Evidencia digital, UFED y cadena de custodia: Guía práctica

1. Qué es la evidencia digital y por qué exige cuidados especiales

Se considera evidencia digital a cualquier dato almacenado o transmitido mediante sistemas informáticos: mensajes de WhatsApp, correos electrónicos, registros de ubicación, fotos, archivos de sistema, metadatos, etc. A diferencia de otros soportes, estos datos:

• Se pueden copiar en segundos sin dejar huella visible.
• Dependen del contexto técnico (sistema operativo, aplicaciones, servidores remotos).
• Pueden alterarse por errores humanos, fallas del sistema o mala praxis pericial.

2. Imagen forense y hashes: la “foto” de la prueba digital

En dispositivos móviles deben distinguirse adquisiciones lógicas, de sistema de archivos y físicas. Una imagen bit a bit no siempre es posible ni equivalente a los datos que una herramienta devuelve. Deben documentarse método, alcance y limitaciones, preservando el material obtenido para su revisión.

Los hashes permiten verificar que un conjunto concreto de bytes no cambió. Dos extracciones completas de un dispositivo activo pueden diferir por su funcionamiento; la comparación requiere conjuntos equivalentes y, cuando corresponda, revisión por archivo. El hash no demuestra quién creó el contenido ni que se obtuvo lícitamente.

• Indicar qué tipo de copia se hizo (lógica, física, física cifrada, etc.).
• Registrar hashes de archivos o conjuntos comparables, indicando algoritmo y alcance de la verificación.
• Preservar el original y documentar toda intervención, incluidos los cambios inevitables del procedimiento de adquisición.

3. Qué hace UFED y otras herramientas forenses

UFED es una suite de extracción y análisis de datos de dispositivos móviles. Permite acceder a:

• Contenido visible: contactos, historial de llamadas, chats, fotos, videos.
• Registros borrados o remanentes, cuando el equipo, el cifrado, la versión de la herramienta y el método permitan recuperarlos; no es una capacidad asegurada para cualquier dispositivo.
• Metadatos técnicos: fechas, ubicaciones, identificadores de dispositivo.

El problema no es la herramienta en sí, sino cómo se usa: un análisis sin criterios claros, sin delimitación temporal o temática, se parece más a una “pesca de arrastre” que a una pericia legítima.

4. Cadena de custodia: quién tuvo el dispositivo y qué hizo con él

La cadena de custodia es el registro documentado de quién tuvo contacto con la evidencia (el dispositivo original, la imagen forense, los soportes de copia), en qué momento y para qué. Su objetivo es evitar dudas sobre:

• Manipulaciones indebidas o accesos no autorizados.
• Pérdida de información o fallas en el sellado de la prueba.
• Contaminación por mezcla de archivos de otras causas o de equipos del laboratorio.

Cuando no hay registros claros, la defensa puede plantear que no se garantiza la autenticidad de lo que se presenta como prueba digital.

5. Errores típicos en pericias informáticas que abren la puerta a nulidades

Algunos errores frecuentes que se observan en expedientes de ciberdelitos:

• Pericias realizadas sin delimitar el objeto de análisis (por ejemplo, buscar “cualquier cosa incriminante”).
• Uso de múltiples programas sin explicar su funcionamiento ni los parámetros utilizados.
• Informes sin hashes, sin descripción del procedimiento o sin documentación de la cadena de custodia.
• Peritos que exploran carpetas y contenidos sin relación con la hipótesis inicial de investigación.

En estos supuestos, más que una nulidad “total” suele ser viable plantear: nulidades parciales, exclusión de determinados segmentos o, al menos, restar fuerza convictiva a la pericia.

6. Preguntas clave para analizar una pericia digital

A modo de checklist rápido, conviene formularse:

• ¿Se trabajó sobre el dispositivo original o sobre una imagen forense?
• ¿Hay hashes documentados y coincidentes?
• ¿Se respetó una cadena de custodia clara y continua?
• ¿El alcance temporal y temático del análisis fue razonable?
• ¿El informe explica paso a paso qué se hizo y con qué herramientas?

Una respuesta negativa justifica pedir explicación y evaluar su relevancia. No demuestra automáticamente manipulación ni nulidad: hay que vincular el defecto con autenticidad, contradicción, perjuicio y la vía procesal correspondiente.

7. Cómo articular la crítica técnica en un escrito judicial

La experiencia muestra que muchos jueces no son especialistas en informática, pero sí están acostumbrados a lenguaje procesal. Una buena estrategia es:

• Traducir los problemas técnicos a categorías procesales clásicas (falta de motivación, violación de defensa, defecto en la cadena de custodia, etc.).
• Utilizar ejemplos concretos del caso para mostrar el riesgo de error o manipulación.
• Proponer soluciones claras: nueva pericia, delimitación del objeto, exclusión de segmentos dudosos.

La combinación de rigor técnico y claridad procesal suele ser la que mejores resultados da en litigios de evidencia digital.