Peritaciones Informáticas para la Empresa

Preservación, análisis, informe y ratificación para conflictos empresariales

La empresa necesita responder preguntas concretas: qué ocurrió, cuándo, desde qué sistema, con qué cuenta, qué información se consultó, copió, modificó o eliminó y qué limitaciones tiene la evidencia disponible. Una pericial informática no sustituye al abogado ni a la respuesta técnica al incidente; aporta trazabilidad, análisis independiente y una explicación defendible.

Cuándo necesita una empresa una peritación informática

Las peritaciones informáticas para empresas son útiles cuando una decisión laboral, mercantil, penal o civil depende de hechos digitales. Pueden iniciarse por una denuncia interna, una salida conflictiva, un fraude, un incidente de seguridad, una disputa con un proveedor tecnológico o la impugnación de una prueba. Cuanto antes se identifiquen las fuentes, más posibilidades existen de conservar registros volátiles.

No toda alerta justifica examinar todos los sistemas. El primer paso es definir qué se necesita acreditar y qué datos podrían responder. Una investigación desproporcionada aumenta costes y riesgos de privacidad. Una investigación demasiado estrecha puede perder contexto. El perito y el equipo jurídico delimitan personas, fechas, dispositivos, cuentas, aplicaciones y preguntas.

Robo o fuga de información corporativa

Una fuga puede realizarse mediante USB, correo personal, enlace compartido, almacenamiento cloud, repositorio, mensajería, impresión, acceso remoto o fotografía de pantalla. El análisis no debe buscar una única «prueba mágica». Se correlacionan aperturas de archivos, copias, conexiones, descargas, historiales, accesos y eventos próximos a la salida o conflicto.

La existencia de una memoria USB conectada no demuestra qué se copió. Un archivo en «recientes» no demuestra necesariamente que se enviara. Una descarga desde el CRM puede ser parte del trabajo autorizado. La conclusión surge del conjunto y de las políticas aplicables. El informe distingue hechos, indicios y explicaciones alternativas.

Cuando están implicados secretos empresariales, listados de clientes, diseños, código fuente, tarifas o estrategias, conviene identificar con precisión qué información es confidencial, quién tenía acceso y qué medidas de protección existían. La clasificación jurídica corresponde al abogado; el perito documenta el recorrido digital y el material localizado.

Empleado que borra, formatea o altera el ordenador

Reinstalar el sistema, borrar carpetas, vaciar cuentas o devolver un portátil formateado puede ocultar actividad y destruir información operativa. La empresa debería inmovilizar el equipo, evitar que se reasigne y documentar quién lo entrega. Encenderlo repetidamente o instalar herramientas de recuperación puede modificar fechas y sobrescribir espacio.

El análisis puede estudiar particiones, sistema de archivos, registros, accesos, copias, sincronizaciones, correo y servicios corporativos. Un formateo no implica siempre que los datos sean recuperables, especialmente con cifrado y unidades SSD. Tampoco demuestra por sí solo intención fraudulenta: pudo obedecer a una política de soporte. Se contrastan instrucciones, tickets, fechas y acciones.

Competencia desleal, captación de clientes y actividad paralela

En conflictos por captación de clientes o preparación de una actividad competidora pueden ser relevantes exportaciones de CRM, documentos comerciales, correos, contactos, accesos a carpetas y comunicaciones. La pericial no determina por sí sola si existe competencia desleal. Expone hechos digitales compatibles o incompatibles con las hipótesis planteadas.

Es importante diferenciar información creada por la persona trabajadora, documentación pública, conocimientos profesionales y bases de datos empresariales protegidas. El alcance se acuerda con el abogado para evitar búsquedas indiscriminadas. Cuando el dispositivo es personal, la legitimación y la proporcionalidad requieren especial atención.

