Descritos sin ninguna identificación de las partes, en el formato que interesa a quien evalúa contratar a un perito: el desafío técnico, el método aplicado y el resultado.
Un peritaje serio no expone al cliente. Por deber de secreto profesional, los casos de esta página se describen sin identificación alguna de las partes: nombres, marcas, rubros específicos, direcciones técnicas, fechas exactas e identificadores de sistemas fueron removidos, y las cifras fueron redondeadas de modo que impidan el reconocimiento.
Lo que permanece es lo que interesa al lector que evalúa contratar a un perito: el desafío técnico enfrentado, el método aplicado y el resultado alcanzado.
Algunos de los casos que siguen llegaron al laboratorio después de que otros equipos declararan inviable la averiguación, o cuando el plazo procesal ya corría en contra de la parte. Ninguno de ellos depende de la suerte: todos dependen de método documentado, cadena de custodia y de la disposición a mirar donde nadie miró.
Los casos con repercusión pública, en los que la actuación ya fue noticia, están identificados como tales.
El desafío. Una plataforma que procesa pagos sufrió una intrusión, tuvo datos destruidos y no contaba con herramientas dedicadas de detección. El atacante había usado software legítimo de administración remota como disfraz y borrado sus propios rastros. La pregunta de la dirección era doble: ¿hubo negligencia del equipo interno y existe algún camino para llegar al responsable?
El método. Reconstrucción de la línea de tiempo completa a partir de semanas de registros de autenticación, sin lagunas, demostrando el momento exacto del primer acceso ilegítimo. El examen del programa malicioso reveló lo que ninguna herramienta convencional detectaría: el canal de comando y control no estaba en un servidor, sino grabado en contratos inteligentes de una blockchain pública. El peritaje decodificó las transacciones y recuperó la dirección de control que el atacante había borrado, porque el registro en blockchain es inmutable. A partir de ahí, mapeó la red financiera del agente: más de noventa monederos interconectadas y más de ciento veinte mil transacciones preservadas como evidencia, consultadas solo en registro público, sin interacción alguna con la infraestructura del atacante.
El resultado. El dictamen entregó a las autoridades caminos concretos de identificación: el exchange internacional que opera el monedero central, los emisores de monedas estables con capacidad legal de congelar fondos y las plataformas con registro de identidad de los titulares. También demostró técnicamente que el equipo interno no incurrió en omisión: el tiempo de permanencia del atacante quedó dentro del promedio mundial para ataques de ese nivel de sofisticación, y el evento destructivo fue detectado en poco más de veinte minutos, con neutralización el mismo día.
El desafío. Investigación penal de gran repercusión, con trece celulares de ocho investigados bajo examen. La investigación policial y el peritaje oficial ya habían concluido por la participación de una de las personas investigadas. El volumen de material era, en sí mismo, parte del problema: cuantos más aparatos entran en el mismo análisis, más coincidencias aparentes surgen entre ellos.
El método. Extracción forense completa del aparato, con recuperación de datos de aplicaciones, reconstrucción de la línea de tiempo y armado del árbol de vínculos entre los involucrados, todo grabado en soporte de solo lectura y lacrado. Cada correlación señalada como indicio de participación fue puesta a prueba individualmente contra explicaciones alternativas, exactamente el examen que el volumen de aparatos había impedido en el análisis anterior.
El resultado. Los vínculos que sostenían la acusación resultaron ser falsos positivos: convergencias de contacto, horario y circulación de mensajes que no demostraban participación alguna. El dictamen, con más de trescientas páginas entregadas en cuarenta y cinco días, demostró el error de la conclusión oficial, y la persona acusada fue declarada inocente. El soporte lacrado aseguró que ni la acusación ni la defensa pudieran insertar o suprimir contenido después de la recolección.
El desafío. Una plataforma que atiende a más de un centenar de organizaciones en un entorno compartido tuvo el servidor de producción comprometido, con implantación de código capaz de capturar datos de tarjeta en tránsito. Entre los clientes alojados, una organización de gran visibilidad exigía respuesta inmediata: ¿sus datos fueron capturados?
El método. Análisis sobre copia forense de medio terabyte, con integridad verificada por firma criptográfica antes de cualquier examen. La reconstrucción identificó el vector de entrada en la aplicación web, la cadena de comandos remotos ejecutados, el código de captura implantado y el destino de exfiltración pretendido. El trabajo separó, con rigor, tres actores que suelen confundirse en los incidentes: el atacante, los administradores legítimos y el propio equipo de respuesta, descartando falsos positivos. Identificó además la falla estructural que había hecho posible el ataque, una clave criptográfica de aplicación compartida entre todos los portales de la plataforma.
El resultado. El peritaje demostró que el código de captura no fue implantado en los directorios de aquel cliente y que el intento de extracción de datos de tarjeta no alcanzó su base, cuyo servicio ya había sido migrado a otro entorno semanas antes. La prueba negativa, técnicamente sustentada, cerró la exposición de la organización al incidente. El examen también documentó la reacción del atacante al percibir la respuesta en curso, comportamiento que reforzó la caracterización de acción deliberada.
El desafío. Una empresa sospechaba que su base de clientes, construida a lo largo de años, estaba siendo usada por una competidora. La sospecha no es prueba: había que demostrar técnicamente que aquellos datos específicos, y no datos obtenidos por esfuerzo propio, estaban en las computadoras del otro lado. El material fue incautado en diligencia judicial, y el análisis debía resistir la alegación de coincidencia.
