Peritaje 10 de 14
Recuperación forense de datos y archivos borrados
Recuperar un archivo borrado no es lo mismo que recuperarlo para un juicio. En un peritaje la recuperación se hace con herramientas de solo lectura, sobre una copia y dejando constancia de cada paso, para que el resultado se pueda defender.
Cuándo se encarga
- Se han borrado ficheros, correos o mensajes que son relevantes para un asunto.
- Un disco, un móvil o una memoria no arranca o está dañado y contiene la prueba.
- Quieres saber si alguien ha borrado información y cuándo.
- Necesitas recuperar contenido de un equipo antes de entregarlo o sustituirlo.
- La otra parte afirma que algo «nunca existió» y quieres comprobarlo.
Qué puede acreditar
- Qué ficheros existieron, cuándo se crearon y cuándo se borraron.
- Qué fragmentos de un fichero o de una conversación son recuperables y con qué fiabilidad.
- Si un borrado fue manual, automático o consecuencia de un fallo.
- El estado de un dispositivo dañado y qué se pudo extraer sin alterarlo.
- La integridad de lo recuperado, mediante la huella hash de la copia y de los resultados.
Lo que no puede acreditar
Un informe que promete más de lo que puede sostener se cae en el interrogatorio. Estos son los límites, dichos antes de empezar.
- No se puede garantizar la recuperación: depende del tipo de disco, del tiempo transcurrido y del uso posterior.
- En unidades de estado sólido y móviles cifrados, lo borrado suele ser irrecuperable.
- Un daño físico grave puede requerir un laboratorio especializado; lo coordinamos y lo documentamos, pero no lo prometemos.
- Un fichero recuperado en parte puede no tener valor probatorio: lo indicaremos.
Mientras tanto, no hagas esto
La mayoría de las pruebas digitales que se pierden, se pierden por un gesto bienintencionado.
- No sigas usando el dispositivo: cada escritura reduce lo recuperable.
- No instales programas de recuperación sobre el mismo disco.
- No abras discos dañados ni los lleves a talleres sin cadena de custodia.
- No restaures una copia de seguridad encima del contenido actual.
Cómo lo hacemos
Valoración previa
Nos cuentas el caso y revisamos qué prueba hay y en qué estado. Si no es viable o no la necesitas, te lo decimos antes de que encargues nada.
Adquisición con cadena de custodia
Obtenemos la evidencia del dispositivo, la cuenta o el servidor original, la identificamos con su huella hash y dejamos constancia de quién, cuándo y cómo.
Análisis forense
Trabajamos siempre sobre la copia, nunca sobre el original. Contrastamos los datos entre sí y documentamos cada paso para que otro perito pueda reproducirlo.
Informe pericial
Un dictamen que un juez entiende: qué se pidió, qué se analizó, cómo y qué se concluye, con los anexos y las huellas hash de las evidencias.
Ratificación en sala
Explicamos y defendemos el informe ante el tribunal y respondemos a las preguntas de las partes.
Qué necesitamos de ti
- El dispositivo en el estado en que está, apagado si es posible y sin conectarlo a otros equipos.
- La fecha aproximada en que se perdieron los datos y qué se ha hecho desde entonces.
- Las contraseñas o claves de cifrado, si existen.
- Qué ficheros o contenidos concretos interesan.
- UNE 197010:2015
- Criterios generales para la elaboración de informes y dictámenes periciales sobre TIC.
- UNE 71506:2013
- Metodología para el análisis forense de las evidencias electrónicas.
- UNE-EN ISO/IEC 27037
- Directrices para la identificación, recogida, adquisición y preservación de evidencias digitales.
Casos de uso
Situaciones habituales en las que se encarga este peritaje. No son clientes reales: son casos tipo, para que reconozcas el tuyo y veas cómo se trabajaría.
Dónde lo hacemos
En toda la Región de Murcia y la provincia de Alicante: Murcia, Cartagena, Lorca, Alicante, Elche, Orihuela, Torrevieja y Benidorm.
Peritajes relacionados
Averiguamos qué se hizo en un dispositivo: archivos copiados, borrados, accesos o programas espía.
Fuga de información y empleado deslealRastreamos qué se llevó un empleado y por dónde: USB, nube, correo personal o impresiones.
Conversaciones de WhatsAppAcreditamos que una conversación existe en el teléfono, entre qué números se mantuvo y que no se ha alterado.
Preguntas frecuentes
¿Cuánto tiempo después de borrar se puede recuperar?
No hay un plazo fijo. En discos mecánicos con poco uso posterior puede recuperarse mucho; en unidades de estado sólido, poco o nada. Cuanto antes se pare el uso, mejor.
¿Vale lo recuperado como prueba?
Si se obtiene con cadena de custodia y se documenta, sí puede ser aportado. Su valor lo decidirá el tribunal junto con el resto de pruebas.
¿Recuperáis solo para uso personal?
Nos centramos en recuperaciones con finalidad probatoria. Para recuperaciones sin fin judicial, te orientamos hacia servicios específicos.
¿Tienes una prueba digital y un plazo?
Cuéntanos el caso. Te decimos si la prueba es viable y qué hace falta para presentarla, antes de encargar nada.