Preguntas sobre pericias informáticas

Es un profesional de sistemas que identifica, preserva, analiza y presenta evidencia digital para un proceso judicial o una investigación, con un método que otro perito puede verificar.

Es el registro de quién tuvo la evidencia, cuándo y qué hizo con ella, desde que se obtiene hasta que llega al juzgado. Sin ella, la prueba digital es fácil de impugnar.

Es una huella matemática de un archivo, por ejemplo SHA-512. Si se cambia un solo bit, el hash cambia por completo, por eso permite demostrar que la evidencia no fue alterada.

En muchos casos sí. Depende del tipo de dispositivo, del tiempo transcurrido y de si el espacio fue sobrescrito. El perito lo evalúa en una primera revisión y lo documenta para que pueda usarse como prueba.

Sí. La oficina está en la Ciudad de Buenos Aires y el perito trabaja en todo el país, a distancia o viajando cuando la tarea lo requiere.

Después de una primera consulta sobre el caso, según el tipo de evidencia, el volumen y si hace falta presencia en audiencia. La consulta inicial se hace por WhatsApp.

Puede presentarse, pero es fácil de impugnar porque no permite verificar su origen ni si fue editada. Si la otra parte la desconoce, hará falta una pericia sobre el teléfono, y para eso conviene haber preservado la evidencia antes.

A veces. Depende del modelo de teléfono, del tiempo transcurrido y de si existen copias de seguridad locales o en la nube. El detalle está en el servicio de recuperación de mensajes y contenidos eliminados.

Sí, durante la extracción. Se labra un acta con el estado del equipo, se trabaja sobre una copia y el teléfono se devuelve funcionando, con sus datos intactos.

No conviene. Al exportar o reenviar los mensajes por cuenta propia se cambian metadatos y la otra parte puede cuestionar su integridad. Lo recomendable es que un perito haga la extracción y documente la cadena de custodia.

Depende del volumen de mensajes y de lo que haya que analizar. El plazo se informa junto con el presupuesto, después de la primera consulta.

En muchos casos sí, pero depende del modelo de teléfono, del tiempo transcurrido y de si hay copias de seguridad. Los registros borrados suelen permanecer en la base de datos hasta que el sistema los sobrescribe. Solo después del análisis se puede afirmar qué es recuperable.

Se eliminan de la conversación, pero pueden dejar rastros en la base de datos, en notificaciones almacenadas o en copias de seguridad. El resultado varía según cada caso y no puede garantizarse.

Mucho. Cuanto más se usa el teléfono después del borrado, más probable es que los datos se sobrescriban. Conviene dejar de usarlo y consultar al perito cuanto antes.

Sí, con herramientas forenses se recuperan archivos borrados siempre que su espacio no haya sido sobrescrito. En discos de estado sólido (SSD) las posibilidades suelen ser menores.

Solo con su consentimiento o por orden judicial. El perito puede redactar los puntos de pericia para que el abogado los solicite.

Sí, si se documenta el método y se preserva la cadena de custodia. Un informe pericial que explica cómo se obtuvo cada elemento es difícil de impugnar.

No. Al imprimir o reenviar se pierden las cabeceras técnicas que permiten verificarlo. Debe conservarse el mensaje original en el buzón, sin reenviarlo.

Si el mensaje tiene firma DKIM válida, cualquier cambio en el cuerpo o en los campos firmados la invalida. Sin DKIM se analiza la coherencia de las cabeceras y se pueden pedir los registros al proveedor.

Por lo general sí. El análisis de cabeceras suele mostrar un servidor de origen distinto, un dominio parecido al real o fallas de SPF y DKIM.

Sí. Se descargan con sus cabeceras completas y se analizan con el mismo método que un correo corporativo.

Se adquiere desde el servidor con intervención del área de sistemas, se documenta la cadena de custodia y se respetan las políticas de uso y de privacidad vigentes.

