Laboratorio propio que recupera datos de soportes con daño lógico, electrónico o físico y entrega, junto con los archivos, la cadena de custodia que los sustenta como prueba en juicio.
El disco duro que se cayó guardaba los correos que demuestran el fraude. El teléfono roto contiene las conversaciones decisivas del proceso laboral. El servidor formateado tenía la contabilidad de la empresa en litigio societario. En esos escenarios, el dato perdido no es un archivo: es prueba.
Y cuando el dato perdido es evidencia, la forma de recuperarlo decide si será aceptado o impugnado. La recuperación devuelve el archivo; solo el método forense devuelve el archivo con la documentación que lo sustenta frente a la parte contraria.
El Superior Tribunal de Justicia brasileño (STJ) viene consolidando la vara: la prueba digital sin hash, sin lacre y sin documentación de manipulación es prueba vulnerable. En el AgRg no HC 828.054/RN (5ª Sala, 2024) y en el RHC 205.441/GO (6ª Sala, 2025), la ausencia de esos cuidados llevó a la inadmisibilidad y a la nulidad.
La misma lógica alcanza al dato recuperado: un disco duro enviado a una empresa de recuperación común vuelve con los archivos, pero sin hash de adquisición, sin lacre y sin registro de quién tocó el soporte. La parte contraria impugna, y la prueba cae.
La diferencia no está solo en la herramienta de recuperación: está en todo lo que ocurre antes, durante y después de ella. El procedimiento incluye, en todos los casos:
La recuperación forense exige un entorno y un instrumental que no se improvisan. El laboratorio reúne:
Apertura de soportes en un entorno de aire filtrado y controlado. Un plato magnético expuesto a partículas comunes de polvo puede sufrir un daño irreversible; fuera de ese entorno, abrir un disco duro es un riesgo, no un procedimiento.
Mesas separadas para diagnóstico, intervención física y adquisición, con hardware especializado capaz de leer discos inestables y acceder al firmware de los soportes.
Acervo de discos compatibles para el trasplante de componentes: placas lógicas, motores y conjuntos de cabezales. Cada unidad donante utilizada se identifica y se registra en el informe.
Duplicadores y bloqueadores de escritura para generar la imagen bit a bit con hash, además de herramientas de acceso a firmware para soportes que no responden por los medios convencionales.
Borrado accidental o intencional, formateo, corrupción del sistema de archivos, ransomware y falla de firmware. La recuperación ocurre sobre la imagen forense: la evidencia de cuándo y cómo se borró el dato muchas veces vale tanto como el dato mismo.
Placa lógica quemada por sobretensión o corte de energía, conectores dañados. Trasplante de PCB con transferencia de ROM y adaptación de firmware, con el componente donante documentado.
Cabezales de lectura colisionados, motor trabado, platos comprometidos. Sustitución del conjunto de cabezales con una unidad donante compatible, en cabina de flujo laminar; abrirlo fuera de ese entorno contamina los platos y puede volver irreversible la pérdida.
Internos, externos y de portátil: fallas mecánicas, de firmware y sectores defectuosos. Imagen con hardware especializado que lee discos inestables sin forzarlos más de lo necesario.
Falla de controlador, acceso en modo técnico y chip-off. Con franqueza: en unidades SSD sanas, el comando TRIM borra físicamente las celdas poco después de la eliminación, y los datos borrados a menudo no vuelven. En cambio, las unidades SSD con falla de controlador pueden conservar datos que el TRIM no llegó a procesar.
Lectura directa de los chips NAND (chip-off) y acceso a soportes monolíticos vía pinout, cuando el controlador deja de responder.
Reconstrucción de arreglos 0, 1, 5, 6 y 10, con imagen individual de cada miembro antes de cualquier remontaje: ningún intento se realiza sobre los discos originales.
Reparación del aparato para viabilizar la extracción forense, cuando el contenido es el objeto de la pericia: el dispositivo vuelve a responder para que la evidencia se adquiera con método.
Cintas y soportes ópticos, a consultar: relevantes en sucesiones, archivos empresariales antiguos y obligaciones de conservación a largo plazo.
Situaciones reales, vistas con frecuencia en soportes que llegan al laboratorio tras pasar por otras manos:
La vara no es teórica. En el AgRg no HC 828.054/RN (5ª Sala, 2024), las capturas de pantalla hechas directamente en el teléfono incautado, sin herramienta de extracción, sin hash y sin documentación, dieron lugar a una prueba inadmisible. En el RHC 205.441/GO (6ª Sala, 2025), el aparato sin lacre y sin registro de IMEI llevó a la nulidad. En el HC 943.895/PR (5ª Sala, 2025), el acceso al teléfono antes de la pericia dejó las pruebas inservibles. El rigor que anula la prueba mal manipulada es el mismo que amenaza al dato recuperado sin método.
Correos y archivos borrados por un exempleado; el portátil devuelto vacío que debe contar qué contenía, cuándo se vació y por quién.
Competencia desleal, desvío de clientela y sabotaje de datos; la investigación interna documentada desde el inicio, por si acaba en demanda judicial.
El soporte dañado que contiene el vestigio del caso, recuperado con un método defendible; asistencia técnica de acusación o de defensa.
Acceso a documentos, contabilidad, criptoactivos y fotos del fallecido, con legitimidad comprobada y documentación que previene disputas entre herederos.
Demostración técnica del contenido perdido en siniestros y disputas de cobertura, con relación de archivos e informe que sustenta el reclamo.
La rutina de copias existía, pero el archivo restaurado llegó corrupto o incompleto justo cuando el proceso lo exigía. La recuperación forense busca el dato en el origen y lo devuelve con la documentación que sustenta su uso como prueba.
La síntesis: la recuperación común responde a la pregunta "¿dónde están mis archivos?". La recuperación forense responde también a la pregunta siguiente: "¿cómo se prueba que son esos?".
La honestidad técnica forma parte del método. Antes de cualquier contratación, conviene saber:
Consulte también
Forense Computacional → Dictámenes e Informes → Laboratorio Forense →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso