Móviles y tablets
- Extracción lógica y, cuando es viable, completa
- Mensajería, fotos y ubicaciones
- Aplicaciones y cuentas vinculadas
- Datos borrados, cuando es posible
02 · Análisis forense
Evidencia digital que se sostiene en un juzgado
Un mensaje de WhatsApp, un correo, un archivo borrado o el historial de un ordenador pueden decidir un procedimiento. Pero solo si se adquieren, se analizan y se explican correctamente. Nuestros peritos informáticos convierten los datos en prueba.
STS 300/2015
la sentencia del Tribunal Supremo que exige acreditar origen e integridad cuando se impugna una conversación aportada como captura.
1 bit
modificado basta para que la huella hash de una evidencia cambie por completo. Así se demuestra que nadie la ha alterado.
ISO 27037
la norma internacional para identificar, recoger, adquirir y preservar evidencia digital.
UNE 197010
la norma española con los criterios para elaborar informes y dictámenes periciales TIC.
Más allá de la captura
Lo que hay detrás de un mensaje
Una conversación aportada como captura es solo la superficie. Pasa el cursor o pulsa sobre cada capa para ver lo que aporta un análisis forense.
Conversación ilustrativa con datos ficticios
Qué analizamos
Cualquier soporte puede contener la prueba
Ordenadores y servidores
- Discos, memorias y copias de seguridad
- Archivos borrados y su historial
- Navegación y uso del equipo
- Dispositivos USB conectados
Correo y nube
- Autenticidad y cabeceras de correos
- Microsoft 365 y Google Workspace
- Registros de acceso y auditoría
- Documentos compartidos
Mensajería y redes
- WhatsApp, Telegram y otras
- Autoría de perfiles y cuentas
- Publicaciones y comentarios
- Conversaciones eliminadas
Así se reconstruyen los hechos
Los artefactos cuentan la historia
Un ordenador registra mucho más de lo que su usuario cree: dispositivos conectados, archivos abiertos, accesos y borrados. Correlacionados, permiten reconstruir lo ocurrido minuto a minuto.
disco_empleado.E01 · 476,9 GB
Caso ilustrativo con datos ficticios
- USB
Se conecta al equipo del empleado una memoria USB no corporativa, con su número de serie.
- LNK
Se abren desde la memoria tres archivos de la carpeta «Ofertas 2026».
- NAV
Acceso desde el navegador a un servicio personal de almacenamiento en la nube.
- M365
Reenvío de dos correos con adjuntos a una cuenta personal, según los registros de auditoría.
- SO
Vaciado de la papelera y ejecución de una herramienta de borrado seguro.
- USB
Desconexión de la memoria USB.
- HASH
Recuperación de 41 archivos borrados y coincidencia de sus huellas con los de la memoria aportada.
Casos habituales
En qué podemos ayudarte
Mensajería y redes sociales
Autenticidad e integridad de conversaciones de WhatsApp, Telegram, correo electrónico o redes sociales, más allá de una captura de pantalla.
Ámbito laboral
Uso indebido de medios de la empresa, despidos disciplinarios, acceso a información confidencial o borrado de datos al abandonar la organización.
Fuga de información
Competencia desleal, revelación de secretos empresariales y extracción de datos a dispositivos USB o servicios en la nube.
Delitos informáticos
Accesos no autorizados, suplantación de identidad, estafas, ciberacoso y daños informáticos.
Contratos tecnológicos
Incumplimientos en proyectos de software, valoración de desarrollos, calidad de servicios TIC y propiedad intelectual.
Contrapericiales
Revisión técnica de informes periciales aportados por la otra parte: metodología, cadena de custodia y validez de las conclusiones.
Antes de empezar
Recomendaciones para no perder la prueba
Muchas pruebas se pierden o se invalidan antes de llegar al perito. Estas pautas ayudan a evitarlo.
Conviene
- Consultarnos antes de apagar un ordenador: si está cifrado o hay datos en memoria, apagarlo puede hacerlos inaccesibles.
- Poner el móvil en modo avión y mantenerlo cargado.
- Anotar los códigos de desbloqueo y las cuentas asociadas, si se conocen.
- Identificar quién ha tenido acceso al dispositivo y desde cuándo.
