01
Control de evidencia digital e informática forense
Qué se revisa en chats, cuentas, archivos y dispositivos: preservación, autenticidad, autoría, metadatos, extracción, trazabilidad y contexto.
Evidencia digital · Metadatos · Autoría
Control de evidencia digital
e informática forenseQué se revisa en chats, cuentas, archivos y dispositivos: preservación, autenticidad, autoría, metadatos, extracción, trazabilidad y contexto.
¿La causa depende de pericias, mensajes, actas o evidencia técnica?
Revisamos jurisdicción, etapa, documentación, prueba y próxima fecha antes de definir el paso siguiente.La información del sitio es general: cada planteo depende del expediente y del régimen aplicable.
Objeto de pruebaMetodologíaTrazabilidadContradicción técnica
Guía del tema
Control de evidencia digital: la guía por ejes
Este capítulo ordena 7 ejes que se complementan entre sí. Cada uno responde una pregunta concreta de la causa, y el índice permite ir directo al punto que interesa.
Fuentes y soportes
La información puede encontrarse en teléfonos, computadoras, soportes externos, cuentas, copias de seguridad, servicios remotos, registros de acceso, operadores o terceros. Cada fuente tiene disponibilidad, alcance y problemas propios. El material debe obtenerse legalmente y preservarse sin alteraciones innecesarias.
La identificación del dispositivo o cuenta y la relación con una persona son cuestiones distintas. También debe diferenciarse creación, envío, recepción, reenvío, almacenamiento y acceso.
Preservación prudente
Conservar el archivo original, el dispositivo, la cuenta, la fecha, el contexto y cualquier exportación disponible puede ser útil. No conviene editar conversaciones, recortar selectivamente, reinstalar sistemas, borrar información ni manipular un equipo secuestrado.
Cuando el material pertenece a un tercero o contiene información sensible, la defensa debe evaluar el canal y el alcance antes de copiarlo o presentarlo. La preservación no autoriza accesos indebidos.
Autenticidad, integridad, autoría y contexto
Autenticidad pregunta si el material es lo que se afirma; integridad, si se mantuvo completo; autoría, quién realizó la acción; contexto, qué ocurrió antes y después; significado, qué inferencia puede sostenerse. Una pericia puede responder algunos aspectos y dejar otros abiertos.
Metadatos, registros, ubicación, actividad de cuenta, testimonios, documentación y patrones pueden combinarse. Ningún indicador debe presentarse como infalible sin explicar sus límites.
Extracción y análisis forense
El flujo puede incluir secuestro o entrega, identificación, preservación, copia, extracción, selección, análisis e informe. La defensa controla herramientas, versión, parámetros, material, filtros, omisiones y posibilidad de reproducción o contradicción.
Una extracción amplia puede incluir datos ajenos al objeto. Según el caso, pueden discutirse límites, confidencialidad, acceso de las partes, devolución o eliminación de copias, dentro del régimen aplicable.
Uso en investigación y juicio
Durante la IPP se preserva y controla; en juicio se incorpora y explica ante el órgano decisor. La presentación debe relacionar cada registro con un hecho y evitar volcar grandes cantidades de información sin una hipótesis clara.
Este tema se relaciona con ciberdelitos, estafas, amenazas, delitos contra la integridad sexual, prueba pericial y nulidades. Su carácter transversal permite aplicar los mismos criterios técnicos a distintas clases de imputación.
Adquisición, preservación y lectura de evidencia digital
La evidencia digital no se reduce a una captura. Puede incluir dispositivos, cuentas, respaldos, registros de acceso, metadatos, archivos, comunicaciones y datos entregados por terceros. Para evaluar integridad y autenticidad conviene conocer quién obtuvo el material, con qué autorización, qué herramienta utilizó, qué copia produjo y cómo documentó cada transferencia.
Las funciones hash pueden ayudar a identificar una copia, pero no resuelven por sí solas autoría, contexto o significado. Un dispositivo puede ser compartido; una cuenta puede recibir accesos de terceros; un horario puede depender de zona y configuración. La pericia debe diferenciar el dato técnico de la inferencia sobre la persona o el hecho.
Cuando la obtención proviene de un allanamiento, interceptación, requisa o acceso a una cuenta, también se controla la medida intrusiva: autoridad, fundamento, alcance temporal y material, minimización, ejecución y registro. La discusión puede involucrar admisibilidad, valoración o necesidad de una nueva medida, según el perjuicio y el régimen.
- Orden o consentimiento y alcance autorizado.
- Acta, inventario e identificación del soporte.
- Copia forense, herramienta, versión y hash informado.
- Informe, anexos, zona horaria y limitaciones.
Tres preguntas antes de mover un solo archivo
Antes de copiar, exportar o entregar material conviene responder de dónde sale, quién lo tiene y por qué canal viajará. Esas respuestas condicionan el valor de lo que llegue al expediente.
El primer error suele ser de orden, no de tecnología: se reenvía una conversación, se cambia de teléfono o se comparte un archivo por un canal abierto antes de saber si ese material ya está en la causa.