Batería que se agota rápido, consumo de datos inusual o aplicaciones desconocidas son señales, pero no prueban nada. La certeza la da un análisis forense, cuyo resultado además puede usarse legalmente.

Depende del modelo, la versión del sistema y el tipo de daño. Se evalúa el equipo antes de comprometer un resultado.

Sí. Los métodos de extracción son distintos en cada plataforma y se elige el adecuado para cada equipo.

No. Se trabaja sobre una copia forense y el teléfono se devuelve con su información intacta.

Solo por orden judicial. El perito puede redactar los puntos de pericia para que el abogado los presente.

No hay que responder ni borrar nada. Conviene preservar la publicación cuanto antes y consultar al abogado. Una preservación forense hecha a tiempo evita que la prueba desaparezca.

A veces, con análisis de información pública. Para tener certeza hace falta un oficio judicial a la plataforma que informe los datos de registro y las direcciones IP.

Pueden quedar copias en cachés, archivos web o en los registros de la propia plataforma, que se piden por oficio. Cuanto antes se actúe, más posibilidades hay.

Sirve como referencia, pero se impugna con facilidad. La preservación forense agrega el código fuente, la URL, la fecha cierta y el hash, y eso es lo que le da valor como prueba.

Sí. En esos casos la evidencia suele estar en el teléfono; corresponde ver la pericia de WhatsApp y la de celulares.

La pericia no recupera fondos: identifica dónde están. Si llegaron a un exchange, la justicia puede ordenar su congelamiento, por eso actuar rápido es decisivo.

Los identificadores de transacción (TXID), las direcciones involucradas, capturas de la plataforma y las comunicaciones con la contraparte.

Sí. Además, el emisor de USDT puede congelar direcciones a pedido de autoridades, lo que hace valioso identificarlas pronto.

Dificulta el rastreo pero no siempre lo impide. El análisis de montos y tiempos permite muchas veces retomar la pista.

Sí, para identificar tenencias de criptoactivos y valuarlas a una fecha determinada.

Llamar al banco y bloquear los accesos, hacer la denuncia y no borrar mensajes, correos ni registros de llamadas. Todo eso es evidencia.

Depende de cada caso y lo definen el abogado o el juez. La pericia aporta los hechos técnicos: cómo se accedió, desde qué dispositivo y qué controles fallaron.

Es cuando un tercero consigue un duplicado del chip de la víctima y recibe sus SMS y llamadas, incluidos los códigos de verificación del banco.

Sí. El informe se incorpora a la causa y suele orientar los pedidos de información a bancos y empresas de telefonía.

Sí: preservación, análisis forense del incidente e informe para la denuncia y la aseguradora.

El perito oficial lo designa el juzgado. El perito de parte o consultor técnico lo elige cada parte para controlar la pericia y defender su posición técnica.

Lo antes posible. Unos puntos de pericia mal redactados no se corrigen después, y la evidencia que no se preservó puede perderse.

Sí, es uno de los servicios más pedidos por estudios jurídicos.

Sí, con observaciones técnicas fundadas presentadas dentro del plazo procesal.

Sí, en toda la Argentina. Muchas tareas se hacen a distancia y se viaja cuando la extracción lo requiere.

Depende de las políticas de uso notificadas y del marco legal aplicable; siempre hay que consultar al área legal. La pericia se hace con resguardo de la privacidad y dejando registro de cada paso.

Se exporta desde el DVR en su formato original, se calcula el hash y se labra un acta. Filmar la pantalla con un celular le quita valor a la prueba.

Es la búsqueda y el filtrado ordenado de grandes volúmenes de correos y documentos para encontrar la información relevante para un caso, preservando su integridad.

Hay que aislar los equipos afectados de la red sin borrar nada, preservar los registros y convocar a un equipo forense antes de restaurar.

Sí. La colaboración con IT agiliza la preservación y reduce el impacto en la operación.