- Actuar pronto: algunos registros en la nube solo se conservan durante un tiempo limitado.
Evita
- Investigar por tu cuenta: abrir archivos, navegar por carpetas o instalar programas.
- Reenviar mensajes, restaurar copias de seguridad o cambiar de móvil.
- Confiar solo en capturas de pantalla.
- Entregar el dispositivo a un servicio técnico sin metodología forense.
- Acceder a cuentas o dispositivos ajenos sin autorización: la prueba podría ser nula.
Una prueba mal obtenida puede quedar invalidada
¿Necesitas un perito informático?
Cuéntanos el caso, qué dispositivos o pruebas hay y los plazos del procedimiento. Te diremos qué es técnicamente viable y cómo plantear la pericial antes de comprometer costes.
- Despachos de abogados
- Empresas y RR. HH.
- Aseguradoras
- Particulares
- Encargos judiciales
- Contrapericiales
Metodología
Del dispositivo al informe
Trabajamos conforme a buenas prácticas reconocidas, como ISO/IEC 27037 para la adquisición y preservación de evidencias y UNE 197010 para la elaboración de informes periciales TIC.
- Preservación
Adquisición forense con cálculo de huellas hash, ante notario o testigos cuando conviene, y cadena de custodia documentada.
- Análisis
Examen con herramientas y técnicas forenses, siempre sobre copias y nunca sobre el original.
- Informe
Dictamen claro para el juez y el abogado, con anexos técnicos verificables y conclusiones motivadas.
- Ratificación
Defensa del informe en sala y respuesta a las preguntas de las partes y del tribunal.
- Objetividad. El informe responde a los hechos técnicos, no a lo que conviene a quien lo encarga.
- Integridad verificable. Cada adquisición queda identificada por su huella hash para que cualquier otro perito pueda comprobarla.
- Confidencialidad. Acceso restringido a la evidencia y tratamiento conforme a la normativa de protección de datos.
- Lenguaje comprensible. Conclusiones redactadas para que un juez sin formación técnica pueda entenderlas y valorarlas.
Nuevas especialidades
Ampliamos el servicio forense
Dos áreas en las que la evidencia digital es cada vez más determinante y que todavía muy pocos profesionales cubren.
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué diferencia hay entre perito de parte y perito judicial?
El perito de parte es contratado por una de las partes para aportar un dictamen al procedimiento. El perito judicial es designado por el juzgado. En ambos casos el perito debe actuar con objetividad y así lo manifiesta bajo juramento o promesa.
¿Sirve una captura de pantalla de WhatsApp como prueba?
Puede aportarse, pero si la otra parte la impugna, quien la presenta debe probar su autenticidad. La jurisprudencia del Tribunal Supremo (STS 300/2015) recomienda en esos casos una pericial sobre el dispositivo.
¿Se pueden recuperar mensajes o archivos borrados?
A veces sí y a veces no. Depende del dispositivo, del sistema, del tiempo transcurrido y del uso posterior. Antes de aceptar un encargo te diremos con honestidad qué es razonable esperar.
¿Puede la empresa analizar el ordenador de un empleado?
Depende de la política de uso de los medios digitales, de que el trabajador haya sido informado previamente y de la proporcionalidad de la medida (art. 87 de la LOPDGDD y doctrina Barbulescu del TEDH). Lo revisamos antes de intervenir para que la prueba sea válida.
¿Cuánto cuesta una pericial informática?
Depende del número de dispositivos, del volumen de datos, de la urgencia y de si hay que ratificar en juicio. Tras una primera valoración del caso enviamos un presupuesto detallado por fases.
¿Trabajáis en toda España?
Sí. Muchas fases pueden realizarse en remoto, y nos desplazamos para adquisiciones y ratificaciones cuando el caso lo requiere.
Servicios relacionados
También te puede interesar
Contacto
Solicita una valoración del caso
Cuéntanos qué ha ocurrido, qué dispositivos o pruebas hay y en qué fase está el procedimiento. Te diremos qué es técnicamente viable y cómo plantear la pericial. La consulta es confidencial y sin compromiso.
¿Prefieres el correo?info@afsinformatica.com
Si hay un plazo judicial próximo, indica la fecha en el asunto del mensaje.