computadora pasó al área de tecnología. Durante días, varios empleados de TI examinaron la máquina original, hasta que uno de ellos encontró los accesos. El director fue despedido con justa causa.
Método. En la acción laboral, el peritaje reconstruyó la línea de tiempo del equipo y mostró que los accesos se hicieron después de la entrega de la computadora a TI, durante la propia investigación interna.
Resultado. El despido con justa causa fue revertido, y el caso derivó en una acción de indemnización por el daño a la reputación del ejecutivo. Es el retrato del error descrito al inicio de esta página: TI examina el original y contamina la prueba.
Desafío. En una industria con venta restringida a clientes habilitados, algunos de ellos comenzaron a recibir facturas de productos que nunca pidieron ni recibieron. Colaboradores registraban ventas a nombre de clientes habilitados, desviaban la entrega y revendían los productos fuera del canal autorizado; después pagaban las facturas para que el fraude pasara desapercibido.
Método. El peritaje siguió el rastro digital y documental de los pedidos, las entregas y los pagos hasta quien los había registrado.
Resultado. Los involucrados fueron identificados y despedidos, y el caso derivó en una acción penal.
Consulte también
Procesos Laborales → Peritaje en LGPD, ANPD y Fugas de Datos → Propiedad Intelectual, Secreto Empresarial y Competencia Desleal → Peritaje en Fraude Financiero y Medios de Pago → Antiforense y Evidencia Destruida → Contraespionaje Digital → Seguridad de la Información y Compliance → Método y Cadena de Custodia →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso