Hay una llamada que el equipo de Duriva recibe con una frecuencia que ya no sorprende pero que nunca deja de generar la misma urgencia. Es la llamada del empresario, del director de recursos humanos o del abogado corporativo que dice algo como: «Un empleado se fue y creemos que se llevó información. Necesitamos demostrarlo.»
Y casi siempre, en esa misma llamada, viene la segunda frase. La que cambia todo. La que convierte un caso sencillo en uno complicado — o en uno irrecuperable:
«Ya le dijimos a IT que formateara la máquina para el nuevo empleado.»
Detengan todo. Antes de seguir con este artículo, si alguien en su empresa acaba de renunciar o fue despedido y sospechan que se llevó información, necesitan escuchar esto con toda claridad: antes de tocar esa computadora, aíslenla. No la formateen. No la «limpien.» No le instalen nada. No la enciendan para «revisar rapidito.» No dejen que el de sistemas entre a «verificar.» Aíslenla. Desconéctenla de la red. Pónganla en un lugar seguro. Y llamen a un perito forense.
Cada minuto que pasa con esa máquina conectada, encendida o siendo manipulada es un minuto donde se puede estar sobrescribiendo evidencia. Evidencia que podría demostrar exactamente qué se llevó el empleado, cuándo se lo llevó, cómo se lo llevó y a dónde lo envió. Evidencia que podría ser la diferencia entre un despido justificado documentado y una demanda laboral que la empresa va a perder.
Este artículo explica, paso a paso, cómo funciona una investigación forense cuando se sospecha de robo de información por parte de un empleado. Qué puede encontrar el perito en esa computadora. Qué errores cometen las empresas que destruyen su propia evidencia. Y qué necesita saber el empresario, el director de recursos humanos, el abogado corporativo y el gerente de IT para manejar correctamente una situación que es mucho más común de lo que cualquiera quisiera admitir.
La primera pregunta que lo cambia todo
Cuando una empresa contacta a Duriva por un caso de sospecha de robo de información, hay una pregunta que se hace antes de tocar cualquier equipo, antes de conectar cualquier cable, antes de abrir cualquier herramienta forense. Es una pregunta que parece simple pero que tiene implicaciones enormes en el alcance, la metodología y el costo de la investigación:
¿Van a proceder legalmente?
La respuesta a esa pregunta cambia todo. No es bueno ni malo, no es de actitud. Es de alcance.
Si la empresa dice «no, esto es interno, solo queremos saber qué pasó para tomar una decisión de recursos humanos,» el proceso se puede agilizar. Se puede trabajar directamente sobre el disco duro sin necesidad de hacer una copia forense con cadena de custodia completa. Se pueden obtener resultados en horas, no en días. El objetivo es claridad interna: saber qué pasó, documentarlo, y que la empresa tome su decisión informada.
Pero si la empresa dice «sí, vamos a proceder legalmente» — o incluso «no sabemos, depende de lo que encuentren» — el protocolo cambia por completo. Ahora hay que hacer copia forense bit a bit. Hay que calcular valor hash SHA-256 antes y después. Hay que documentar la cadena de custodia en video. Hay que generar un dictamen pericial que cumpla con los requisitos del artículo 210-A del Código Federal de Procedimientos Civiles para que tenga valor probatorio ante un juez. Porque si mañana esa empresa quiere demandar al empleado y la evidencia no fue recolectada con rigor forense, la contraparte la va a impugnar. Y va a tener razón.
Empresario que lee esto y todavía no ha decidido si va a demandar: la recomendación siempre es tratar el caso como si se fuera a proceder legalmente. Es más costoso, toma un poco más de tiempo, pero preserva todas las opciones. Si después deciden no demandar, no perdieron nada. Si deciden demandar y la evidencia no fue preservada correctamente, ya perdieron todo. Es como un seguro: no lo necesitas hasta que lo necesitas, y cuando lo necesitas y no lo tienes, ya es tarde.
Abogado corporativo que lee esto y va a asesorar a la empresa: la primera instrucción que debe dar es preservar. Antes de que nadie toque nada. Antes de que sistemas «revise.» Antes de que le pasen la máquina al nuevo empleado. Preservar. Todo lo demás viene después.
