El 42% de los fraudes corporativos son internos. No los comete un hacker en un sótano al otro lado del mundo. No los comete un grupo de ciberdelincuentes con software sofisticado. Los comete alguien que tiene llave de la puerta, que conoce los procesos, que sabe dónde está la información valiosa, que tiene los accesos porque la empresa se los dio, y que saluda al director general en el pasillo todos los lunes por la mañana.
El enemigo duerme en casa.
Y la razón por la que el fraude interno es tan prevalente y tan difícil de detectar es exactamente esa: el perpetrador es un insider. Conoce las defensas porque opera dentro de ellas. Sabe qué monitorea la empresa y qué no. Sabe qué puertas están abiertas y a qué hora el vigilante se distrae. No necesita vulnerar un firewall. Tiene la contraseña.
Este artículo está dirigido a la persona que tiene sospechas pero no tiene pruebas. Al director o dueño de empresa que siente que algo no cuadra — los números no cierran, la competencia parece saber demasiado, un empleado tiene un nivel de vida que no corresponde con su salario, un cliente importante se fue sin explicación — pero que no puede señalar con el dedo porque no tiene evidencia.
También está dirigido al que está a punto de cometer el error más costoso que se puede cometer en esta situación: confrontar al sospechoso sin pruebas.
No lo haga. Si saca algo de este artículo, que sea esto: no confronte sin pruebas. Lo que sigue a continuación explica por qué, y qué hacer en su lugar.
Por qué NO confrontar sin pruebas: la trampa laboral
Este es el punto más crítico de todo el artículo y es donde la mayoría de los empresarios y directivos cometen el error que les cuesta más caro.
El escenario es el siguiente: el director sospecha que el gerente de ventas está pasando la cartera de clientes a la competencia. Las señales son claras — clientes que se van sin razón, la competencia ofreciendo exactamente los mismos precios, un estilo de vida del gerente que no cuadra con su nómina. El director, indignado, llama al gerente a su oficina y lo confronta. «Sabemos lo que estás haciendo. Estás despedido.»
Y el gerente, que efectivamente estaba robando información, hace exactamente lo que hace cualquier persona cornered: niega todo. Y al día siguiente, presenta una demanda por despido injustificado.
Ahora la empresa tiene un problema doble. Primero: el gerente sigue teniendo la información que se robó, porque nadie la documentó ni la preservó antes de la confrontación. Segundo: la empresa tiene que pagar la liquidación completa porque no puede demostrar la falta ante la junta de conciliación. La carga de la prueba — la onus probandi — en un despido justificado recae sobre el patrón. Es la empresa la que tiene que demostrar que el empleado cometió la falta. Y sospechas, intuiciones y «todo mundo lo sabe» no son pruebas.
Sin evidencia documentada por un perito forense, con cadena de custodia, con valor hash, con dictamen pericial que cumpla con el artículo 210-A del Código Federal de Procedimientos Civiles, la empresa pierde la demanda laboral. Y encima, le paga al empleado que la estaba robando.
Ese es el costo de confrontar sin pruebas: perder la demanda, pagar la liquidación, y que el empleado se vaya con la información y con el dinero.
Dueño de empresa que está leyendo esto con las manos calientes porque acaba de descubrir que su gerente lo está traicionando: respire. Lo que siente es completamente válido. La traición de un empleado de confianza genera una indignación que es difícil de controlar. Pero necesita controlarla. Porque la indignación sin estrategia le va a costar más caro que el fraude mismo. Respire, lea el resto de este artículo, y actúe con inteligencia, no con impulso.
Director de recursos humanos que sabe que algo pasa pero no sabe cómo proceder: lo que necesita es una auditoría forense sigilosa. Sin que el empleado se entere. Sin que nadie en la oficina sepa. La investigación primero, la confrontación después. Y entre una y otra, el abogado laboralista preparando el caso con la evidencia que le entregue el perito.
Las señales digitales: qué buscar antes de llamar al perito
Antes de contactar a un perito forense, hay señales que un director, un gerente de IT o un auditor interno puede observar sin necesidad de herramientas especializadas. Son señales de alerta que no constituyen prueba por sí solas, pero que en conjunto pintan un patrón que justifica una investigación formal.
