El correo electrónico como prueba: qué vale y qué no
Un correo electrónico parece una prueba sólida: lleva fecha, remitente y destinatario. Pero lo que se ve en pantalla es solo la parte visible, y esa parte se puede escribir a mano. Lo que de verdad prueba está debajo.
Lo que ves y lo que no ves
Cada correo viaja con unas cabeceras técnicas que normalmente están ocultas. Registran, entre otras cosas:
- Por qué servidores pasó el mensaje y a qué hora llegó a cada uno.
- Un identificador único del mensaje.
- El resultado de las comprobaciones contra la suplantación que hizo el servidor que lo recibió.
- En muchos casos, una firma digital del dominio emisor que permite verificar que el contenido no se ha modificado.
Un correo impreso, un PDF o una captura no contienen nada de eso. Por eso, ante una impugnación, sirven de poco.
Remitente aparente y remitente real
El nombre y la dirección que aparecen en «De:» son un campo de texto. Quien envía puede poner lo que quiera, igual que en el remite de un sobre. Lo que no puede falsificar con la misma facilidad es desde qué servidor salió el mensaje.
Las cabeceras permiten distinguir tres situaciones muy diferentes:
- El correo salió de verdad del sistema del remitente. O lo envió él, o alguien había entrado en su cuenta.
- El correo salió de otro sitio usando su dirección. Es una suplantación, y los sistemas actuales suelen marcarla.
- El correo salió de un dominio parecido: una letra cambiada, otra terminación. A simple vista no se nota.
En un fraude del cambio de cuenta bancaria, saber cuál de las tres ocurrió es lo que determina dónde estuvo el fallo.
Qué puede acreditar un peritaje
- El recorrido del mensaje y sus horas.
- Si el dominio emisor lo firmó y la firma sigue siendo válida.
- Si hay incoherencias que apunten a una manipulación.
- Los adjuntos y su huella de integridad.
- Con acceso al servidor, los accesos al buzón y las reglas de reenvío.
Qué no puede acreditar
- Quién estaba al teclado. Se acredita la cuenta, no la persona.
- Que el destinatario lo leyera, salvo acuse o registro.
- Lo que ya no existe. Las firmas dependen de claves que los proveedores cambian, y los registros de los servidores se borran pasado un tiempo. El paso de los meses reduce lo que se puede verificar.
Qué conservar
- El mensaje en el buzón, sin moverlo ni borrarlo.
- La cuenta activa. No la des de baja ni cambies de proveedor antes de extraer los mensajes.
- Los adjuntos tal como llegaron.
- Los correos anteriores y posteriores del mismo hilo.
- Los datos de quien administra el correo, si es de empresa.
Y qué evitar: reenviar el correo como única copia (el reenvío reescribe parte de la información), copiar el texto a un documento o vaciar la papelera.
Si eres tú quien recibe un correo sospechoso
Ante una petición de pago, un cambio de cuenta o una orden urgente: verifícalo por otro canal, con un teléfono que ya conocieras. No respondas al propio correo. Y si ya has pagado, avisa de inmediato a tu banco, denuncia y no borres nada: el mensaje original es la prueba.
Aquí explicamos en qué consiste el peritaje de correo y, si ha habido una intrusión, el análisis forense del incidente.