El timeline forense: los últimos 30 días bajo el microscopio
Cuando el equipo de Duriva recibe una computadora sospechosa de haber sido utilizada para extraer información, lo primero que se construye es lo que internamente se conoce como el timeline forense. Es una reconstrucción cronológica de toda la actividad del equipo, enfocada particularmente en los últimos 30 días antes de la salida del empleado.
¿Por qué 30 días? Porque la experiencia de más de 17 años y más de 1,300 peritos formados ha demostrado un patrón consistente: los empleados que planean llevarse información comienzan a preparar su salida semanas antes. No es un acto impulsivo de último momento. Es un proceso que tiene fases, tiene patrones, tiene huellas digitales que el empleado no sabe que está dejando.
Y esas huellas están en todas partes.
Las memorias USB: número de serie, marca, modelo, primera y última conexión
Este es uno de los vectores de investigación más reveladores. Windows registra cada dispositivo USB que se ha conectado al equipo desde que se compró. Cada uno. Sin excepción. Y no registra solo que se conectó «una memoria.» Registra el número de serie del dispositivo, la marca, el modelo, la primera vez que se conectó y la última vez que se conectó.
Piensen en lo que eso significa.
Si un empleado que durante dos años nunca conectó una memoria USB a su equipo corporativo de pronto, en las últimas dos semanas antes de renunciar, conectó tres memorias distintas — con números de serie diferentes, en fechas específicas, a horas específicas — eso no es coincidencia. Eso es un patrón de extracción de datos.
Y lo poderoso de esta evidencia es que no se puede negar. El empleado puede decir «yo nunca conecté nada.» Pero el registro del sistema operativo dice otra cosa. El registro tiene número de serie, tiene fecha, tiene hora. Es como si la computadora hubiera estado tomando nota de todo, porque efectivamente eso es exactamente lo que hace.
Los dispositivos que están actualmente conectados aparecen marcados en verde. Los que se conectaron en el pasado y ya no están, aparecen con su historial completo. Primera conexión, última conexión. Y cuando la última conexión de una memoria USB desconocida coincide con los días previos a la renuncia del empleado, la fotografía empieza a tomar forma.
Gerente de IT que lee esto: seguramente su empresa tiene política de bloqueo de puertos USB. Muchas la tienen. Pero esa política se implementa con software de endpoint protection. Y ese software tiene una particularidad que pocos conocen: ciertos discos duros externos — particularmente los Seagate conectados por USB — no son detectados como dispositivos USB por algunos endpoints. Son detectados como discos SATA, como si fueran internos. El endpoint los deja pasar. El bloqueo de puertos USB no los detiene. Y el empleado con conocimiento técnico lo sabe.
Subidas a nubes personales y correos con adjuntos
El bloqueo de puertos USB no es el único canal de fuga. De hecho, en muchos de los casos que llegan a Duriva, el canal principal de extracción de datos no fue una memoria USB. Fue algo mucho más sutil y mucho más difícil de detectar sin herramientas forenses: la nube personal del empleado.
Google Drive. Dropbox. OneDrive personal. WeTransfer. Y el favorito de todos: WhatsApp Web.
Un empleado que tiene acceso a WhatsApp Web desde su computadora corporativa puede arrastrar y soltar archivos directamente desde las carpetas de la empresa a una conversación de WhatsApp. Desde ahí, el archivo está en su celular personal. Se lo llevó. Y no tuvo que conectar ningún dispositivo físico. No activó ninguna alerta del endpoint. No dejó rastro en los registros de USB.
O eso cree.
Porque lo que el empleado no sabe — y esto es lo que las herramientas forenses revelan — es que el navegador guarda registros de toda esa actividad. Las sesiones de WhatsApp Web. Las subidas a Google Drive. Las descargas de WeTransfer. Los archivos adjuntos enviados por correo electrónico. Todo eso queda registrado en el historial del navegador, en los archivos temporales, en la caché. Y un análisis forense lo encuentra.
Incluso los correos electrónicos del empleado pueden ser una mina de información — siempre y cuando la empresa tenga la cláusula contractual correcta. Y este es un punto crítico que el abogado corporativo necesita entender.