El método. El peritaje partió de un principio simple: toda base de datos lleva marcas propias. Se seleccionaron campos que no tendrían posibilidad alguna de colisión por azar, entre ellos el código interno de usuario del sistema de la empresa y la razón social exactamente como figura en su registro. Esos términos fueron confrontados contra todo el acervo incautado, incluidos archivos borrados y contenido de correo electrónico recuperado, con registro de la fecha de grabación de cada archivo en el sistema operativo examinado.
El resultado. Más de cuatro mil setecientas correlaciones entre los datos de la empresa y el material encontrado en los equipos de la competidora, con miles de documentos sensibles identificados y fechados. La coincidencia de campos únicos, imposible de explicar por trabajo independiente, demostró el reaprovechamiento de la base. Aquí el dato no solo fue encontrado: fue vinculado a su origen.
El desafío. Una abogada tuvo las contraseñas de sus cuentas en tres proveedores distintos alteradas por un tercero, que descargó y borró archivos personales y profesionales. Además del daño inmediato, el caso afectaba el secreto profesional y la inviolabilidad que la ley asegura al abogado en el ejercicio de la profesión. Las herramientas de autoservicio de los proveedores mostraban solo una ventana corta de accesos, insuficiente para averiguar la autoría.
El método. Preservación técnica de lo que aún existía en las tres plataformas, con cadena de custodia documentada, y análisis comparado de los informes de seguridad de cada proveedor. El examen demostró técnicamente por qué los datos disponibles al usuario común no bastaban y qué debería requerirse a cada proveedor y a las operadoras de conexión.
El resultado. El informe técnico fundamentó el pedido judicial de obligación de hacer para que los proveedores presentaran los registros completos, todavía dentro del plazo legal de guarda de seis meses previsto en el Marco Civil de Internet (ley brasileña de Internet). Sin esa medida a tiempo, los vestigios de autoría habrían expirado y el caso moriría por falta de prueba, y no por falta de razón.
El desafío. Un contrato firmado en plataforma de firma electrónica, con certificado de conclusión en orden, era negado por el supuesto firmante. La parte contraria sostenía que la validez técnica de la firma cerraba la discusión.
El método. Examen de la traza de auditoría de la plataforma y de los metadatos de la operación, confrontando dispositivo, dirección de origen y patrón de uso con el historial del contratante.
El resultado. La firma partió de un dispositivo jamás utilizado por el contratante en ninguna otra operación. El certificado acreditaba el proceso de la plataforma, no la identidad de quien estaba del otro lado de la pantalla: distinción que sostuvo la tesis en juicio.
El desafío. Persona física demandada por un contrato que afirmaba no haber suscrito nunca, escenario de litigio masivo en el que la firma es el único eslabón entre la deuda y el supuesto deudor.
El método. Cotejo grafotécnico con patrones contemporáneos de origen incuestionable, examen de los elementos de orden genético del gesto y registro fotomicrográfico de los hallazgos.
El resultado. Las divergencias técnicas identificadas fundamentaron la declaración de falsedad y la anulación del contrato.
El desafío. Empresa notificada por una desarrolladora internacional con un cobro millonario calculado en una auditoría del propio fabricante.
El método. Verificación independiente del informe contra el inventario real del parque: máquinas desactivadas, licencias no computadas y métricas aplicadas de forma incorrecta.
El resultado. Las imprecisiones técnicas demostradas redujeron cerca de un sesenta por ciento el valor inicialmente reclamado, en una negociación conducida sobre hechos verificables.
El desafío. Grabación clandestina atribuida a una de las partes en una disputa familiar, con pedido de identificación del hablante.
El método. Análisis fonético comparativo entre la muestra cuestionada y patrones de voz obtenidos por protocolo dirigido, con conclusión expresada en grado de respaldo probabilístico.
El resultado. Conclusión por la no identificación: la persona fue excluida como autora de la grabación. La prueba negativa también es resultado, y con frecuencia es la que más importa para quien está siendo acusado.
El desafío. Disputa entre contratante y desarrolladora sobre un proyecto entregado parcialmente, con ambas partes atribuyendo a la otra la responsabilidad por el fracaso.
El método. Análisis técnico independiente del alcance contratado, de las entregas efectivas y de las dependencias que correspondían a cada lado, seguido de la facilitación de la negociación sobre los hechos comprobados.
El resultado. Responsabilidades compartidas demostradas técnicamente, con acuerdo sobre entrega parcial y reducción mutua de expectativas financieras, sin litigio judicial.
En casos de repercusión nacional, la actuación técnica fue seguida y difundida por la prensa. En esos episodios, lo que se presenta a continuación ya es de conocimiento público.
Investigación de cerca de dos meses sobre una red de perfiles falsos que usaba imágenes de un periodista para cometer estafas. Fallas técnicas en la herramienta de ocultamiento usada por los delincuentes permitieron identificar la dirección real de conexión y llegar a la ubicación del responsable en el exterior, con el material remitido a las autoridades.
Capturas de pantalla de supuestas conversaciones agregadas a un proceso electoral fueron reproducidas íntegramente por el peritaje, en video y en pocos minutos, con aparatos comunes. La demostración fundamentó la conclusión de fraude sin necesidad de acceder a los archivos originales.
Participación como especialista en canales de TV explicando el proceso técnico de extracción y lo que el análisis de los aparatos incautados fue capaz de demostrar sobre la cronología de los hechos.