La primera pregunta es la fuente. Un mensaje puede existir en el equipo del remitente, en el del destinatario, en una copia de seguridad y en los registros del servicio; cada ubicación conserva datos distintos y se obtiene por vías distintas. Identificar cuál está disponible evita pedir lo que no existe o perder lo que sí.
La segunda es la tenencia. Un equipo compartido, una cuenta con sesión abierta en varios dispositivos o una línea a nombre de otra persona cambian la discusión sobre autoría. Anotar quién usa qué, desde cuándo y con qué acceso es un dato que la defensa necesita antes de que lo pregunte la fiscalía.
La tercera es el canal. Durante la investigación penal preparatoria el material puede ingresar por secuestro, entrega voluntaria, oficio a un operador o pericia; cada vía tiene consecuencias sobre alcance, privacidad y posibilidad de control. Elegirla es una decisión de estrategia de defensa penal, no un trámite.
Qué prueba cada fuente y dónde suele fallar
Una misma conversación puede llegar a la causa como exportación, extracción forense o respuesta de un operador. Cada formato acredita algo distinto y exige un control propio.
| Prueba | Origen | Qué puede acreditar | Qué debe controlarse |
|---|---|---|---|
| Exportación de chat aportada por una parte | La propia persona la genera desde su equipo y la entrega o la presenta en la causa | Que en esa cuenta existían esos mensajes al momento de exportar | Completitud del hilo, fecha de exportación, edición posterior y cotejo con el dispositivo de origen |
| Extracción forense del dispositivo | Laboratorio o gabinete con herramienta forense sobre un equipo secuestrado o entregado | Contenido almacenado, elementos borrados recuperables y registros de actividad del equipo | Hash de la imagen, herramienta y versión, categorías y período extraídos frente a lo autorizado, zona horaria |
| Registros de operador o plataforma | Respuesta a un oficio judicial o fiscal sobre una línea, una cuenta o una dirección IP | Titularidad declarada, conexiones, fechas y datos de tráfico según lo requerido | Período pedido frente al respondido, formato de la respuesta y diferencia entre titular y usuario efectivo |
| Metadatos de un archivo | Datos embebidos en fotos, videos o documentos, o registrados por el sistema operativo | Fecha de creación o modificación, dispositivo de origen y, a veces, ubicación | Se alteran al copiar, reenviar o convertir; dependen de la configuración del equipo y pueden faltar |
| Datos de ubicación y antenas | Registros de red del operador o del propio dispositivo | Aproximación del lugar donde estaba el equipo en un momento dado | Radio de cobertura, precisión declarada y quién portaba el equipo en ese momento |
Las filas describen posibilidades, no resultados. Qué puede pedirse, con qué alcance y con qué participación de la defensa depende del código procesal de la jurisdicción y de la autorización concreta dictada en la causa.
Lista de control para una copia forense y su informe
El control técnico se ejerce en tres momentos: al preservar, al copiar y al leer. El primer grupo reúne lo que la persona puede registrar por sí misma; los otros dos, verificaciones que la defensa pide o documenta ante la fiscalía o el laboratorio.
Al preservar el soporte
- Registrá si el equipo fue apagado, aislado de red o quedó encendido al secuestrarse
- Verificá que marca, modelo, número de serie y línea coincidan con el acta
- Guardá la copia del acta, si te la entregaron: ahí deberían constar el precinto y quién queda a cargo del equipo
- Anotá si se solicitaron claves y qué se respondió
Al producir la copia
- Solicitar que las operaciones se hagan sobre una imagen y no sobre el equipo original
- Identificar herramienta, versión y perfil de extracción utilizados
- Comparar el hash informado de la imagen con el de la copia que se obtenga para las partes, si el régimen y la resolución lo permiten
- Confrontar categorías y período extraídos con la orden que autorizó la medida
- Dejar asentadas las observaciones del perito de parte, si intervino
Al leer el informe
- Separar el dato técnico de la inferencia sobre quién actuó
- Controlar zona horaria y formato de fecha en cada tabla
- Identificar qué no pudo recuperarse y por qué
- Contrastar los registros del equipo con la respuesta del operador
- Confirmar que cada conclusión responda a un punto de pericia
Te secuestraron el teléfono: qué pasa con tus datos y cuándo lo devuelven
El secuestro de un celular genera dos angustias simultáneas: la práctica, porque la vida entera está ahí adentro, y la de privacidad, porque también está todo lo demás. Las dos tienen respuestas jurídicas concretas.
Un teléfono secuestrado no es un cheque en blanco para revisar una vida. La extracción de sus datos requiere orden que la habilite, se realiza con técnica forense verificable y tiene límites de alcance que la defensa penal controla: qué se busca, de qué período y con qué relación al hecho investigado.
El primer control es el alcance de la autorización. Una orden que habilita buscar comunicaciones vinculadas a un hecho concreto no convierte en prueba todo lo que el aparato contiene: la vida íntima, los datos de salud, las conversaciones con el abogado penalista y la información de terceros ajenos exigen tratamiento diferenciado. La defensa penal plantea esos límites y pelea la exclusión de lo obtenido fuera del objeto autorizado.