Phishing, fraude del CEO y cambio de cuenta bancaria

Los fraudes BEC utilizan buzones comprometidos, dominios parecidos, reglas de correo, hilos falsificados o suplantación de proveedores para solicitar transferencias. El análisis puede incluir cabeceras, autenticación, registros de acceso, reglas, mensajes eliminados, adjuntos, dominios, páginas de phishing y procedimiento interno de aprobación.

No basta con concluir que «el correo era falso». La empresa necesita saber qué cuenta se utilizó, si hubo acceso no autorizado, cuándo apareció la instrucción, qué controles se omitieron y qué evidencia debe solicitarse a proveedores o bancos. La coordinación rápida puede ser decisiva para preservar logs y comunicaciones.

Para estos asuntos puede ampliarse el servicio con la peritación de phishing y fraude informático y la pericial informática de correos electrónicos.

Manipulación de ERP, CRM, bases de datos y asientos contables

Los sistemas de gestión registran usuarios, roles, cambios, exportaciones y operaciones, pero la calidad de la auditoría depende de su configuración. Un mismo usuario puede ser compartido; una integración puede modificar registros automáticamente; una copia restaurada puede alterar la secuencia visible. El perito necesita documentación del sistema, arquitectura, zona horaria y reglas de negocio.

El análisis puede comparar bases de datos, logs, copias, tickets y documentos emitidos para reconstruir altas, bajas o cambios. En un asiento contable, pedido, ficha de cliente o factura, interesa distinguir quién tenía permisos, qué cuenta ejecutó la acción, desde qué origen y si existe una explicación técnica alternativa.

Cuando el conflicto se refiere a que un ERP, CMS, página web o programa a medida no se terminó o no cumple el contrato, se combina la pericial con el servicio de peritación de páginas web, CMS, ERP y software. Se comparan requisitos, entregables, código, repositorios, pruebas, incidencias y porcentaje de ejecución.

Investigación de incidentes, ransomware y accesos no autorizados

La respuesta al incidente busca contener, erradicar y recuperar. La informática forense busca preservar y explicar. Ambas funciones deben coordinarse: aislar un servidor puede ser necesario, pero una reinstalación inmediata puede destruir información sobre el vector de entrada. NIST recomienda integrar técnicas forenses en la respuesta y trabajar con dirección y asesores jurídicos.

Se estudian sistemas afectados, cuentas, logs, tráfico, alertas, correo, vulnerabilidades, persistencia y movimientos laterales. El resultado puede ayudar a clasificar el incidente, valorar alcance, preparar una denuncia, apoyar notificaciones y seleccionar una copia de seguridad anterior al compromiso. INCIBE recomienda proteger las pruebas, documentar quién realiza las copias y conservarlas de manera segura.

Un informe pericial no reemplaza la obligación de notificar una brecha de datos cuando resulte aplicable ni garantiza atribuir el ataque a una persona. La atribución suele exigir información de terceros, cooperación de proveedores y diligencias oficiales. El informe delimita lo observado en las fuentes examinadas.

Equipos corporativos, teletrabajo y dispositivos personales

El portátil o móvil corporativo puede contener información laboral y personal. En teletrabajo se añaden redes domésticas, nubes, dispositivos compartidos y autenticación remota. En BYOD, la empresa no adquiere un derecho general sobre todo el dispositivo personal. Debe definir políticas, finalidades y medidas proporcionadas.

La AEPD recuerda que la relación laboral no permite conocer cualquier dato de la persona trabajadora y destaca el principio de minimización. Las investigaciones deben limitarse a lo pertinente, proteger identidades y aplicar especial cautela en canales internos de denuncia o casos de acoso. El perito ejecuta el alcance acordado; el abogado y la organización determinan la base y estrategia jurídica.

Los artículos 87 de la LOPDGDD y 20 bis del Estatuto de los Trabajadores reconocen derechos vinculados al uso de dispositivos digitales. Antes de analizar correo, navegación o archivos conviene revisar políticas de uso, información facilitada, titularidad, expectativas de privacidad y proporcionalidad de la medida.

Qué debe hacer la empresa ante una sospecha

Fuentes de evidencia en una empresa

Una investigación empresarial rara vez depende de un único ordenador. La actividad se distribuye entre identidad corporativa, correo, almacenamiento, aplicaciones y red. La preservación debe considerar qué sistema es la fuente original, cuánto tiempo conserva registros y qué personas pueden acceder. Una exportación preparada por un administrador puede ser útil, pero debe documentarse y conservar los datos que permitan comprobarla.

El orden de adquisición depende de la volatilidad y del riesgo. La memoria y ciertas conexiones cambian rápidamente; un disco apagado puede conservarse durante más tiempo; un proveedor cloud puede rotar registros en días. No existe una receta idéntica. La empresa debe comunicar qué sistemas son críticos y el perito debe documentar cualquier compromiso entre continuidad y preservación.

Copia forense, cadena de custodia y huellas hash

Una copia forense busca reproducir el contenido del soporte mediante un método controlado y conservar la información necesaria para el análisis. En equipos encendidos puede ser necesario adquirir primero datos volátiles o realizar una colección en vivo. En otros casos se apaga, retira el soporte y obtiene una imagen. La decisión depende del cifrado, servicios activos, riesgo y objeto.

La cadena de custodia registra quién entrega, recibe, almacena y manipula la evidencia. Incluye fechas, identificadores, soportes, ubicaciones y operaciones. No convierte en auténtico todo lo recibido; permite reconstruir el tratamiento desde la intervención y detectar cambios o lagunas.

Un hash es una huella del contenido binario. Si dos adquisiciones tienen la misma huella, se puede comprobar su igualdad. El hash no demuestra por sí solo quién creó un documento, si era verdadero o qué ocurrió antes de calcularlo. Se combina con procedencia, metadatos, sistema de archivos, registros y contexto.

Trabajamos sobre copias de análisis y preservamos la adquisición maestra. Los archivos derivados, capturas, tablas y anexos se identifican. Así el informe puede indicar qué es evidencia original, qué es una exportación realizada por la herramienta y qué elemento ha preparado el perito para facilitar la explicación.

Análisis de línea temporal y reconstrucción de actividad

La línea temporal combina creación, modificación, acceso, inicio de sesión, conexión USB, descarga, envío, cambio de permisos, borrado y otros eventos. Las fechas deben normalizarse porque los sistemas almacenan UTC, hora local, marcas de aplicaciones o tiempos de servidor. Una restauración o sincronización puede modificar fechas sin intención fraudulenta.

Una coincidencia temporal no prueba causalidad. Que se conectara un USB antes de la salida de un empleado no demuestra que copiara una base. Que un archivo se modificara con su cuenta no demuestra necesariamente que lo hiciera personalmente si las credenciales eran compartidas. El informe busca fuentes independientes que se refuercen y declara las hipótesis alternativas.

La cronología puede ser decisiva para demostrar que un documento se creó después de una comunicación, que una exportación precedió a una baja, que un acceso remoto ocurrió fuera de horario o que una cuenta inició sesión desde un origen inesperado. También puede descartar sospechas cuando los datos no coinciden.

Correos, chats y comunicaciones corporativas

Los mensajes deben preservarse preferentemente en su formato original, con cabeceras, identificadores, adjuntos y contexto. Una impresión o PDF puede facilitar la lectura, pero pierde información necesaria para analizar rutas, autenticación y relaciones. En plataformas colaborativas se consideran canales, participantes, exportación, zona horaria y política de retención.

El hecho de que un correo aparezca en un buzón no identifica automáticamente quién lo escribió. Puede existir delegación, cuenta compartida, compromiso o envío automatizado. La atribución exige registros de acceso, dispositivos, autenticación y otros datos. El perito diferencia cuenta emisora, sistema utilizado y persona física.

En investigaciones internas se limita la revisión a periodos, términos, interlocutores y asuntos pertinentes. Los mensajes personales o protegidos por confidencialidad jurídica requieren especial cautela. La selección y comunicación con asesores deben acordarse antes de exportar indiscriminadamente.

