¿Cómo recolectar evidencia digital de WhatsApp sin perder su valor probatorio?
WhatsApp se ha convertido en una de las principales fuentes de información digital en conflictos laborales, comerciales, familiares y procesos judiciales. Conversaciones, fotografías, audios, videos, documentos y registros de comunicación pueden aportar información relevante para establecer determinados hechos.
Sin embargo, existe un problema frecuente:
muchas personas comienzan a manipular la información antes de pensar en preservarla.
Reenvían conversaciones, eliminan mensajes, cambian de teléfono, reinstalan WhatsApp, toman únicamente algunas capturas de pantalla o entregan el dispositivo a terceros.
Desde la perspectiva de la informática forense, estas actuaciones pueden dificultar posteriormente el análisis técnico de la evidencia.
Una captura de pantalla puede no ser suficiente
Cuando una persona necesita demostrar una conversación, normalmente lo primero que hace es tomar una captura de pantalla.
Esta puede documentar visualmente determinada información, pero una investigación técnica puede requerir mucho más contexto.
Por ejemplo, puede ser necesario determinar el dispositivo del cual procede la información, las fechas y horas asociadas, la continuidad de la conversación, los participantes, los archivos multimedia relacionados y otros elementos técnicamente disponibles.
Por eso existe una diferencia importante entre mostrar una conversación y realizar un análisis forense de una evidencia digital.
¿Qué hacer cuando una conversación puede convertirse en evidencia?
La primera recomendación es sencilla:
preserve antes de modificar.
Cuando un teléfono celular contiene información potencialmente relevante para un proceso judicial, debería evitarse cualquier actuación innecesaria que pueda alterar los datos.
En términos generales, resulta conveniente:
- No eliminar la conversación original.
- No restablecer el dispositivo a valores de fábrica.
- No desinstalar WhatsApp.
- Conservar los archivos, fotografías, audios y documentos relacionados.
- Evitar manipulaciones innecesarias del dispositivo.
- Documentar adecuadamente cómo y cuándo se obtuvo la información.
- Consultar a un especialista cuando la información pueda adquirir relevancia judicial.
Cada caso es diferente y la metodología adecuada dependerá del dispositivo, sistema operativo, aplicación, información disponible y finalidad del análisis.
¿Qué puede analizar un perito informático?
El análisis de una conversación no necesariamente se limita al texto visible.
Dependiendo de las condiciones particulares del caso y de la información técnicamente disponible, un perito informático puede estudiar diferentes elementos asociados con la evidencia.
Entre ellos pueden encontrarse información del dispositivo, archivos relacionados, datos temporales, documentos, fotografías, videos, audios y otros artefactos digitales relevantes.
El objetivo consiste en establecer técnicamente qué información existe, cuáles son sus características y qué conclusiones pueden sustentarse objetivamente.
Integridad: una palabra fundamental
En informática forense hablamos constantemente de integridad de la evidencia digital.
Cuando determinado archivo o información es adquirido para un análisis, pueden emplearse mecanismos técnicos destinados a controlar su integridad.
Uno de ellos corresponde a las funciones hash, que generan un valor matemático asociado al contenido de un archivo o conjunto de datos.
Esto permite realizar verificaciones posteriores y documentar técnicamente el tratamiento de determinados elementos digitales.
La trazabilidad también importa
No solamente interesa saber qué contiene una evidencia.
También puede resultar importante documentar:
quién la recibió, cuándo fue recibida, cómo fue identificada, qué procedimiento se realizó, qué herramientas fueron utilizadas y qué ocurrió con ella durante el análisis.
Esta trazabilidad adquiere especial importancia cuando posteriormente un profesional debe explicar sus procedimientos y conclusiones dentro de un escenario judicial.
¿Debo apagar el teléfono?
No existe una respuesta universal.
Dependiendo de las circunstancias, apagar, mantener encendido, conectar, desconectar o manipular un dispositivo puede tener consecuencias diferentes sobre la información disponible.
Por esa razón, cuando existe una situación jurídicamente relevante, es preferible no improvisar procedimientos técnicos y buscar orientación especializada.
Cuidado con "limpiar" el teléfono
Uno de los errores más delicados ocurre cuando una persona considera que su dispositivo puede haber sido comprometido y decide inmediatamente formatearlo.
Desde la perspectiva de seguridad, eliminar una amenaza puede ser prioritario.
Pero desde una perspectiva forense, un borrado podría destruir precisamente la información necesaria para determinar qué ocurrió, cuándo ocurrió y qué elementos estuvieron involucrados.
Cuando existe posibilidad de fraude, acceso no autorizado, amenaza, extorsión u otra situación que pueda derivar en un proceso judicial, conviene evaluar primero si existe información que deba preservarse.
Evidencia digital y proceso judicial
La informática forense no determina por sí misma quién tiene la razón dentro de un proceso.
Su función consiste en aportar conocimientos especializados para identificar, preservar, analizar, documentar e interpretar técnicamente información digital.
Posteriormente corresponde a las autoridades competentes valorar el conjunto de elementos existentes dentro del proceso.
Por eso un principio sencillo puede resultar determinante:
Primero preservar. Después analizar. Finalmente concluir.
Una conversación de WhatsApp aparentemente sencilla puede contener información importante. Pero su verdadero valor técnico dependerá, entre otros factores, de cómo fue obtenida, preservada, contextualizada y analizada.
Forensic TIC S.A.S. | Informática Forense y Evidencia Digital
En Forensic TIC S.A.S. realizamos acompañamiento especializado en informática forense, análisis de evidencia digital, peritaje informático y apoyo técnico en procesos judiciales.
Cuando un teléfono celular, computador, correo electrónico, conversación de WhatsApp, archivo o información digital pueda tener relevancia dentro de un proceso, una valoración técnica temprana puede ayudar a determinar las alternativas de preservación y análisis disponibles.
Puede conocer nuestros demás contenidos especializados en Forensic TIC.
Nota: Este artículo tiene carácter informativo y no sustituye el análisis técnico o jurídico de un caso particular.
Comentarios
Publicar un comentario