01
Control de evidencia digital e informática forense
Qué se revisa en chats, cuentas, archivos y dispositivos: preservación, autenticidad, autoría, metadatos, extracción, trazabilidad y contexto.
Evidencia digital · Metadatos · Autoría
Control de evidencia digital
e informática forenseQué se revisa en chats, cuentas, archivos y dispositivos: preservación, autenticidad, autoría, metadatos, extracción, trazabilidad y contexto.
¿La causa depende de pericias, mensajes, actas o evidencia técnica?
Revisamos jurisdicción, etapa, documentación, prueba y próxima fecha antes de definir el paso siguiente.La información del sitio es general: cada planteo depende del expediente y del régimen aplicable.
Objeto de pruebaMetodologíaTrazabilidadContradicción técnica
Guía del tema
Control de evidencia digital: la guía por ejes
Este capítulo ordena 7 ejes que se complementan entre sí. Cada uno responde una pregunta concreta de la causa, y el índice permite ir directo al punto que interesa.
Fuentes y soportes
La información puede encontrarse en teléfonos, computadoras, soportes externos, cuentas, copias de seguridad, servicios remotos, registros de acceso, operadores o terceros. Cada fuente tiene disponibilidad, alcance y problemas propios. El material debe obtenerse legalmente y preservarse sin alteraciones innecesarias.
La identificación del dispositivo o cuenta y la relación con una persona son cuestiones distintas. También debe diferenciarse creación, envío, recepción, reenvío, almacenamiento y acceso.
Preservación prudente
Conservar el archivo original, el dispositivo, la cuenta, la fecha, el contexto y cualquier exportación disponible puede ser útil. No conviene editar conversaciones, recortar selectivamente, reinstalar sistemas, borrar información ni manipular un equipo secuestrado.
Cuando el material pertenece a un tercero o contiene información sensible, la defensa debe evaluar el canal y el alcance antes de copiarlo o presentarlo. La preservación no autoriza accesos indebidos.
Autenticidad, integridad, autoría y contexto
Autenticidad pregunta si el material es lo que se afirma; integridad, si se mantuvo completo; autoría, quién realizó la acción; contexto, qué ocurrió antes y después; significado, qué inferencia puede sostenerse. Una pericia puede responder algunos aspectos y dejar otros abiertos.
Metadatos, registros, ubicación, actividad de cuenta, testimonios, documentación y patrones pueden combinarse. Ningún indicador debe presentarse como infalible sin explicar sus límites.
Extracción y análisis forense
El flujo puede incluir secuestro o entrega, identificación, preservación, copia, extracción, selección, análisis e informe. La defensa controla herramientas, versión, parámetros, material, filtros, omisiones y posibilidad de reproducción o contradicción.
Una extracción amplia puede incluir datos ajenos al objeto. Según el caso, pueden discutirse límites, confidencialidad, acceso de las partes, devolución o eliminación de copias, dentro del régimen aplicable.
Uso en investigación y juicio
Durante la IPP se preserva y controla; en juicio se incorpora y explica ante el órgano decisor. La presentación debe relacionar cada registro con un hecho y evitar volcar grandes cantidades de información sin una hipótesis clara.
Este tema se relaciona con ciberdelitos, estafas, amenazas, delitos contra la integridad sexual, prueba pericial y nulidades. Su carácter transversal permite aplicar los mismos criterios técnicos a distintas clases de imputación.
Adquisición, preservación y lectura de evidencia digital
La evidencia digital no se reduce a una captura. Puede incluir dispositivos, cuentas, respaldos, registros de acceso, metadatos, archivos, comunicaciones y datos entregados por terceros. Para evaluar integridad y autenticidad conviene conocer quién obtuvo el material, con qué autorización, qué herramienta utilizó, qué copia produjo y cómo documentó cada transferencia.
Las funciones hash pueden ayudar a identificar una copia, pero no resuelven por sí solas autoría, contexto o significado. Un dispositivo puede ser compartido; una cuenta puede recibir accesos de terceros; un horario puede depender de zona y configuración. La pericia debe diferenciar el dato técnico de la inferencia sobre la persona o el hecho.
Cuando la obtención proviene de un allanamiento, interceptación, requisa o acceso a una cuenta, también se controla la medida intrusiva: autoridad, fundamento, alcance temporal y material, minimización, ejecución y registro. La discusión puede involucrar admisibilidad, valoración o necesidad de una nueva medida, según el perjuicio y el régimen.
- Orden o consentimiento y alcance autorizado.
- Acta, inventario e identificación del soporte.
- Copia forense, herramienta, versión y hash informado.
- Informe, anexos, zona horaria y limitaciones.
Tres preguntas antes de mover un solo archivo
Antes de copiar, exportar o entregar material conviene responder de dónde sale, quién lo tiene y por qué canal viajará. Esas respuestas condicionan el valor de lo que llegue al expediente.
El primer error suele ser de orden, no de tecnología: se reenvía una conversación, se cambia de teléfono o se comparte un archivo por un canal abierto antes de saber si ese material ya está en la causa.
La primera pregunta es la fuente. Un mensaje puede existir en el equipo del remitente, en el del destinatario, en una copia de seguridad y en los registros del servicio; cada ubicación conserva datos distintos y se obtiene por vías distintas. Identificar cuál está disponible evita pedir lo que no existe o perder lo que sí.
La segunda es la tenencia. Un equipo compartido, una cuenta con sesión abierta en varios dispositivos o una línea a nombre de otra persona cambian la discusión sobre autoría. Anotar quién usa qué, desde cuándo y con qué acceso es un dato que la defensa necesita antes de que lo pregunte la fiscalía.
