Pericia de correo electrónico
Pericia de correo electrónico: la autenticidad está en el encabezado
Un correo impreso no prueba nada por sí solo. Lo que prueba es su encabezado: servidores, firmas DKIM y SPF, identificadores y horarios que se pueden verificar uno por uno.
Cuándo se necesita
Casos en los que interviene el perito
- Despidos, renuncias o intimaciones laborales enviadas por mail.
- Suplantación de identidad, phishing o fraude por cambio de cuenta bancaria de un proveedor.
- Contratos, presupuestos o aceptaciones de oferta cerradas por correo.
- Correos que la otra parte desconoce haber enviado o recibido.
- Fuga de información enviada por mail a terceros.
Procedimiento
Cómo trabaja el perito
Cada paso queda documentado para que la evidencia pueda verificarse en el expediente.
Identificación
Se definen las cuentas, los buzones y los mensajes que importan para el caso.
Adquisición del original
Se obtiene el mensaje desde el servidor o el cliente de correo, nunca reenviado, para conservar todas sus cabeceras.
Análisis técnico
Se leen la ruta de servidores, los resultados SPF, DKIM y DMARC, el Message-ID y las zonas horarias, y se busca cualquier inconsistencia.
Contraste con el proveedor
Cuando hace falta, se proponen oficios a Google, Microsoft u otro proveedor para obtener sus registros.
Informe
Se entrega el informe con la lectura de cada cabecera y una conclusión clara sobre autoría e integridad.
Qué recibe
Qué se entrega
- Entregable 1Informe técnico pericial
- Entregable 2Anexo con cabeceras completas y su lectura
- Entregable 3Hashes de los mensajes originales
- Entregable 4Modelos de oficio a proveedores de correo
Preguntas frecuentes
Pericia de correo electrónico: preguntas frecuentes
¿Alcanza con imprimir el correo?
No. Al imprimir o reenviar se pierden las cabeceras técnicas que permiten verificarlo. Debe conservarse el mensaje original en el buzón, sin reenviarlo.
¿Se puede saber si un mail fue modificado?
Si el mensaje tiene firma DKIM válida, cualquier cambio en el cuerpo o en los campos firmados la invalida. Sin DKIM se analiza la coherencia de las cabeceras y se pueden pedir los registros al proveedor.
Si suplantaron un correo, ¿se puede demostrar?
Por lo general sí. El análisis de cabeceras suele mostrar un servidor de origen distinto, un dominio parecido al real o fallas de SPF y DKIM.
¿Sirven los correos de Gmail u Outlook personales?
Sí. Se descargan con sus cabeceras completas y se analizan con el mismo método que un correo corporativo.
¿Y si el correo está en una cuenta de la empresa?
Se adquiere desde el servidor con intervención del área de sistemas, se documenta la cadena de custodia y se respetan las políticas de uso y de privacidad vigentes.
Otros servicios
Otros servicios relacionados
El caso se consulta por WhatsApp
La primera consulta es por WhatsApp. El perito indica qué evidencia conviene preservar ya y cuál es el camino más corto hasta el informe.
Ubicación
Dónde queda el estudio
Pte. Perón 328, piso 3, Capital Federal (Ciudad Autónoma de Buenos Aires).