1. Por qué la cadena de custodia decide más casos que el análisis

La mayoría de los peritajes informáticos no se pierden porque el análisis sea malo. Se pierden porque la parte contraria consigue instalar una duda razonable sobre si la evidencia analizada es la misma que se recogió. Y esa duda no se rebate con conocimientos técnicos: se rebate con papel.

La cadena de custodia es el registro documentado e ininterrumpido de quién ha tenido la evidencia, desde cuándo, hasta cuándo, en qué condiciones y con qué finalidad. Si hay un solo tramo sin justificar, el abogado contrario tiene por dónde entrar.

2. Qué tiene que quedar registrado

La UNE 71505, sobre gestión de evidencias electrónicas, y la ISO/IEC 27037, sobre identificación, recolección, adquisición y preservación, coinciden en el contenido mínimo:

• Identificación inequívoca del soporte: marca, modelo, número de serie, capacidad y, si lo tiene, número de inventario. «Un disco duro de 1 TB» no identifica nada.
• Fecha, hora y lugar de la recogida, con la zona horaria explícita.
• Quién lo recoge, con nombre, cargo y firma.
• Estado en que se encuentra: encendido o apagado, precintos previos, daños visibles. Con fotografías.
• Valor resumen (hash) del contenido o de la imagen obtenida.
• Cada transferencia posterior: quién entrega, quién recibe, cuándo y para qué.
• Condiciones de almacenamiento entre fases: armario cerrado, precinto numerado, acceso restringido.

3. El hash: qué demuestra y qué no

Se calcula una función resumen criptográfica (hoy, SHA-256) del soporte original y de la copia. Si ambos valores coinciden, queda acreditado que la copia es idéntica bit a bit. Cualquier modificación posterior, aunque sea de un solo bit, cambia el resultado por completo.

Ahora la parte que se explica menos: el hash no acredita el origen. Demuestra que el fichero no ha cambiado desde que se calculó, no que proceda del equipo que se dice. Lo que une el hash con el soporte real es, otra vez, la documentación de la recogida. Por eso el hash es necesario pero no suficiente.

Sobre MD5 y SHA-1: siguen apareciendo en herramientas por compatibilidad, pero tienen colisiones demostradas y no deberían usarse como valor único de referencia. Si una herramienta solo ofrece MD5, acompáñalo de SHA-256.

4. El momento crítico: la recogida

Casi todos los problemas nacen aquí, y casi ninguno es culpa del perito, porque para entonces ya han pasado cosas.

4.1. Equipo encendido

Apagarlo destruye la memoria volátil, donde pueden estar claves de cifrado, procesos en ejecución y conexiones abiertas. Si el caso puede depender de eso, primero se vuelca la memoria y después se decide. Si el disco está cifrado y se apaga sin obtener la clave, puede que ya no haya caso.

4.2. Equipo apagado

No se enciende. Encender un Windows modifica decenas de marcas temporales, escribe en el registro y puede lanzar tareas de mantenimiento. Se extrae el soporte y se clona con bloqueador de escritura.

4.3. Servicios en la nube y registros de terceros

No hay soporte físico que precintar. Lo que hay son plazos de retención. Aquí la actuación urgente no es técnica, es formal: solicitar la preservación de los registros al proveedor antes de que roten, y documentar esa solicitud con su fecha.

5. El acta de intervención

Es el documento que abre la cadena. Debe recoger, como mínimo:

1. Quién interviene y en calidad de qué.
2. Dónde y cuándo, con testigos si los hay.
3. Qué soportes se intervienen, identificados uno a uno.
4. Estado y fotografías.
5. Método de adquisición y herramienta empleada, con versión.
6. Valores resumen obtenidos.
7. Precintado: número de precinto y fotografía.
8. Firmas de todos los presentes.

Un detalle que se olvida: anotar la hora del sistema del equipo frente a la hora real. Si el reloj estaba desviado, todas las marcas temporales del análisis lo estarán, y tenerlo documentado evita que la defensa lo use como incoherencia.

6. Errores frecuentes que invalidan el trabajo

• El «vistazo previo». Alguien de sistemas revisa el equipo antes de llamar al perito. Es, con diferencia, el error más común y el más difícil de reparar.
• Saltos temporales sin justificar. El soporte se recogió el día 3 y se clonó el día 20, sin constancia de dónde estuvo.
• Custodia en manos de parte interesada. El disco lo guarda el jefe del investigado.
• Precintos reutilizables o sin numerar. Un precinto que se puede abrir y volver a cerrar no precinta nada.
• Trabajar sobre el original. Aunque sea en modo lectura. Se trabaja sobre la copia verificada, siempre.

7. Cuando la cadena ya está rota

Pasa, y no siempre significa que el caso esté perdido. Lo que no se puede hacer es disimularlo: reconstruir a posteriori un acta que no existía es, además de inútil, un riesgo penal para quien la firma.

Lo correcto es documentar la interrupción con precisión, explicar qué alteraciones concretas pudo producir y acotar qué conclusiones siguen siendo sostenibles pese a ella. Un dictamen que dice «esto no puedo afirmarlo porque la evidencia se manipuló antes de mi intervención» conserva su credibilidad. Uno que pretende no haberse enterado la pierde entera.

8. Conclusión

La cadena de custodia es trabajo administrativo, y por eso se descuida. Pero es lo único que convierte un conjunto de ficheros en una prueba. El análisis demuestra qué hay dentro de la evidencia; la cadena de custodia demuestra que esa evidencia es la que dice ser. Sin lo segundo, lo primero no vale nada.

Si quieres ver el procedimiento completo aplicado a un caso, lo desarrollamos en peritaje y análisis forense de un sistema Windows.

¿Necesitas ayuda con la cadena de custodia de tus evidencias?

En Jaymon Security realizamos análisis forense digital y peritaje informático para procedimientos judiciales, investigaciones internas y respuesta a incidentes, con metodología documentada y cadena de custodia desde el primer minuto.

Consulta nuestro servicio de peritaje informático en Madrid o contacta con nosotros para valorar tu caso.

Formación relacionada

Si te dedicas o quieres dedicarte al peritaje informático, el procedimiento completo se trabaja en el Curso de Perito Informático y Análisis Forense en Windows: 150 horas y certificado verificable.