Horarios atípicos de acceso
Un empleado que históricamente trabaja de 9 a 6 y de pronto empieza a conectarse a las 11 de la noche, a las 5 de la mañana, en fines de semana. No porque tenga un proyecto urgente — eso sería normal y documentable. Sino de forma recurrente, sin justificación aparente, accediendo a carpetas compartidas o a sistemas que no necesita fuera de horario.
Los sistemas de autenticación corporativos — Active Directory, servidores de archivos, plataformas en la nube — registran cada acceso con fecha y hora. Un patrón de accesos fuera de horario, especialmente a información sensible, es una de las primeras señales que analiza el equipo de Duriva cuando comienza una investigación por fraude interno.
Conexión de dispositivos USB no autorizados
Windows registra cada dispositivo USB que se conecta a una computadora. Cada uno. Con número de serie, marca, modelo, primera conexión y última conexión. Si un empleado que nunca conectó memorias USB a su equipo corporativo de pronto empieza a conectar dispositivos con frecuencia — particularmente en las semanas previas a una renuncia o en períodos donde se sospecha fuga — ese es un patrón de extracción de datos.
El gerente de IT puede verificar esto con herramientas básicas de administración de Windows sin necesidad de un perito. Lo que no puede hacer sin un perito es documentarlo con valor probatorio. Pero para efectos de confirmar la sospecha y justificar la inversión en una auditoría forense formal, la verificación interna es un primer paso válido.
Capturas masivas y actividad inusual de descarga
Un empleado que de pronto descarga cientos de archivos de las carpetas compartidas del servidor. Un empleado que hace capturas de pantalla masivas. Un empleado que exporta bases de datos completas cuando su función solo requiere consultar registros individuales. Un empleado que se envía correos a sí mismo con adjuntos que pesan 20, 30, 50 megabytes.
Estos patrones dejan rastro en los logs del servidor, en los registros de correo, en los historiales de descarga. Son anomalías estadísticas: comportamientos que se desvían significativamente del patrón normal del empleado. Y las anomalías estadísticas, en informática forense, son el punto de partida de la investigación.
El nivel de vida que no cuadra
Esta no es una señal digital. Es una señal humana. Pero el equipo de Duriva la ha visto en suficientes casos como para mencionarla: el empleado cuyo nivel de vida no corresponde con su salario. El auto nuevo. Los viajes. La ropa. Los restaurantes. Cuando eso coincide con alguna de las señales digitales anteriores, la fotografía se completa.
No es prueba. Es contexto. Es la razón por la que el director empieza a hacer preguntas. Y hacer las preguntas correctas es el primer paso para encontrar las respuestas correctas.
La auditoría forense sigilosa: cómo funciona sin que el empleado se entere
Este es el núcleo de la estrategia de detección y es donde la experiencia de Duriva marca la diferencia entre una investigación exitosa y una que alerta al sospechoso y le da tiempo para destruir evidencia.
Una auditoría forense sigilosa no requiere confiscar el equipo del empleado. No requiere que el empleado sepa que está siendo investigado. No requiere que nadie en la oficina — más allá de un círculo mínimo y controlado de personas autorizadas — sepa que la investigación existe.
El proceso funciona así:
El antes: preparación sin ruido
Círculo de conocimiento mínimo. Solo saben de la investigación las personas estrictamente necesarias: el director o dueño, el abogado corporativo, y una persona de confianza en IT si se requiere acceso a sistemas. Nadie más. No el asistente del director, no la secretaria, no el jefe directo del sospechoso, no el compañero que «seguro no dice nada.» Nadie. Porque en el momento en que una persona más lo sabe, el riesgo de filtración crece exponencialmente. Y si el sospechoso se entera, la evidencia desaparece en cuestión de horas.
Revisión de cláusulas contractuales. Antes de iniciar cualquier monitoreo o extracción, el abogado corporativo verifica si los contratos laborales de la empresa incluyen cláusulas de monitoreo de equipos y comunicaciones corporativas. Este punto no es opcional. Es el fundamento legal de toda la investigación. Si la empresa no tiene esas cláusulas, se entra en un terreno donde la evidencia puede ser impugnada — y con razón.