Abogado corporativo que lee esto: si la empresa no tiene en sus contratos laborales una cláusula que autorice el monitoreo de las comunicaciones realizadas en equipos corporativos, la evidencia obtenida de los correos electrónicos del empleado puede ser impugnada. La herramienta forense te da acceso a todo, pero «poder acceder» no es lo mismo que «poder usar legalmente.» La cláusula de monitoreo no es un detalle administrativo. Es el fundamento legal que sostiene toda la evidencia de correo electrónico y comunicaciones. Si no la tienen, hablen con su abogado laboral antes de que ocurra el siguiente incidente. Porque cuando ya ocurrió, es tarde para redactar la cláusula que debieron tener desde el principio.
El error fatal: formatear para el nuevo empleado
Ahora viene la parte que da coraje. La parte que el equipo de Duriva ha visto tantas veces que ya debería existir un cartel enmarcado en cada departamento de IT de México que diga: NO FORMATEES EL EQUIPO DE UN EMPLEADO QUE ACABA DE SALIR.
Pero no existe. Y lo que sí existe, una y otra vez, es el siguiente escenario:
El empleado renuncia un viernes. El lunes siguiente, el gerente de IT — siguiendo su protocolo habitual, haciendo exactamente lo que siempre hace, sin mala intención — formatea la computadora, instala Windows limpio, configura el perfil del nuevo empleado, y entrega el equipo listo para usar.
Cuando tres semanas después la empresa descubre que el exempleado está usando información confidencial para competir — listas de clientes, fórmulas, planos, cotizaciones, estrategias comerciales — y contacta a Duriva para demostrar que la obtuvo de la computadora corporativa, la primera pregunta que se hace es: ¿la computadora fue formateada?
«Sí, le instalamos todo limpio para el nuevo.»
Ahí se acaba una parte importante del caso. No todo — porque como se va a explicar más adelante, el formateo no destruye todo. Pero se pierde la capa más accesible, más organizada y más fácil de presentar ante un juez. Se pierde el timeline limpio. Se pierde la estructura de archivos intacta. Se pierde la posibilidad de decirle al juez «aquí está, tal cual lo dejó el empleado, no se ha tocado nada.»
Director de recursos humanos que lee esto y que tiene un proceso estándar de «preparar equipo para el siguiente»: ese proceso necesita una excepción. Cuando un empleado sale de la empresa — por renuncia, por despido, por cualquier causa — el equipo no se toca. No se limpia. No se formatea. No se reasigna. Se aísla. Se resguarda. Y se espera un período razonable — 30 días mínimo, 90 si hay sospechas — antes de tomar cualquier decisión sobre ese hardware. Ese período es la ventana donde la empresa puede decidir si necesita una investigación forense. Si la ventana se cierra por un formateo prematuro, la empresa se quedó sin su mejor evidencia.
La capa de metadatos: el registro invisible de todo
Hay un concepto en informática forense que es, probablemente, el más poderoso y el menos comprendido por personas no técnicas: la MFT. La Master File Table. La tabla maestra de archivos.
Para explicar esto con una analogía que cualquier empresario puede entender: imaginen que compran una bodega nueva. Vacía. Desde el primer día, alguien empieza a llevar una bitácora donde anota cada objeto que entra a esa bodega. Qué entró, cuándo entró, quién lo metió, en qué estante se colocó, si se movió de lugar, si se sacó, cuándo se sacó. Todo. Cada movimiento de cada objeto desde el día que se abrió la bodega.
Eso es la MFT. Es la bitácora del disco duro. Es el registro de todos los archivos que ha tenido el equipo desde que se compró. No desde que se formateó. No desde que se instaló el último Windows. Desde que se compró.
Y la MFT no se borra con facilidad. No se borra borrando archivos. No se borra vaciando la papelera de reciclaje. No se borra con un formateo rápido. La MFT persiste, como una sombra del historial completo del equipo, accesible para quien sabe dónde buscar y con qué herramientas leer.
Lo que esto significa en términos prácticos para un caso de robo de información es devastador para el empleado que cree que borró sus huellas:
La MFT registra archivos que existieron y fueron borrados. Registra la fecha de creación, la fecha de última modificación, la fecha de último acceso. Registra la ruta completa donde estaban esos archivos. Si el empleado creó una carpeta llamada «Backup personal» en su escritorio, copió ahí 200 archivos de la empresa, los pasó a una USB, borró la carpeta y vació la papelera, la MFT todavía sabe que esa carpeta existió. Sabe que tuvo 200 archivos. Sabe cuándo se crearon, cuándo se modificaron y cuándo se eliminaron. Sabe todo.
El sistema sabía que existían. Ya no están. Saque sus conclusiones.
Alternate Data Streams: el escondite que nadie revisa
Hay otra capa de información en el sistema de archivos NTFS de Windows que casi nadie conoce fuera del mundo forense: los Alternate Data Streams, o flujos de datos alternativos.
Para decirlo de forma simple: un archivo en Windows puede tener información oculta adosada a él, como un compartimento secreto en una maleta. El archivo se ve normal, pesa lo que pesa, se abre como siempre. Pero dentro del flujo de datos alternativo puede haber otro archivo completo, información adicional, metadatos extendidos.
En un caso de robo de información, los Alternate Data Streams pueden revelar el origen de un archivo — de dónde se descargó, cuándo, desde qué URL. Pueden revelar si un archivo fue traído de internet, si fue copiado de una red interna, si fue modificado después de ser descargado. Son metadatos que el usuario común no sabe que existen y, por lo tanto, nunca intenta borrar.
Es como si cada archivo cargara una etiqueta invisible con su historial completo de procedencia. El empleado puede cambiarle el nombre, moverlo de carpeta, quitarle la extensión. Pero la etiqueta sigue ahí.
La papelera de reciclaje forense
«No tengo nada en la papelera.» Esa es la frase que escucha el equipo de Duriva cuando el empleado — o la empresa, o el de IT — dice que «ya se revisó y no hay nada.»
Se revisó la papelera visible, la que aparece en el escritorio con el ícono del bote de basura. Pero la papelera forense es otra cosa. Es la estructura subyacente donde Windows almacena la información de archivos eliminados, incluyendo archivos que fueron «eliminados permanentemente» con Shift+Delete, archivos que el usuario cree que ya no existen en ningún lugar del disco.
La información está ahí. Los registros de eliminación están ahí. El nombre original del archivo, la ruta de donde fue eliminado, la fecha y hora de eliminación. Y en muchos casos, el archivo mismo es recuperable íntegro.
Cuando un empleado borra 500 archivos de la empresa el último día antes de irse, la papelera forense registra los 500. Con nombre, ruta, fecha y hora. Aunque el empleado haya vaciado la papelera. Aunque haya usado Shift+Delete. Aunque crea que «ya no hay nada.»
El sistema es un testigo silencioso. Y a diferencia de los testigos humanos, no olvida, no se confunde y no miente.
Caso de referencia: 60 equipos de cómputo y presupuesto limitado
Para que se entienda cómo funciona esto en la realidad — no en la teoría, no en un laboratorio ideal, sino en el campo, con limitaciones reales de presupuesto, tiempo y logística — vale la pena mencionar un tipo de caso que Duriva ha manejado en múltiples ocasiones y que ilustra perfectamente los retos y las soluciones.
Una empresa sospechaba de fuga de información generalizada. No era un solo empleado. Eran múltiples áreas. Y el universo de equipos a analizar era de 60 computadoras.
Sesenta equipos de cómputo.
El escenario ideal hubiera sido hacer copia forense bit a bit de cada uno de los 60 discos duros. Pero eso implica espacio de almacenamiento masivo, tiempo considerable y un costo que el cliente no estaba dispuesto a absorber. El presupuesto era limitado. La empresa necesitaba respuestas, pero no estaba en condiciones de financiar una investigación con alcance de película.
La solución pragmática fue adaptar la metodología al presupuesto sin sacrificar la utilidad de los resultados: en lugar de copiar los 60 discos completos — 250 gigas por máquina, hagan la matemática — se hizo copia forense únicamente de la carpeta del usuario de cada equipo.
¿Es lo ideal? No. Se pierden cosas. Se pierden los archivos de sistema, las conexiones entrantes y salientes, ciertos temporales del sistema operativo. Pero la carpeta del usuario contiene lo que el usuario hizo: sus documentos, sus descargas, sus temporales de navegación, sus archivos recientes, su papelera. En términos de fuga de información, la carpeta del usuario es el 80% de la investigación.
En lugar de llevarse 250 gigas por máquina, se llevaron 20 o 30 gigas por equipo. El tiempo de procesamiento se redujo drásticamente. El costo se ajustó al presupuesto del cliente. Y los resultados fueron suficientes para documentar los vectores de fuga.
Empresario que lee esto y piensa «no tengo presupuesto para una investigación forense de todos mis equipos»: siempre hay formas de adaptar el alcance al presupuesto sin perder lo esencial. La informática forense no es todo o nada. Un perito experimentado sabe que la pregunta correcta no es «cuánto cuesta analizarlo todo» sino «qué es lo mínimo que necesitamos analizar para responder la pregunta que tiene la empresa.» Y esa pregunta siempre es la misma: ¿el empleado se llevó información? Sí o no. Y si sí, qué se llevó, cuándo y cómo.
BitLocker: el candadito que cambia el procedimiento
En entornos corporativos — empresas medianas y grandes, sobre todo las que tienen departamento de IT estructurado — es extremadamente común encontrar que los equipos de cómputo tienen cifrado de disco con BitLocker.
BitLocker es la herramienta de cifrado nativa de Windows. Lo que hace es cifrar toda la unidad de almacenamiento, de modo que si alguien roba el equipo físico, no puede acceder a los datos sin la clave de descifrado. Es una medida de seguridad estándar y razonable.
Pero para la informática forense, BitLocker introduce un paso crítico que el gerente de IT necesita entender.
Cuando un equipo tiene BitLocker activo — y la forma de saberlo es buscar el ícono del candado en la unidad de disco — la copia forense se tiene que hacer con el equipo encendido y la sesión activa. No se puede apagar el equipo, sacar el disco y llevarlo al laboratorio para copiarlo allá. Porque al apagar, la unidad se cifra. Y sin la clave de BitLocker, la copia forense que se lleva el perito es un bloque de datos cifrados. Inútil.
La diferencia técnica es entre lo que se llama un «Physical Drive» y un «Logical Drive.» Si se hace la copia del disco físico (Physical Drive) de un equipo con BitLocker apagado, se obtiene la información cifrada. Si se hace la copia de la unidad lógica (Logical Drive) con el equipo encendido y la sesión activa, se obtiene la información descifrada, tal como la ve el usuario.
Gerente de IT que lee esto y que va a recibir al perito en sus instalaciones: cuando el perito llegue a hacer la extracción, necesita que el equipo esté encendido y con la sesión del usuario activa. Si la empresa no tiene la clave de BitLocker — y en muchas empresas el de IT no la tiene documentada, aunque debería — necesitan obtenerla antes de que el perito llegue. Si el equipo ya se apagó, necesitan la clave de recuperación de BitLocker para poder descifrar antes de la extracción. La clave suele estar respaldada en Active Directory o en la cuenta de Microsoft de la organización. Pero tienen que verificarlo antes, no cuando el perito ya está ahí cobrando por hora y el equipo está cifrado sin clave.
El procedimiento en sitio: cómo funciona la extracción
Cuando el equipo de Duriva llega a las instalaciones de una empresa para una extracción forense en un caso de robo de información, el procedimiento sigue una secuencia específica:
Documentación inicial. Se documenta el estado del equipo tal como se encuentra. Encendido o apagado. Conectado a la red o aislado. Pantalla de inicio de sesión o sesión abierta. Se fotografían los puertos, los cables conectados, las etiquetas de inventario. Todo antes de tocar cualquier cosa.
Verificación de cifrado. Se verifica si el disco tiene BitLocker u otro tipo de cifrado. Si lo tiene, se procede con el equipo encendido. Si no lo tiene, se evalúa si es más conveniente trabajar en sitio o llevar el disco al laboratorio.
Copia forense. Se conecta un disco duro externo — nunca una memoria USB, porque la velocidad de escritura de una USB es significativamente inferior y aumenta el tiempo de copia de forma inaceptable — y se inicia la copia forense con herramientas validadas. La velocidad típica de copia ronda los 120 megabytes por segundo en un disco SATA estándar. Para un disco de 256 gigas, eso es aproximadamente una hora.
Cálculo de hash. Al finalizar la copia, se calcula el valor hash SHA-256 tanto de la fuente original como de la copia. Si ambos coinciden, hay certeza matemática de que la copia es idéntica al original. Ni un solo bit de diferencia.
