Cuando una empresa enfrenta una disputa o investigación interna con evidencia digital — mensajes de correo, archivos copiados en un USB, logs de acceso a sistemas, imágenes de discos — la primera reacción suele ser llamar al técnico de confianza. El mismo que repara equipos, configura la VPN y resuelve los apagones del servidor. Es lógico. Es un error.
Un técnico de TI y un especialista en informática forense comparten vocabulario y muchas herramientas. Pero operan bajo paradigmas completamente distintos. El técnico trabaja para que los sistemas funcionen. El analista forense trabaja para que la evidencia quede documentada con metodología rigurosa, cadena de custodia intacta y hallazgos técnicamente reproducibles. Intervenir los datos originales sin metodología forense — incluso con las mejores intenciones — puede destruir la cadena de custodia e inutilizar toda la evidencia.
Esta guía está pensada para dos audiencias: empresas que sospechan que tienen un caso con evidencia digital y no saben cómo proceder, y abogados o asesores internos que necesitan entender qué puede y qué no puede hacer un informe técnico forense.
El técnico TI vs el especialista forense — no son lo mismo
La distinción no es de nivel ni de expertise. Es de propósito. Un neurocirujano y un médico forense estudian medicina; uno opera para sanar, el otro examina para documentar. Ninguno reemplaza al otro en su campo.
| Técnico TI | Especialista en Informática Forense | |
|---|---|---|
| Objetivo | Reparar / configurar sistemas | Documentar hallazgos con metodología forense rigurosa |
| Trabaja sobre | El equipo o archivo original | Copia forense verificada (imagen bit a bit) |
| Cadena de custodia | No aplica | Obligatoria y documentada desde el primer contacto |
| Entregable | Reporte técnico interno | Informe técnico forense riguroso y reproducible |
| Utilidad en disputas e investigaciones | Limitada — sin metodología forense documentada | Alta — informe técnico riguroso que tu asesor puede integrar a su estrategia |
| Rigor del entregable | Reporte interno, sin cadena de custodia formal | Metodología documentada, reproducible y verificable |
El problema más frecuente que enfrentamos no es la falta de evidencia — es que la evidencia ya fue contaminada. Alguien encendió el equipo, copió archivos a un pendrive, o dejó que el equipo de soporte hiciera una "revisión rápida" antes de que el asesor evaluara el caso. Con esas acciones, la posibilidad de producir un informe técnico forense sólido se reduce dramáticamente.
¿Cuándo necesitas un especialista en informática forense?
No todos los conflictos que involucran tecnología requieren análisis forense formal. Pero hay seis escenarios donde un informe técnico forense es prácticamente indispensable:
- Empleado que se fue con información de la empresa. Archivos copiados, bases de datos descargadas, correos enviados a cuentas personales antes de renunciar. El analista forense puede determinar qué se copió, cuándo, en qué dispositivo y quién lo hizo — o descartar que ocurrió.
- Mensajes o correos cuya autenticidad está en disputa. La contraparte presenta capturas de pantalla de conversaciones de WhatsApp, correos con fechas convenientes o documentos que "recibió" pero que no existen en los servidores. Un analista forense puede verificar metadatos, cabeceras de correo y coherencia técnica de los archivos.
- Acceso no autorizado a tus sistemas. Sospechas que alguien entró a tu red, a tu correo corporativo o a tu ERP sin permiso. El analista forense examina logs, bitácoras de acceso y artefactos del sistema operativo para reconstruir el quién, el cuándo y el cómo.
- Hackeo o ransomware que necesitas documentar. Para reportar ante seguros, proveedores, autoridades o socios, necesitas un informe técnico forense que describa el vector de ataque, el alcance del daño y el estado de tus medidas de seguridad al momento del incidente.
- Proveedor TI que no cumplió lo pactado. Implementaste un sistema a la medida y no funciona como se contrató. El analista forense puede contrastar el entregable real contra las especificaciones técnicas del contrato y cuantificar el incumplimiento.
- La contraparte ya presentó un informe técnico forense. Es el escenario que más sorprende a las empresas: la otra parte llegó primero con su especialista y ya hay un informe en el expediente. En ese caso, necesitas una revisión técnica de ese informe — una segunda opinión forense que analice la metodología y conclusiones del especialista contrario y presente una perspectiva técnica alternativa o detecte deficiencias en la cadena de custodia.
Cómo funciona el proceso de análisis forense digital en México
El proceso tiene cinco etapas. Cada una es necesaria; ninguna puede omitirse si el objetivo es producir un informe técnico forense riguroso y útil para el caso.
- Consulta inicial. El abogado o la empresa describe el caso, el tipo de evidencia disponible y el objetivo del análisis. En esta etapa se evalúa la viabilidad del análisis forense y se define el alcance. Un especialista serio también señala aquí si el caso no requiere análisis forense formal.
- Recepción de evidencia con acta. Los dispositivos o accesos se reciben con acta notariada o protocolo de cadena de custodia documentado. Se registra el estado físico del equipo, se toman fotografías y se genera el registro de recepción que formará parte del informe técnico forense. A partir de este momento, el equipo original no vuelve a tocarse.
- Generación de la copia forense. Con herramientas especializadas (FTK Imager, dd forense, Cellebrite para dispositivos móviles) se genera una imagen bit a bit del dispositivo. Se calculan hashes MD5 y SHA-256 que garantizan que la copia es idéntica al original. Todo el análisis posterior se realiza sobre esta imagen — nunca sobre la evidencia original.
