Tipos de Evidencia Digital en Experticias Informáticas Judiciales

Tipos de Evidencia Digital

Según su naturaleza:

Volátil:

Memoria RAM: Datos almacenados temporalmente en la memoria del dispositivo.

Registros del sistema: Logs de eventos, actividad del sistema operativo, aplicaciones y redes.

Contenido en pantalla: Información visible en el monitor.

No volátil:

Almacenamiento magnético: Discos duros, cintas magnéticas.

Almacenamiento óptico: CDs, DVDs, Blu-rays.

Almacenamiento sólido: Unidades SSD, memorias USB.

Almacenamiento en la nube: Datos almacenados en servidores remotos.

Dispositivos móviles: Teléfonos inteligentes, tablets, wearables.

Otros dispositivos: Cámaras digitales, GPS, drones.

Según su formato:

Documentos: Archivos de texto, hojas de cálculo, presentaciones, PDF.

Imágenes: Fotografías, gráficos, capturas de pantalla.

Audio: Grabaciones de voz, música.

Video: Grabaciones de video.

Bases de datos: Conjuntos organizados de datos.

Correo electrónico: Mensajes, archivos adjuntos.

Historial de navegación: Sitios web visitados, búsquedas realizadas.

Cookies: Pequeños archivos de texto que almacenan información sobre la navegación.

Según su relación con el delito:

Evidencia directa: Pruebas que demuestran directamente un hecho relevante para el caso (por ejemplo, un correo electrónico donde se confiesa un delito).

Evidencia circunstancial: Pruebas que, aunque no demuestran directamente un hecho, permiten inferirlo (por ejemplo, la presencia de un dispositivo en la escena del crimen).

Evidencia testimonial: Declaraciones de testigos sobre hechos relacionados con la evidencia digital.

La evidencia digital ha adquirido un papel fundamental en los procesos judiciales modernos, ya que se encuentra presente en casi todos los aspectos de nuestra vida diaria. 

Algunos de los tipos más comunes de evidencia digital que se utilizan en las experticias informáticas:

1. Documentos Electrónicos:

Textos: Documentos de Word, Excel, PDF, correos electrónicos, mensajes instantáneos.

Imágenes: Fotografías, capturas de pantalla, gráficos.

Audio: Grabaciones de voz, llamadas telefónicas.

Video: Grabaciones de video, videollamadas.

2. Metadatos:

Información sobre el archivo: Fecha de creación, modificación, autor, tamaño, etc.

Datos de ubicación: Información GPS asociada a una imagen o video.

Historial de versiones: Cambios realizados en un documento a lo largo del tiempo.

3. Registros de Actividad:

Historial de navegación: Sitios web visitados, búsquedas realizadas.

Registros de inicio de sesión: Usuarios que han accedido a un sistema.

Logs de eventos: Registros de eventos ocurridos en un sistema operativo.

Cookies: Pequeños archivos de texto que almacenan información sobre la navegación del usuario.

4. Bases de Datos:

Información estructurada: Tablas, registros, consultas.

Datos personales: Nombres, direcciones, números de teléfono.

Información financiera: Transacciones bancarias, movimientos con tarjetas de crédito.

5. Evidencia en Dispositivos Móviles:

Mensajes de texto: SMS, MMS.

Llamadas: Registros de llamadas entrantes y salientes.

Contactos: Lista de contactos guardados en el dispositivo.

Aplicaciones: Datos almacenados en aplicaciones como WhatsApp, Telegram, Facebook Messenger.

Ubicación: Datos de GPS.

6. Evidencia en la Nube:

Documentos almacenados en la nube: Google Drive, Dropbox, OneDrive.

Correos electrónicos: Gmail, Outlook.

Mensajería instantánea: WhatsApp Web, INSTAGRAM, Facebook, Telegram Web, etc.

7. Evidencia de Redes:

Paquetes de datos: Información transmitida a través de una red.

Cabeceras de paquetes: Información sobre el origen y destino de los datos.

Registros de tráfico: Actividad en una red.

¿Para qué se utiliza esta evidencia?

La evidencia digital se utiliza en una amplia gama de casos, como:

Delitos cibernéticos: Hack, fraude electrónico, pornografía infantil.

Delitos contra la propiedad intelectual:** Piratería, violación de derechos de autor.

Delitos sexuales:** Grooming, ciberacoso.

Delitos contras las Personas: Por ejemplo, en los Homicidios se hace una análisis de dispositivos móviles para reconstruir los últimos momentos del occiso.

Es importante destacar que la obtención y análisis de la evidencia digital deben realizarse de manera rigurosa y siguiendo protocolos específicos para garantizar su admisibilidad en un juicio. Ver art. 187 del COPP.