Definición de alcance. ¿Qué se busca exactamente? ¿Fuga de datos? ¿Desfalco? ¿Conflicto de intereses? La definición del alcance determina qué equipos se analizan, qué períodos se revisan, qué vectores de investigación se priorizan. No es lo mismo buscar un empleado que se lleva la cartera de clientes que buscar un empleado que desvía pagos a cuentas personales.
El durante: extracción sin alertas
Dependiendo del caso, la extracción de evidencia puede hacerse de varias formas sin que el empleado se entere:
Extracción fuera de horario. El equipo de cómputo del empleado está en la oficina. El empleado no. Un fin de semana, un día festivo, una noche después del horario laboral. El perito accede al equipo, hace la copia forense — o la copia de las carpetas relevantes si el alcance está definido — y deja el equipo exactamente como lo encontró. El lunes, el empleado llega, enciende su computadora y no nota nada diferente. Porque nada cambió en su equipo. Lo que cambió es que ahora existe una copia forense de su disco en el laboratorio de Duriva, siendo analizada.
Análisis de logs del servidor. En muchos casos, la evidencia más relevante no está en el equipo del empleado sino en los servidores de la empresa. Logs de acceso, registros de correo, historiales de conexión a carpetas compartidas, registros de impresión. Todo eso se puede obtener del servidor sin tocar el equipo del empleado. Y el servidor está bajo el control de IT, no del empleado.
Monitoreo de red autorizado. Si la empresa tiene las cláusulas contractuales correctas — y este es el punto crítico donde muchas investigaciones se ganan o se pierden legalmente — puede implementar monitoreo de tráfico de red para detectar transferencias de archivos hacia destinos no autorizados. Pero aquí hay una línea legal que es absolutamente imprescindible respetar.
Wireshark, modo promiscuo y la pregunta que cambia todo
Hay una herramienta que se menciona frecuentemente cuando se habla de monitoreo de red corporativa: Wireshark. Es la herramienta de captura de tráfico de red por excelencia. No es una de las más conocidas. Es la herramienta. Punto.
Wireshark tiene una funcionalidad que se llama modo promiscuo. En condiciones normales, la tarjeta de red de una computadora solo procesa los paquetes de datos que van dirigidos a ella — ignora el tráfico destinado a otros equipos en la misma red. El modo promiscuo cambia eso: le dice a la tarjeta de red «captura todo lo que circule por esta red, aunque no vaya dirigido a ti.» Todo. Los correos de todos. Las descargas de todos. La navegación de todos. Todo.
Desde el punto de vista técnico, es trivial. Se instala Wireshark en un equipo conectado a la red, se activa el modo promiscuo, y se empieza a capturar. El gerente de IT puede hacerlo en cinco minutos. Las herramientas lo permiten. Los equipos de red lo soportan. Técnicamente, es fácil.
Pero técnicamente fácil no significa legalmente válido.
Y aquí es donde entra la pregunta que el equipo de Duriva siempre hace cuando una empresa dice «tenemos capturas de tráfico de red que demuestran la fuga»: ¿Tenían autorización para monitorear?
No autorización técnica. Autorización legal. Autorización contractual. Una cláusula firmada por el empleado que diga, en términos claros, que la empresa se reserva el derecho de monitorear las comunicaciones realizadas en equipos y redes corporativos para fines de seguridad, auditoría y cumplimiento.
Sin esa cláusula, la captura de tráfico de red en modo promiscuo es potencialmente una violación a la privacidad del empleado. Y la evidencia obtenida de esa forma puede ser impugnada en juicio. No porque sea falsa. Sino porque fue obtenida sin el consentimiento ni la autorización legal necesaria.
Es como tener una grabación que demuestra un delito pero que fue obtenida ilegalmente. La grabación puede ser auténtica, puede ser devastadora, puede demostrar exactamente lo que se necesita demostrar. Pero si se obtuvo violando derechos fundamentales, el juez la puede excluir.