El segundo control es técnico: la extracción seria se hace mediante copia forense con valor hash, que congela el contenido y permite verificar que nada se alteró después. Las capturas de pantalla hechas a mano por un funcionario, los chats reenviados o los archivos copiados sin metodología son evidencia degradada, y esa degradación es materia de impugnación. La pericia informática tiene reglas, y saltearlas tiene costos probatorios.
La devolución del aparato tiene su llave técnica: realizada la copia forense, el teléfono físico deja de ser necesario para la investigación, porque todo su contenido quedó preservado y verificable. El pedido de restitución fundado en esa lógica suele prosperar, y recupera la herramienta de trabajo y de vida que el secuestro se llevó. Lo que la causa necesita es la información, no el plástico.
Un consejo transversal para el titular: no intentar borrados remotos ni cambios de claves sobre el aparato secuestrado. Además de inútiles frente a una copia ya realizada, esos movimientos se registran y se leen como entorpecimiento. El camino correcto es el inverso: la defensa penal controla el procedimiento, y lo que sea privado e irrelevante se excluye por derecho, no por sabotaje.
El recorrido de un dispositivo dentro de la causa
Entre el secuestro del aparato y el informe pericial hay un circuito técnico con estaciones controlables. Este es el mapa que la defensa penal sigue.
- Secuestro
El acta que individualiza el aparato
El dispositivo se secuestra con acta que lo identifica: marca, modelo, número de serie, estado. Desde ese momento arranca su cadena de custodia, y cada traspaso posterior debe quedar documentado.
- Preservación
Aislamiento y resguardo técnico
El aparato se preserva de alteraciones: sin conexiones, sin manipulación, resguardado hasta la pericia. Los accesos informales de esta etapa, el funcionario curioso que revisa, son exactamente lo que la defensa penal buscará en los registros.
- Copia
La extracción forense con hash
El laboratorio realiza la copia forense y calcula el valor hash que la identifica. Ese número es la garantía de integridad: cualquier verificación posterior debe reproducirlo. La defensa penal y su consultor técnico controlan este acto cuando es posible.
- Análisis
La búsqueda dentro del objeto autorizado
Sobre la copia, no sobre el aparato, se buscan los elementos que la orden habilitó. El informe debe explicar qué se buscó, con qué herramientas y qué se halló, distinguiendo el dato de su interpretación.
- Informe
El dictamen y su contradicción
El informe pericial llega al expediente y se abre el control: método, alcance, conclusiones y todo lo hallado fuera del objeto. En paralelo, con la copia hecha, el pedido de devolución del aparato queda en condiciones de prosperar.
Respuestas sobre Evidencia digital e informática forense
Información general para comprender la consulta. La estrategia concreta requiere revisar la causa, la prueba y la jurisdicción.
Puede aportar información, pero su valor depende de autenticidad, contexto, autoría, integridad y modo de incorporación.
Depende de la orden, el régimen y la estrategia. No existe una respuesta universal; se debe revisar la documentación.
Datos asociados a un archivo o actividad que pueden informar fechas, origen, características o procesamiento, con límites según la fuente.
Puede investigarse mediante registros y contexto, pero titularidad y uso efectivo no siempre coinciden.
Depende del dispositivo, estado, acceso legal, tecnología y alcance autorizado. No debe prometerse un resultado.
No editarlos, borrarlos, recortarlos sin conservar originales ni acceder a cuentas ajenas.
Revisando fuente, alcance, herramienta, procedimiento, filtros, registros, integridad, informe y posibilidad de contradicción.
Acta de secuestro o entrega, informe, anexos, identificación del dispositivo/cuenta y archivos originales disponibles por canal seguro.
No necesariamente. Deben revisarse origen, integridad, contexto, autoría, método de obtención y posibilidad de contradicción. Cuando existe un soporte original, conviene preservarlo sin alterar su contenido ni sus metadatos.
Debe identificar el objeto examinado, material recibido, método, operaciones, resultados y límites. También importa si hubo control de las partes y si las conclusiones responden realmente a los puntos sometidos a análisis.
Revisión de evidencia digital
Qué enviar cuando hay un dispositivo o una extracción en juego
Con el acta de secuestro y el informe de extracción puede evaluarse alcance, integridad y qué pedidos corresponden en la etapa actual.
No hace falta enviar el contenido de las conversaciones para una primera lectura: los documentos del procedimiento alcanzan para ubicar la causa y el estado del material. Indicá la jurisdicción, si el equipo sigue secuestrado y si hay una fecha próxima. La orientación inicial no sustituye la revisión del expediente. La evidencia digital se pierde rápido: la defensa penal tiene que pedir su preservación de inmediato.
Los archivos con contenido personal o de terceros se comparten solo por el canal acordado; no los cargues en formularios públicos ni los reenvíes por grupos.