- Análisis técnico. El analista forense examina la imagen forense buscando los artefactos relevantes para el caso: archivos borrados, historial de acceso, metadatos de documentos, registros del sistema operativo, artefactos de navegación, comunicaciones almacenadas. Los hallazgos se documentan con capturas y referencias técnicas verificables.
- Informe técnico forense y coordinación con el abogado. Se redacta el informe técnico con introducción, metodología, análisis, conclusiones y respuesta a las preguntas técnicas planteadas por el abogado. El especialista queda disponible para aclarar el informe, responder preguntas técnicas de las partes y, en su caso, apoyar al abogado con una revisión técnica del informe contrario. El informe es un documento riguroso y reproducible que el abogado puede integrar a su estrategia.
La metodología que hace sólido el informe técnico forense
Un informe técnico forense puede ser técnicamente impecable pero perder toda su utilidad si la metodología no está documentada. La diferencia está en el rigor del proceso.
La cadena de custodia es el registro ininterrumpido de quién tuvo acceso a la evidencia, cuándo, con qué propósito y qué se hizo con ella. Si hay un salto en ese registro — un momento en que la evidencia estuvo "en algún lado" sin documentación — la contraparte puede argumentar alteración. No importa que nada se haya alterado realmente.
El hash de verificación es la firma matemática de la evidencia. Antes del análisis, se calcula el hash del dispositivo original y de la copia forense. Si ambos coinciden, queda demostrado criptográficamente que la copia es idéntica al original y que no se ha modificado ningún bit durante el proceso. Al final del análisis, se recalcula el hash de la copia para demostrar que tampoco fue alterada durante el trabajo de análisis.
La copia forense bit a bit no es lo mismo que un respaldo convencional. Un respaldo copia los archivos activos y visibles. La imagen forense copia todos los sectores del disco — incluyendo sectores con archivos borrados, espacio no asignado y artefactos del sistema que un respaldo normal ignora. Es en esas áreas donde frecuentemente vive la evidencia más relevante.
¿Para qué materias aplica la informática forense?
La informática forense opera en todas las materias donde existe evidencia digital relevante. Las tres más frecuentes en el contexto empresarial mexicano:
Civil
Una empresa de manufactura sospecha que su ex director comercial descargó la base de clientes completa antes de renunciar y la llevó a la competencia. El analista forense examina los equipos corporativos, los registros del servidor de archivos y las conexiones de red para determinar si hubo extracción de información, qué volumen y en qué fechas. El informe técnico forense sirve como base documental para la estrategia interna y la reclamación por daños y pérdidas.
Laboral
Un empleado es despedido por "uso indebido de equipos de la empresa" y demanda reinstalación argumentando que la acusación es falsa. La empresa necesita acreditar que los equipos asignados al trabajador se utilizaron para actividades prohibidas (descarga de archivos personales, acceso a plataformas de la competencia, envío de información confidencial). El informe técnico forense documenta los hechos de forma reproducible y puede determinar horarios, frecuencias y volúmenes de uso.
Penal
Una empresa sufre un ataque de ransomware que cifra sus servidores y paraliza operaciones. El atacante exige pago en criptomonedas. Para activar una investigación interna y documentar el incidente, se requiere un informe técnico que documente el vector de entrada, las horas del ataque, los sistemas comprometidos y el impacto operativo. Sin ese informe, la denuncia carece de sustento técnico verificable.
Preguntas que hacen los abogados antes de contratar un especialista en informática forense
Estas son las preguntas más frecuentes que recibimos de despachos y abogados litigantes:
¿Cómo se coordina el análisis con mi abogado?
El especialista trabaja directamente con el abogado para entender qué preguntas técnicas necesita responder el informe. Una vez entregado el informe, el especialista queda disponible para aclarar terminología, responder preguntas técnicas de las partes y, si la contraparte presenta su propio informe forense, hacer una revisión técnica de ese documento para identificar debilidades metodológicas o deficiencias en la cadena de custodia.
¿Cuánto tiempo toma el proceso?
Depende del volumen de evidencia y la complejidad del caso. Un análisis forense sobre un solo equipo de cómputo con un objetivo acotado puede resolverse en dos a tres semanas. Un caso con múltiples dispositivos, servidores y análisis de comunicaciones puede tomar uno a dos meses. Lo importante es no iniciar sin la cadena de custodia correcta — la velocidad no puede ir antes de la metodología.
¿Cómo se estructura el cobro?
Los honorarios generalmente se estructuran en dos momentos: una estimación inicial tras la consulta y revisión del caso, y ajustes según el volumen real de evidencia analizada. El análisis forense y el apoyo técnico posterior al abogado tienen honorarios distintos. No existe un arancel oficial obligatorio — cada especialista determina sus tarifas, pero los honorarios deben quedar claramente documentados.
¿Qué sucede si la contraparte también presenta un informe técnico forense?
Es el escenario más frecuente en casos con evidencia digital relevante. En ese caso, el especialista puede hacer una revisión técnica del informe contrario — analizando su metodología, la solidez de su cadena de custodia y la coherencia de sus conclusiones — y entregar al asesor un documento con los hallazgos de esa revisión para que los integre a su estrategia.
Ofrecemos servicios de análisis forense digital para empresas y despachos: preservación de evidencia, imagen forense verificada, análisis técnico e informe forense riguroso y reproducible. Primera consulta sin costo para evaluar la viabilidad del caso y el estado de la evidencia.