Archivos, metadatos, USB y almacenamiento en la nube

Los metadatos pueden indicar aplicaciones, autores declarados, fechas, rutas y versiones, pero son modificables y dependen del formato. El nombre de un usuario en un documento no demuestra autoría personal. La fecha de acceso puede cambiar por antivirus, indexación o copia. Los hallazgos se interpretan junto al sistema y a la actividad registrada.

Los dispositivos USB dejan identificadores y eventos en muchos sistemas, aunque el nivel de detalle varía. Puede determinarse que un dispositivo estuvo conectado y en ocasiones relacionar archivos, pero no siempre existe un registro completo de cada copia. La ausencia de un evento tampoco prueba que nunca se conectara.

Las nubes corporativas conservan versiones, comparticiones, descargas, enlaces y auditoría según plan y configuración. Conviene preservar con rapidez porque la retención puede ser limitada. Un enlace público, una cuenta sincronizada o una carpeta personal puede explicar la salida de datos, pero deben distinguirse sincronización automática y acción deliberada.

Peritaciones laborales: derechos y proporcionalidad

La empresa puede tener motivos legítimos para investigar un incumplimiento, pero debe coordinar la intervención con asesoramiento laboral y de protección de datos. El Estatuto de los Trabajadores reconoce derechos de intimidad en el entorno digital y la LOPDGDD regula el acceso a contenidos de dispositivos facilitados por el empleador. Las políticas y la información previa influyen en la expectativa de privacidad.

La AEPD subraya que la ejecución del contrato no permite conocer cualquier dato de la plantilla. Se aplican finalidad, minimización, confidencialidad y proporcionalidad. Una investigación debe evitar revisar fotografías familiares, salud o conversaciones privadas cuando no guardan relación. En canales de denuncias se protege la identidad y se restringe el acceso.

El informe técnico describe el material examinado y los filtros aplicados. No concluye automáticamente que una conducta justifique un despido ni determina su licitud; esas decisiones corresponden a la empresa, al abogado y, en su caso, al tribunal. Un método prudente reduce el riesgo de que la prueba sea impugnada.

Investigaciones internas y canal de denuncias

Una denuncia puede referirse a fraude, acoso, corrupción, conflicto de interés o manipulación. Antes de acceder a sistemas se establece un protocolo: responsables, confidencialidad, conservación, conflicto de interés y comunicaciones. La persona investigada no debería administrar las únicas fuentes de evidencia.

El perito puede actuar de forma independiente, preservar buzones o equipos y presentar hallazgos a un comité limitado. Los nombres se minimizan cuando no son necesarios y se diferencian hechos técnicos de testimonios. Si aparecen indicios de delito o una brecha, el equipo jurídico valora notificaciones y autoridades.

La documentación de decisiones es tan importante como el análisis. Permite explicar por qué se examinó una fuente, qué criterio de búsqueda se empleó, quién autorizó y qué información se excluyó. Esto protege tanto a la empresa como a las personas afectadas.

Daño emergente, lucro cesante y valoración del impacto

Un incidente puede causar gastos de restauración, horas improductivas, pérdida de ventas, penalizaciones, honorarios, sustitución de equipos y deterioro de datos. La informática forense ayuda a determinar qué sistemas estuvieron afectados, cuándo comenzó y terminó la indisponibilidad y qué acciones fueron necesarias. La valoración económica requiere documentación contable y, según el caso, colaboración con un perito económico.

No toda caída implica que todas las ventas previstas se perdieran por el incidente. Se necesitan métricas anteriores, estacionalidad, alternativas de operación y causalidad. El perito informático aporta tiempos, alcance técnico y registros; la cuantificación debe evitar duplicidades y escenarios especulativos.

En contratos tecnológicos puede valorarse el porcentaje de desarrollo, funcionalidades entregadas, defectos, imposibilidad de uso y costes razonables de completar o corregir. Se comparan contratos, requisitos, versiones, repositorios, despliegues y pruebas de aceptación.

