El comunicado llega al área jurídica casi siempre con la misma frase: los datos se filtraron, hay que descubrir quién invadió. En una parte relevante de los casos, nadie invadió. La información salió por la puerta principal, con credencial, login válido y contraseña propia. El informe Cost of Insider Risks, del Ponemon Institute, estimó en 2025 un costo promedio anual de US$ 17,4 millones por organización para gestionar incidentes de origen interno. El Data Breach Investigations Report, de Verizon, señala que cerca del 60% de las violaciones de datos involucran el elemento humano. Los números confirman lo que la práctica pericial observa desde hace años: el insider no es la excepción, es una hipótesis obligatoria. Toda investigación seria de una filtración necesita probar, con método, la posibilidad de que el origen esté dentro de casa antes de apuntar hacia afuera.
El derecho ya mapeó las consecuencias: LGPD, despido por justa causa, responsabilidad civil, comunicación a la autoridad. Todas dependen de un hecho demostrado. Y el hecho, en un entorno digital, se demuestra por vestigios. Es en ese punto donde el trabajo jurídico se encuentra con el trabajo técnico.
Los rastros que deja el colaborador
Todo acceso deja registro. Los logs de autenticación muestran quién entró, cuándo, desde qué máquina y por qué red. Las pistas de auditoría de los sistemas de gestión registran consultas, exportaciones y reportes generados. El sistema operativo de la estación de trabajo guarda artefactos de cada dispositivo USB conectado: modelo, número de serie, fecha y hora de la conexión, además de vestigios de los archivos manipulados. Los servidores de correo registran reenvíos hacia cuentas personales; los registros de red documentan cargas a servicios en la nube; los servidores de impresión guardan el historial de lo que se envió al papel.
Hay un límite que la honestidad pericial exige declarar: la fotografía de la pantalla tomada con el celular personal no genera registro en el entorno corporativo. En esos casos, el examen se desplaza del acto de captura al comportamiento a su alrededor. Consultas en volumen atípico, accesos a registros sin relación con la función, sesiones en horarios inusuales y navegación secuencial por bases de datos forman, correlacionados en el tiempo, el indicio que la captura aislada intentó esconder.
Cómo el rastro se convierte en prueba
El rastro solo se convierte en prueba cuando se preserva con método, y la preservación debe ocurrir antes de cualquier confrontación con el sospechoso. El procedimiento comienza con la imagen forense de la estación de trabajo y la copia de los logs relevantes, ambas autenticadas mediante código hash que comprueba la integridad. Sobre el material preservado, el examen reconstruye la línea de tiempo: qué fue accedido, exportado, conectado, enviado y borrado, evento por evento. La fuerza del resultado está en la correlación de fuentes independientes: cuando el log del sistema, el artefacto de la estación y el registro de red apuntan al mismo evento, la conclusión resiste el contradictorio.
"La prueba de la filtración interna nace en los primeros minutos de la sospecha. Lo que la empresa hace antes de la confrontación define lo que logra demostrar después."
La prueba por los errores idénticos
Una técnica recurrente en casos de competencia desleal merece destacarse. Toda base de clientes carga imperfecciones: un apellido mal escrito, una dirección desactualizada, un dígito cambiado. Cuando la base filtrada reaparece en el competidor, quien la recibió rara vez rehace el trabajo, y los mismos errores reaparecen, en las mismas posiciones. La coincidencia de errores idénticos entre la base de origen y la base encontrada en el destino demuestra el reaprovechamiento con altísimo grado de certeza técnica. Las empresas maduras van más allá e insertan semillas deliberadas: registros ficticios creados para rastrear copias. Si el cliente que no existe recibe una propuesta del competidor, la ruta de la filtración queda expuesta.
El método de captación del insider también evolucionó. Casos recientes de gran repercusión en el mercado de aplicaciones de delivery expusieron el esquema de las falsas encuestas remuneradas: consultoras abordan a gerentes y directores por redes profesionales ofreciendo pago por entrevistas sobre el mercado, sin preguntar nada sobre la empresa. Los montos crecen en cada ronda, las preguntas se vuelven específicas y, cuando el entrevistado se resiste, hay registros de amenazas de envío de las grabaciones al empleador. Lo que parecía consultoría era recolección estructurada de secretos de negocio, con casos que evolucionaron hacia la extorsión.
El error clásico: el área de TI investiga primero
El guion se repite en las empresas. Surge la sospecha, el equipo de TI enciende la computadora del colaborador, abre los archivos, imprime correos y arma un expediente. El gesto parece diligente y destruye el caso. Cada archivo abierto altera metadatos; cada login en la máquina sobrescribe vestigios; la copia sin hash no comprueba integridad. En el contradictorio, la defensa no necesita probar inocencia: basta demostrar que la evidencia fue manipulada sin cadena de custodia. El resultado conocido es el despido por justa causa revertido en la Justicia Laboral, con indemnizaciones y compensaciones adicionales, en un caso cuyo hecho de fondo era verdadero.
Los primeros minutos de la sospecha
La conducta de RR. HH. y del área jurídica en los primeros minutos vale más que meses de investigación posterior:
- No confrontar al sospechoso ni alterar su rutina antes de la preservación de las evidencias;
- Impedir el uso de la estación de trabajo involucrada; si está apagada, mantenerla apagada;
- Suspender las rutinas de purga automática de logs y backups del período bajo análisis;
- Registrar por escrito quién supo de la sospecha, cuándo y por qué medio;
- Involucrar al área jurídica y a un perito forense antes de cualquier medida técnica interna.
Prevención y el papel del dictamen
La prevención es menos tecnológica de lo que parece. El monitoreo legítimo, previsto en una política interna y comunicado con claridad al colaborador, sustenta la validez de la prueba y desalienta la desviación. Los avisos explícitos de que el entorno corporativo es auditable eliminan la zona gris que el insider explota. Y la cultura pesa: el equipo que entiende el valor de la información y conoce las consecuencias de la filtración es la primera capa de defensa.
Cuando la prevención falla, el desenlace depende del dictamen. El dictamen pericial documenta el método, comprueba la cadena de custodia, declara las limitaciones del examen y presenta conclusiones reproducibles por otro perito. Es ese documento el que sustenta el despido por justa causa ante la Justicia Laboral, fundamenta la acción civil de reparación e instruye la denuncia penal cuando la conducta configura un ilícito. La filtración interna se resuelve con hechos demostrados. Y un hecho, en un entorno digital, es un vestigio preservado a tiempo.