Experticia de Extracción de Contenido de Teléfonos Celulares

En la era digital actual, los teléfonos celulares se han convertido en dispositivos omnipresentes que albergan una vasta cantidad de información personal, profesional y de trabajo muy sensible. Esta información puede ser de vital importancia en el ámbito legal, convirtiéndose en una pieza clave para la investigación y resolución de diversos casos como delitos informáticos, investigaciones penales contra la corrupción, secuestros, asociaciones para delinquir, estafas, entre muchos otros.

Lo que primero debemos determinar es, cómo debe realizarse previamente, la Experticia de Extracción de Contenido de Teléfonos Celulares que son aparatos o dispositivos informáticos y de comunicación. Una vez que tengamos esta actividad culminada y comprendamos que es suficiente evidencia para demostrar la responsabilidad penal de un hecho punible cualquiera, luego hacemos la debida argumentación en el capítulo correspondiente en la promoción de pruebas y así lograr su admisión en la audiencia preliminar.

¿Qué es una Experticia de Extracción de Contenido de Teléfonos Celulares?

Una experticia o dictamen pericial (Art. 225 del COPP) de extracción de contenido de teléfonos celulares es un procedimiento técnico-científico complejo que tiene como objetivo recuperar y analizar la información almacenada en un dispositivo celular, para establecer la verdad de los hechos relevantes por las vías jurídicas, en la aplicación del derecho. Este proceso se lleva a cabo por peritos informáticos forenses (Arts. 114 y 224 del COPP), profesionales altamente calificados que poseen las herramientas, el conocimiento y la experiencia necesarios para realizar una extracción completa y segura de los datos, preservando su integridad y autenticidad.

Objetivos de la Experticia:

El dictamen pericial deberá contener; de manera clara y precisa, el o los motivos por los cuales se practica, la descripción de la persona o cosa que sea objeto del mismo, en el estado o del modo en que se halle, la relación detallada de los exámenes practicados, los resultados obtenidos y las conclusiones que se formulen respecto del peritaje realizado, conforme a los principios o reglas de su ciencia o arte.

La experticia de extracción de contenido de teléfonos celulares persigue diversos objetivos (Art. 111.3 del COPP), entre los que destacan los siguientes:

• Aportar pruebas para investigaciones: La información extraída del teléfono celular puede ser utilizada como evidencia crucial en investigaciones penales, proporcionando elementos concretos que con la lícita incorporación de estas pruebas, de las cuales los Jueces obtienen su convencimiento para pronunciar la sentencia. 
• Recuperar información borrada o eliminada: El perito forense posee las habilidades y herramientas necesarias para recuperar información que ha sido eliminada intencionalmente o accidentalmente del dispositivo.
• Extraer información oculta o encriptada: El perito forense puede acceder a información que se encuentra oculta o encriptada en el dispositivo, utilizando técnicas especializadas para descifrarla.
• Identificar la actividad del usuario: La experticia permite identificar la actividad del usuario en el dispositivo, incluyendo el uso de aplicaciones, el historial de navegación web, los registros de llamadas y mensajes, entre otros datos relevantes.
• Proteger la privacidad del usuario: La experticia se realiza en un entorno controlado y seguro, garantizando la protección de la privacidad del usuario y la confidencialidad de la información extraída.

¿Qué tipo de información se puede extraer?

La experticia de extracción de contenido de teléfonos celulares puede recuperar una amplia gama de información, incluyendo (según la actividad delictiva involucrada):

• Mensajes de Texto (SMS): Se recuperan los mensajes enviados y recibidos, incluyendo el contenido, la fecha y hora de envío/recepción, y la identidad de los contactos involucrados: Se recuperan los mensajes enviados y recibidos en diferentes plataformas de mensajería derivadas de software o aplicaciones informáticas, incluyendo el contenido, la fecha y hora de envío/recepción, y la identidad de los contactos involucrados. El smishing es un tipo de phishing que se realiza a través de mensajes de texto SMS. Los ciberdelincuentes envían mensajes a sus víctimas haciéndose pasar por una empresa u organización legítima, como un banco, una compañía telefónica o una tienda online. El mensaje suele incluir un enlace o un número de teléfono al que la víctima debe responder o llamar. Una vez que la víctima contacta con los ciberdelincuentes, estos intentan obtener información personal o financiera, como contraseñas, números de tarjetas de crédito o datos bancarios. Igualmente, los ciberdelincuentes pueden enviar mensajes de texto SMS que contienen malware. Al hacer clic en un enlace o abrir un archivo adjunto en el mensaje, la víctima puede infectar su dispositivo móvil con malware. Este malware puede robar información personal, financiera o incluso tomar el control del dispositivo.

• Mensajes de datos en redes sociales (WhatsApp, Telegram, Instagram, Facebook, etc.): Se recuperan los mensajes enviados y recibidos en diferentes plataformas de mensajería derivadas de software o aplicaciones informáticas, incluyendo el contenido, la fecha y hora de envío/recepción, y la identidad de los contactos involucrados. Recordemos el Malware: el software malicioso que puede infectar los dispositivos de una empresa y sustraer datos. El ransomware: ataques que bloquean el acceso a los datos de la empresa y exigen un rescate para desbloquearlos.

