Lo que el abogado necesita saber antes de contratar a un perito en informática forense

La prueba digital decide un número creciente de disputas. Cuando el caso involucra mensajes, sistemas, registros de conexión o dispositivos, la tesis jurídica queda condicionada a lo que el examen pericial logra demostrar. Y la evidencia digital tiene una característica que cambia el cálculo del abogado: la volatilidad. Una publicación borrada, un registro expirado, un disco encendido sin bloqueador de escritura, y lo que sería prueba simplemente deja de existir.

Por eso la contratación del perito no es una decisión operativa, para resolverse después de la demanda. Es una decisión estratégica, tomada en el primer contacto con el caso, y con efectos frecuentemente irreversibles: el error cometido en la recolección no se corrige en el dictamen, ni en instancia de apelación.

Por qué la elección del perito cambia el resultado

La criminalística distingue tres conceptos que todo abogado expuesto a la prueba digital necesita dominar: vestigio, evidencia e indicio. Vestigio es todo lo que existe en el entorno examinado: archivos, logs, metadatos, registros de sistema. Evidencia es el vestigio recolectado con método y analizado. Indicio es la evidencia que, verificada, mantiene vínculo con el hecho investigado. Hay procesos que naufragaron porque esa cadena fue ignorada: material bruto entró al expediente como si fuera indicio, sin recolección válida, y la prueba no resistió el contradictorio.

El detalle técnico decide el caso. En una investigación de autoría examinada en pericia, el proveedor de acceso respondió al oficio judicial cambiando el final de la dirección IP: el registro correcto terminaba en 208, la respuesta indicó 205. La diferencia colocó como demandado en una acción de 400 mil reales a un trabajador que nada tenía que ver con el hecho. El examen pericial identificó el cambio. Lo mismo vale para el huso horario: registros entregados en UTC y leídos como GMT-3 desplazan la conexión en horas y señalan al abonado equivocado. Y en direcciones IPv4 compartidas, decenas de usuarios comparten la misma IP en el mismo instante; sin los puertos lógicos y sin la exclusión de falsos positivos, la investigación alcanza al titular equivocado de la conexión. El perito que domina esos detalles protege al cliente de acusar a un inocente y de responder por ello.

Qué verificar antes de contratar

Cuatro puntos separan al perito calificado del profesional de TI que también emite dictámenes. Primero, formación real en la materia: la informática forense exige profundidad en tecnología, base sólida en derecho y compromiso con la deontología forense. Verifique formación específica en el área, docencia, publicaciones y actuación ante los tribunales, no solo años de experiencia en infraestructura o soporte.

Segundo, método documentado: el procedimiento debe ser escrito, repetible y verificable, con herramientas forenses reconocidas, no con el explorador de archivos del sistema operativo. Tercero, cadena de custodia: la recolección correcta usa duplicación forense bit a bit, bloqueadores de escritura y registro de cada interacción con el material, porque copiar archivos a un pendrive no es preservación, es contaminación. Cuarto, dictámenes anteriores: pida ejemplares anonimizados y evalúe claridad, fundamentación e historial de defensa en contradictorio.

Preguntas para hacer antes de cerrar la contratación

• ¿Cuál es la formación específica en informática forense, además de la experiencia en tecnología?
• ¿Qué método y herramientas se emplearán, y en qué documento quedará registrado?
• ¿Cómo se preservará la cadena de custodia: duplicación forense, hash, bloqueo de escritura, registro de accesos?
• ¿Existen dictámenes anteriores anonimizados disponibles para lectura?
• ¿El trabajo ya fue sometido a contradictorio y defendido ante el juez?
• ¿Cómo trata el examen los falsos positivos y las hipótesis alternativas de autoría?

Las respuestas importan menos por la jerga y más por la postura: el perito serio explica el método antes de hablar de resultados. Desconfíe de quien anticipa una conclusión sin examinar el material.

Tres errores que comprometen el caso antes de la pericia

El primero es contratar tarde. Los registros de conexión y de aplicación tienen un plazo legal de conservación, y los proveedores responden con frecuencia que el dato ya no existe. En un caso de ofensas graves publicadas en una red social, con amenazas que exponían la dirección, la rutina y el vehículo de la víctima, la única medida tomada fue la captura de pantalla. El autor borró las publicaciones antes del inicio de la acción, y no quedó evidencia técnica que examinar.

El segundo es dejar la recolección en manos del área de TI interna. En un caso laboral, un ejecutivo fue despedido por justa causa bajo la acusación de acceder a contenido indebido en la computadora de la empresa. Para verificar la denuncia, el equipo de TI encendió la máquina, escribió sus propios términos de búsqueda e hizo clic en los resultados. La pericia judicial identificó que las evidencias habían sido creadas por el propio equipo de TI después de la entrega del equipo. Resultado: despido revertido, salarios adeudados e indemnización. El área de TI interna resuelve incidentes; no preserva prueba.

El tercero es aceptar la captura de pantalla como prueba. La captura puede editarse y no lleva los metadatos que vinculan contenido, origen y tiempo. Sirve como referencia de lo que existió, no como demostración técnica. La preservación válida exige recolección con método, registro íntegro del contenido y valor de hash que permita verificar que nada fue alterado.

Cuándo entra el asistente técnico

Los mismos criterios de elección valen cuando ya existe una pericia ordenada en el expediente o un dictamen adverso producido. En esa fase, el perito actúa como asistente técnico: formula cuestionarios periciales a partir del análisis real de las evidencias, acompaña el trabajo del perito judicial y señala fallas de método y de cadena de custodia que fundamentan la impugnación. El máximo rendimiento, sin embargo, está en la fase anterior a la demanda, cuando el análisis técnico todavía orienta lo que debe y lo que no debe entrar al expediente. Esa actuación está detallada en la página para abogados.

El costo de equivocarse

Equivocarse en la elección cuesta más que los honorarios. Cuesta la prueba que dejó de existir, la acción perdida por falta de soporte técnico, la condena por señalar a la persona equivocada, el despido por justa causa revertido con indemnización. El camino seguro cabe en una frase: involucrar al perito antes de iniciar el proceso, exigir método documentado y rechazar la recolección improvisada. Para evaluar un caso concreto, el núcleo de informática forense realiza una consulta inicial de viabilidad sin costo.