La tercera es el canal. Durante la investigación penal preparatoria el material puede ingresar por secuestro, entrega voluntaria, oficio a un operador o pericia; cada vía tiene consecuencias sobre alcance, privacidad y posibilidad de control. Elegirla es una decisión de estrategia de defensa penal, no un trámite.
Qué prueba cada fuente y dónde suele fallar
Una misma conversación puede llegar a la causa como exportación, extracción forense o respuesta de un operador. Cada formato acredita algo distinto y exige un control propio.
| Prueba | Origen | Qué puede acreditar | Qué debe controlarse |
|---|---|---|---|
| Exportación de chat aportada por una parte | La propia persona la genera desde su equipo y la entrega o la presenta en la causa | Que en esa cuenta existían esos mensajes al momento de exportar | Completitud del hilo, fecha de exportación, edición posterior y cotejo con el dispositivo de origen |
| Extracción forense del dispositivo | Laboratorio o gabinete con herramienta forense sobre un equipo secuestrado o entregado | Contenido almacenado, elementos borrados recuperables y registros de actividad del equipo | Hash de la imagen, herramienta y versión, categorías y período extraídos frente a lo autorizado, zona horaria |
| Registros de operador o plataforma | Respuesta a un oficio judicial o fiscal sobre una línea, una cuenta o una dirección IP | Titularidad declarada, conexiones, fechas y datos de tráfico según lo requerido | Período pedido frente al respondido, formato de la respuesta y diferencia entre titular y usuario efectivo |
| Metadatos de un archivo | Datos embebidos en fotos, videos o documentos, o registrados por el sistema operativo | Fecha de creación o modificación, dispositivo de origen y, a veces, ubicación | Se alteran al copiar, reenviar o convertir; dependen de la configuración del equipo y pueden faltar |
| Datos de ubicación y antenas | Registros de red del operador o del propio dispositivo | Aproximación del lugar donde estaba el equipo en un momento dado | Radio de cobertura, precisión declarada y quién portaba el equipo en ese momento |
Las filas describen posibilidades, no resultados. Qué puede pedirse, con qué alcance y con qué participación de la defensa depende del código procesal de la jurisdicción y de la autorización concreta dictada en la causa.
Lista de control para una copia forense y su informe
El control técnico se ejerce en tres momentos: al preservar, al copiar y al leer. El primer grupo reúne lo que la persona puede registrar por sí misma; los otros dos, verificaciones que la defensa pide o documenta ante la fiscalía o el laboratorio.
Al preservar el soporte
- Registrá si el equipo fue apagado, aislado de red o quedó encendido al secuestrarse
- Verificá que marca, modelo, número de serie y línea coincidan con el acta
- Guardá la copia del acta, si te la entregaron: ahí deberían constar el precinto y quién queda a cargo del equipo
- Anotá si se solicitaron claves y qué se respondió
Al producir la copia
- Solicitar que las operaciones se hagan sobre una imagen y no sobre el equipo original
- Identificar herramienta, versión y perfil de extracción utilizados
- Comparar el hash informado de la imagen con el de la copia que se obtenga para las partes, si el régimen y la resolución lo permiten
- Confrontar categorías y período extraídos con la orden que autorizó la medida
- Dejar asentadas las observaciones del perito de parte, si intervino
Al leer el informe
- Separar el dato técnico de la inferencia sobre quién actuó
- Controlar zona horaria y formato de fecha en cada tabla
- Identificar qué no pudo recuperarse y por qué
- Contrastar los registros del equipo con la respuesta del operador
- Confirmar que cada conclusión responda a un punto de pericia
Respuestas sobre Evidencia digital e informática forense
Información general para comprender la consulta. La estrategia concreta requiere revisar la causa, la prueba y la jurisdicción.
Puede aportar información, pero su valor depende de autenticidad, contexto, autoría, integridad y modo de incorporación.
Depende de la orden, el régimen y la estrategia. No existe una respuesta universal; se debe revisar la documentación.
Datos asociados a un archivo o actividad que pueden informar fechas, origen, características o procesamiento, con límites según la fuente.
Puede investigarse mediante registros y contexto, pero titularidad y uso efectivo no siempre coinciden.
Depende del dispositivo, estado, acceso legal, tecnología y alcance autorizado. No debe prometerse un resultado.
No editarlos, borrarlos, recortarlos sin conservar originales ni acceder a cuentas ajenas.
Revisando fuente, alcance, herramienta, procedimiento, filtros, registros, integridad, informe y posibilidad de contradicción.
Acta de secuestro o entrega, informe, anexos, identificación del dispositivo/cuenta y archivos originales disponibles por canal seguro.
No necesariamente. Deben revisarse origen, integridad, contexto, autoría, método de obtención y posibilidad de contradicción. Cuando existe un soporte original, conviene preservarlo sin alterar su contenido ni sus metadatos.
Debe identificar el objeto examinado, material recibido, método, operaciones, resultados y límites. También importa si hubo control de las partes y si las conclusiones responden realmente a los puntos sometidos a análisis.
Revisión de evidencia digital
Qué enviar cuando hay un dispositivo o una extracción en juego
Con el acta de secuestro y el informe de extracción puede evaluarse alcance, integridad y qué pedidos corresponden en la etapa actual.
No hace falta enviar el contenido de las conversaciones para una primera lectura: los documentos del procedimiento alcanzan para ubicar la causa y el estado del material. Indicá la jurisdicción, si el equipo sigue secuestrado y si hay una fecha próxima. La orientación inicial no sustituye la revisión del expediente. La evidencia digital se pierde rápido: la defensa penal tiene que pedir su preservación de inmediato.
Los archivos con contenido personal o de terceros se comparten solo por el canal acordado; no los cargues en formularios públicos ni los reenvíes por grupos.