Acta de cadena de custodia. Se firma el acta que documenta quién entregó el equipo, en qué estado, a qué hora, y quién lo recibió. Si hay representante legal de la empresa presente, firma también. Todo documentado. Todo rastreable.
Una vez que la copia forense está en el laboratorio, empieza el análisis. Y es en el análisis donde se encuentra la historia completa de lo que hizo el empleado.
Los vectores de fuga: qué busca el perito y dónde lo encuentra
El análisis forense en un caso de robo de información no es aleatorio. No es «vamos a ver qué encontramos.» Es una investigación dirigida, con vectores específicos de búsqueda que la experiencia ha demostrado que son los canales más comunes de extracción de datos:
Vector 1: Dispositivos USB. Todas las memorias y discos externos conectados. Con número de serie, marca, modelo, primera y última conexión. Correlación temporal con los últimos días de empleo.
Vector 2: Navegación web. Acceso a servicios de almacenamiento en nube. Google Drive personal. Dropbox. OneDrive personal. WeTransfer. Histórico de sesiones de WhatsApp Web. Subida de archivos a plataformas externas.
Vector 3: Correo electrónico. Envío de archivos adjuntos a cuentas personales. Reenvío de correos corporativos a correos externos. Volumen inusual de correos salientes con adjuntos en fechas cercanas a la renuncia.
Vector 4: Archivos recientes. La herramienta RecentFileView muestra los últimos archivos abiertos. Algunos aparecen marcados de color rosa: significa que el sistema sabía que existían, pero ya no están. Estaban y ya no están. El sistema no dice «los borraron.» Dice «estaban y ya no están.» Saque sus conclusiones.
Vector 5: Carpetas de red accedidas. Si el empleado accedió a carpetas compartidas en el servidor de la empresa que no corresponden a su área — carpetas de finanzas, de recursos humanos, de dirección general — ese acceso queda registrado. No debería haber estado ahí. Pero estuvo.
Vector 6: La MFT. La capa de metadatos que registra cada archivo que ha existido en el equipo. Incluidos los que fueron borrados, los que fueron movidos, los que el empleado cree que ya desaparecieron.
Cada uno de estos vectores genera evidencia independiente. Pero cuando convergen — cuando la MFT dice que el empleado creó una carpeta con 200 archivos confidenciales, el registro de USB dice que conectó una memoria el mismo día, los archivos recientes muestran esos 200 archivos en rosa porque ya no están, y el correo muestra que se autoenvió otros 50 a su cuenta personal — la fotografía es completa. Es incontrovertible. Es la diferencia entre una sospecha y una prueba.
Cuando la nube personal se convierte en el canal de fuga
Hay algo que muchas empresas no entienden hasta que se sientan frente a los resultados de un análisis forense, y que el equipo de Duriva ha tenido que explicar decenas de veces:
El bloqueo de puertos USB, por sí solo, no previene la fuga de información.
Una empresa puede tener el endpoint protection más sofisticado del mercado. Puede tener todos los puertos USB bloqueados en todas las máquinas. Puede tener políticas de grupo que impiden conectar dispositivos de almacenamiento externo. Y aun así, un empleado puede llevarse toda la información confidencial de la empresa.
¿Cómo? Abriendo el navegador.
Si el empleado tiene acceso a internet desde su equipo corporativo — y la inmensa mayoría lo tiene — puede abrir una sesión de Google Drive, Dropbox, OneDrive personal o cualquier servicio de almacenamiento en la nube, arrastrar archivos desde las carpetas de la empresa a la ventana del navegador, y en segundos esos archivos están en su nube personal. Accesibles desde su celular, desde su computadora de casa, desde cualquier lugar del mundo.
WhatsApp Web es particularmente insidioso. El empleado abre WhatsApp Web en el navegador, se escanea el código QR con su celular, y tiene un canal abierto para transferir archivos. Arrastra y suelta. Un archivo de Excel con la lista completa de clientes de la empresa. Un PDF con la estrategia comercial del próximo trimestre. Una presentación con las fórmulas propietarias del producto estrella. Arrastra, suelta, se fue. Sin alerta, sin bloqueo, sin detección por el endpoint.