Contrapericial informática para empresas

La empresa también puede recibir un informe de la otra parte. Una contrapericial revisa adquisición, cadena de custodia, herramientas, fechas, selección de datos, interpretación y si las conclusiones exceden los resultados. No se limita a criticar; identifica qué puntos son reproducibles y cuáles necesitan aclaración.

Puede descubrir que se analizó una copia no identificada, que faltan logs, que se confunde cuenta con persona, que las zonas horarias no coinciden o que una captura carece de continuidad. También puede confirmar partes del informe contrario y centrar la discusión en lo realmente controvertido.

Consulte el servicio de informe contrapericial informático si necesita revisar una prueba presentada en un procedimiento laboral, mercantil o penal.

Proceso de una peritación informática empresarial

Qué debe incluir el informe pericial

• Objeto del encargo y preguntas concretas.
• Antecedentes proporcionados, diferenciados de hechos comprobados.
• Fuentes recibidas, custodios e identificadores.
• Métodos de preservación, adquisición y herramientas relevantes.
• Hashes, versiones, fechas y zonas horarias cuando corresponda.
• Resultados organizados por cuestión, sistema o cronología.
• Anexos suficientes para comprobar los hallazgos sin exponer datos innecesarios.
• Hipótesis alternativas y limitaciones técnicas.
• Conclusiones proporcionales a la evidencia.
• Declaración de objetividad y disponibilidad para ratificación.

Un informe no mejora por incluir miles de pantallas. Debe permitir seguir la ruta desde la fuente hasta la conclusión. Las exportaciones extensas pueden entregarse como anexos controlados, mientras el cuerpo explica lo relevante. Si un dato no puede determinarse, se dice; la incertidumbre bien localizada evita conclusiones engañosas.

Preparación preventiva: estar listo antes del conflicto

La empresa puede mejorar mucho su capacidad probatoria antes de sufrir un incidente. No se trata de vigilar permanentemente a la plantilla, sino de definir políticas comprensibles, responsables, conservación de registros y procedimientos para inmovilizar equipos. Si nadie sabe quién debe actuar, los primeros minutos suelen consumirse en decisiones contradictorias.

Conviene inventariar sistemas críticos, propietarios de datos, administradores, tiempos de retención y proveedores. Los registros deben mantener una hora fiable y suficiente detalle. Las cuentas compartidas reducen la capacidad de atribución; los privilegios excesivos amplían el riesgo; y las copias conectadas permanentemente pueden resultar afectadas por ransomware. Estas carencias pueden aparecer durante la pericial y dificultar las conclusiones.

Un protocolo interno puede indicar a quién avisar, qué no debe borrarse, cómo custodiar un portátil devuelto, quién autoriza una exportación de correo y cómo coordinar seguridad, jurídico y RR. HH. También debe prever fines de contrato, devolución de equipos, revocación de accesos y conservación proporcional cuando existe una reclamación previsible.

La preparación no sustituye la investigación independiente. Ayuda a que las fuentes existan y puedan explicarse. Después del caso, las lecciones aprendidas se convierten en mejoras: retención de logs, doble factor, segregación, alertas de exportación, revisión de cuentas, formación frente a phishing y procedimientos de aprobación. La pericial aporta conocimiento no solo para el juicio, sino para reducir la repetición del incidente.

Vídeo: cómo certificar un robo de datos en la empresa

En nuestro canal de YouTube explicamos cómo se aborda la certificación de una posible sustracción de información empresarial y por qué la preservación inicial condiciona el resultado.

Preguntas frecuentes sobre peritaciones informáticas para empresas

Servicios relacionados y atención territorial

La investigación puede requerir análisis forense de móviles, correos, páginas web, redes sociales, imágenes, audio, ERP o software. Consulte todos los servicios de GlobátiKa Peritos Informáticos. Para atención territorial dispone también de Perito Informático Málaga y Perit Informàtic Catalunya.

Fuentes públicas consultadas