• Registros de llamadas: Se extrae el historial de cruce de llamadas realizadas y recibidas, incluyendo el número de teléfono, la fecha y hora de la llamada, la duración de la misma y el tipo de llamada (entrante, saliente y perdida, para demostrar la conexión existente entre víctimas y victimarios en sus distintos grados de participación, antes, durante y después de cometidos los hechos. La SC del TSJ en sentencia No. 1242 del 16/8/13, en el exp. 12-1283, ha dicho que: "... la relación de llamadas no permite determinar el contenido de la comunicación, no resulta un medio adecuado y por tanto necesario para conocer lo conversado, de allí que no emerge de aquella la convicción de que en esas comunicaciones el ahora accionante giró las instrucciones a otros para que cometieran los delitos, como supuesto contenido de las conversaciones telefónicas, lo cual pasa a ser sólo un indicio y, en consecuencia, no acredita que el mismo haya participado en los hechos investigados por los cuales fue acusado o, al menos, que haya dado la orden para que se cometieran los delitos." Atentos al vishing, que es otro tipo de phishing que se realiza a través de llamadas telefónicas. Los ciberdelincuentes llaman a sus víctimas haciéndose pasar por una empresa u organización legítima. Durante la llamada, intentan obtener información personal o financiera de la víctima, induciendo a revelar contraseñas, números de tarjetas de crédito o datos bancarios.

• Correos electrónicos: Se recuperan los correos electrónicos enviados y recibidos, incluyendo el contenido, la fecha y hora de envío/recepción, el remitente, el destinatario y los archivos adjuntos. También, lógicamente es un software que respalda la utilización del correo electrónico que debe ser debidamente descrito en qué plataforma se realiza esta actividad. Recordemos el Phishing: los correos electrónicos fraudulentos que intentan obtener información confidencial.

• Contactos: Se extrae la lista de contactos almacenada en el dispositivo, incluyendo el nombre, número de teléfono, dirección de correo electrónico y otra información relevante.

• Archivos multimedia (fotos, vídeos, audios): Se recuperan las fotos, vídeos y audios almacenados en el dispositivo, incluyendo la fecha y hora de creación, la ubicación donde fueron capturados o grabados, y la información de metadatos.

• Historial de navegación web: Se extrae el historial de páginas web visitadas, incluyendo la dirección URL, la fecha y hora de la visita, y el tiempo de permanencia en cada página.

• Aplicaciones instaladas: Se identifica la lista de aplicaciones instaladas en el dispositivo, incluyendo la fecha y hora de instalación, la versión de la aplicación y los permisos de acceso a los datos del dispositivo.

• Datos de ubicación (GPS): Se recuperan los datos de ubicación GPS del dispositivo, incluyendo la fecha y hora, la latitud y longitud, y la precisión de la ubicación (localización geográfica con mucha exactitud). Esto suele ser muy útil en asuntos de extorsión y secuestro, entre otros delitos.

• Registros de actividad del dispositivo: Se extraen los registros de actividad del dispositivo, incluyendo el encendido y apagado, la actividad de las aplicaciones, los cambios de configuración y otros eventos relevantes.

Importancia de la Cadena de Custodia:

La cadena de custodia (Art. 187 del COPP) es un procedimiento fundamental en la experticia de extracción de contenido de teléfonos celulares, ya que garantiza la integridad, autenticidad y admisibilidad de la evidencia en un proceso judicial. 

La cadena de custodia implica documentar detalladamente el manejo del dispositivo desde el momento de su utilización hasta la finalización del análisis forense. Esto incluye:

• Registro del estado del dispositivo: Se documenta el estado inicial del dispositivo, incluyendo su apariencia física, los sellos de seguridad, la carga de la carga de la batería, y cualquier otro detalle relevante.
• Empaquetado y sellado: El dispositivo se empaqueta en un contenedor seguro y se sella con un identificador único.
• Registro de la cadena de custodia: Se registra cada transferencia del dispositivo entre diferentes personas o entidades, incluyendo la fecha, hora, nombre del responsable y motivo del traslado.
• Almacenamiento seguro: El dispositivo se almacena en un lugar seguro y controlado hasta el momento del análisis forense.
• Documentación del análisis forense: Se documenta detalladamente el proceso de extracción de contenido, incluyendo las herramientas utilizadas, especial los software que se utilizaron, los métodos empleados y los resultados obtenidos.
• Presentación del informe pericial: El perito forense elabora un informe detallado que describe el proceso de extracción de contenido, los hallazgos encontrados y las conclusiones del análisis del dictamen que se presentará por escrito, firmado y sellado, sin perjuicio del informe oral en la audiencia. 

Vean los Lineamientos para el correcto uso del Manual Único de Cadena de Custodia de Evidencias Físicas (MUCCEF), ver Protocolo anexo.