¿De qué sirve tener un bloqueo de puertos USB si todos los empleados pueden acceder a WhatsApp Web? Esa es una pregunta que el gerente de IT debería estar haciéndose hoy. No mañana. Hoy.
Cuarta pared: lo que necesita saber cada persona que lee esto
Empresario o director general: el robo de información por empleados no es un problema de IT. Es un problema de negocio. La información que se lleva un empleado desleal — listas de clientes, fórmulas, costos, estrategias, contactos de proveedores — puede representar años de trabajo y millones de pesos en ventaja competitiva. Y esa información sale de la empresa en una memoria USB de 200 pesos o en un correo que tarda tres segundos en enviarse. La prevención empieza con cláusulas contractuales correctas, políticas de monitoreo claras y un protocolo de salida de empleados que incluya el resguardo del equipo. La detección, cuando la prevención falla, empieza con una llamada al perito forense antes de que alguien toque esa computadora.
Director de recursos humanos: cuando un empleado sale de la empresa, el equipo de cómputo no es un activo de hardware que se recicla. Es un repositorio de evidencia que puede determinar si la salida fue limpia o si hubo sustracción de información. El protocolo de offboarding debe incluir un paso claro: aislar el equipo, no formatearlo, resguardarlo por un período mínimo antes de reasignarlo. Y si hay la menor sospecha de que el empleado se llevó información, el equipo no se toca hasta que un perito lo analice. El costo de un peritaje forense es una fracción del costo de perder una demanda laboral por despido injustificado cuando la empresa no tiene pruebas documentadas de la falta.
Abogado corporativo: la evidencia digital tiene requisitos específicos para que tenga valor probatorio. El artículo 210-A del Código Federal de Procedimientos Civiles establece tres criterios: fiabilidad del método de generación, atribuibilidad del contenido a la persona, y accesibilidad de la información para su consulta posterior. Si la evidencia no se recolecta cumpliendo estos criterios, la contraparte la va a impugnar. Y un juez puede desestimarla. Además, la onus probandi en un caso de despido justificado recae sobre la empresa: es la empresa la que tiene que demostrar que el empleado cometió la falta. Sin evidencia forense rigurosa, esa carga probatoria se vuelve imposible de satisfacer.
Gerente de IT: usted es la primera línea de defensa y también puede ser, sin querer, quien destruya la evidencia. Cuando un empleado sale, resista la tentación de formatear inmediatamente. Resista la instrucción del director que dice «prepárame esa máquina para el nuevo que entra el lunes.» Explíquele — con este artículo en la mano si es necesario — por qué ese equipo necesita ser resguardado. Y si no le hacen caso, documéntelo por escrito. Porque si mañana hay un problema y la empresa pregunta «¿por qué se formateó?», usted necesita poder demostrar que advirtió que no se debía hacer.
Preguntas frecuentes
El empleado ya se fue hace dos meses y la computadora ha sido usada por otra persona. ¿Todavía se puede investigar?
Sí. Es más difícil, pero no imposible. La MFT conserva registros históricos del equipo. Los datos que el empleado anterior dejó pueden estar en espacio no asignado del disco, donde el sistema operativo actual no los ve pero las herramientas forenses sí los encuentran. La información que se encuentra será menos completa que si se hubiera preservado el equipo inmediatamente, pero en muchos casos es suficiente para documentar los vectores de fuga.
¿Qué pasa si el empleado usó su propio celular para fotografiar la pantalla con información confidencial?
Ese es un vector de fuga que no deja rastro en la computadora corporativa. La informática forense del equipo de cómputo no puede detectar eso. Sin embargo, si se tiene acceso al celular del empleado — por ejemplo, en el contexto de una investigación judicial — se pueden encontrar las fotografías con metadatos que incluyen fecha, hora y geolocalización, lo cual demostraría que fueron tomadas en las instalaciones de la empresa durante horario laboral.
¿Cuánto cuesta una investigación forense por robo de información?
Varía según el número de equipos, el alcance del análisis y si se va a proceder legalmente o es una investigación interna. Lo que se puede decir es que el costo de la investigación siempre es menor al costo de la información perdida. Una lista de clientes vale más que un peritaje. Una fórmula propietaria vale más que un peritaje. Una estrategia comercial vale más que un peritaje.
¿Podemos revisar los correos del empleado sin su consentimiento?
Depende de las cláusulas contractuales. Si el contrato laboral incluye una cláusula que establece que los equipos corporativos son propiedad de la empresa y que las comunicaciones realizadas en ellos pueden ser monitoreadas, sí. Si no tiene esa cláusula, se entra en un terreno legal complejo donde la evidencia de correo electrónico puede ser impugnada por violación a la privacidad del trabajador. La recomendación es clara: esa cláusula debe estar en todos los contratos laborales, firmada por el empleado desde el primer día.
¿Es suficiente con las capturas de pantalla que tomó el de IT antes de formatear?
No. Una captura de pantalla no tiene valor forense. No tiene cadena de custodia. No tiene hash. No tiene verificación de integridad. No cumple con los requisitos del artículo 210-A. Es una fotografía que la contraparte puede impugnar argumentando que fue fabricada, editada o sacada de contexto. La evidencia forense requiere extracción con herramientas validadas, documentación de cadena de custodia y cálculo de valor hash. Una captura de pantalla no sustituye nada de eso.
Qué hacer si sospecha que un empleado se llevó información
Si está leyendo este artículo porque tiene una sospecha activa — porque el exempleado ya apareció ofreciendo los mismos productos a sus clientes, porque alguien de adentro le dijo que vio al empleado copiando archivos, porque la competencia tiene datos que solo podían haber salido de su empresa — esto es lo que necesita hacer, en este orden:
Primero: aislar el equipo. No apagarlo, no formatearlo, no «revisarlo.» Desconectarlo de la red, resguardarlo en un lugar seguro, y no permitir que nadie lo toque. Si el equipo está encendido y tiene BitLocker, dejarlo encendido.
Segundo: documentar la cadena de posesión. Desde que el empleado entregó el equipo hasta hoy, ¿quién lo ha tenido? ¿Alguien lo usó? ¿Alguien lo formateó? ¿Alguien «revisó rapidito»? Necesitan reconstruir esa cadena para que el perito sepa qué estado tiene el equipo cuando llegue a sus manos.
Tercero: hablar con su abogado. Antes de contactar al perito, definan si van a proceder legalmente o si es una investigación interna. Esa decisión determina el alcance y la metodología.
Cuarto: contactar a un perito forense. Con el equipo preservado, la cadena documentada y la decisión legal tomada, el perito puede hacer su trabajo. La extracción se puede hacer en sitio o llevando el equipo al laboratorio. El análisis toma entre uno y varios días dependiendo del alcance. Los resultados se documentan en un dictamen pericial que puede presentarse ante un juez si se decide proceder.
Quinto: no confrontar al empleado hasta tener las pruebas. Este punto es crítico. Si la empresa confronta al empleado antes de tener evidencia documentada, le está dando la oportunidad de destruir lo que tenga en su posesión — borrar archivos de su nube personal, formatear sus dispositivos, eliminar correos. Y además, si se le despide sin pruebas, el exempleado puede demandar por despido injustificado. Y va a ganar. Porque la empresa no puede demostrar la falta. Las pruebas primero. La confrontación después.
La información de una empresa es su activo más valioso y, paradójicamente, el más fácil de sustraer. Una memoria USB de 200 pesos puede llevarse años de trabajo. Un correo de tres segundos puede transferir la ventaja competitiva de una década. Y una decisión apresurada de formatear «para el nuevo empleado» puede destruir la única evidencia que demostraba que se cometió la falta.
En Duriva se han investigado casos de robo de información por empleados en empresas de todos los tamaños y todos los giros. Desde startups de 10 personas hasta corporativos con miles de empleados. Y la constante es siempre la misma: la evidencia estaba ahí. En la computadora, en los registros de USB, en la MFT, en la caché del navegador, en la papelera forense. Estaba ahí esperando a que alguien la buscara con las herramientas correctas.
La diferencia entre una empresa que demuestra el robo de información y una que se queda con la sospecha pero sin pruebas casi nunca es técnica. La información siempre está. La diferencia es si alguien tuvo la previsión de preservar el equipo antes de que fuera demasiado tarde.
Antes de tocar esa computadora, aíslenla. Ese es el único consejo que, si se siguiera en todos los casos, cambiaría por completo los resultados. Aíslenla. Todo lo demás viene después.