Abogado corporativo que lee esto y que está pensando en implementar monitoreo de red: antes de instalar cualquier herramienta de captura, antes de activar modo promiscuo, antes de revisar logs de navegación de los empleados, verifique que los contratos laborales de su empresa contienen una cláusula de monitoreo explícita. Si no la tienen, redáctela, agréguenla a los contratos, hágansela firmar por todos los empleados. Y después — después, no antes — implementen el monitoreo. El orden importa. La cláusula primero, el monitoreo después. Invertir ese orden puede invalidar toda la evidencia.
Gerente de IT que ya instaló Wireshark y está capturando tráfico «para estar preparado»: detenga la captura ahora mismo hasta que el abogado de la empresa confirme que existe la cláusula contractual que lo autoriza. Si no existe, cada paquete que está capturando es un potencial problema legal para la empresa, no para el empleado. La herramienta no es el problema. El problema es usarla sin el fundamento legal correcto.
La cláusula contractual de monitoreo: el escudo que casi nadie tiene
Este es un tema que merece su propia sección porque es la pieza que sostiene o derrumba todo el edificio probatorio en un caso de fraude interno.
La cláusula de monitoreo es un párrafo en el contrato laboral donde el empleado reconoce y acepta que:
Los equipos de cómputo, teléfonos corporativos, cuentas de correo empresariales y acceso a redes de la empresa son propiedad de la empresa y se proporcionan exclusivamente para fines laborales.
La empresa se reserva el derecho de monitorear, auditar y revisar el uso de dichos equipos, cuentas y redes, incluyendo pero no limitado a: contenido de correos electrónicos corporativos, archivos almacenados en equipos y servidores de la empresa, historial de navegación, registros de acceso, tráfico de red y uso de dispositivos de almacenamiento externo.
El empleado reconoce que no tiene expectativa de privacidad respecto del uso de equipos, cuentas y redes propiedad de la empresa.
Sin esa cláusula, la capacidad de la empresa para utilizar la evidencia digital obtenida de equipos corporativos en un procedimiento legal se debilita significativamente. Con ella, la empresa tiene el fundamento contractual para justificar el monitoreo y la extracción de evidencia.
La ironía es que la mayoría de las empresas no tienen esta cláusula. La agregan después de que ocurre el fraude. Y una cláusula firmada después de los hechos no tiene efecto retroactivo. No cubre lo que ya pasó. Solo cubre lo que pase en el futuro.
Director de empresa que lee esto y que todavía no tiene un problema de fraude: ahora es el momento de agregar esa cláusula a todos los contratos laborales. No cuando ya tenga un problema. Ahora. Llame a su abogado laboralista mañana, pídale que redacte la cláusula, y hágansela firmar por todos los empleados actuales. Es un paso administrativo de bajo costo que puede ser la diferencia entre demostrar un fraude y perder la demanda laboral.
El caso tipo: cambio de CLABE interbancaria
Para ilustrar cómo opera el fraude interno en la práctica, hay un tipo de caso que Duriva ha documentado en múltiples ocasiones y que es representativo de cómo funciona la mecánica del fraude corporativo desde adentro.
Una empresa — puede ser una institución grande, puede ser una mediana empresa con departamento de finanzas — realiza pagos regulares a proveedores. El proceso es estándar: el área solicitante genera la orden de pago, finanzas verifica los datos, se transfiere el monto a la cuenta CLABE del proveedor registrada en el sistema. Lo hacen todos los meses. Es rutina.
Un día, el pago a un proveedor específico no llega. El proveedor reclama. La empresa revisa y descubre que el pago sí se hizo, pero no a la cuenta CLABE del proveedor. Se hizo a otra cuenta. Una cuenta que nadie en la empresa reconoce.
Alguien, con acceso al sistema de pagos, cambió la cuenta CLABE del proveedor. Cambió un número en el catálogo. Y el siguiente pago programado — que puede ser de cientos de miles o millones de pesos — se fue a una cuenta controlada por el perpetrador o un cómplice.
Este tipo de fraude es devastador porque explota la confianza en los procesos internos. Nadie revisa si la CLABE del proveedor sigue siendo la misma cada mes. Se asume que una vez registrada, permanece igual. Y esa asunción es exactamente lo que el empleado desleal explota.
La investigación forense en estos casos se enfoca en el servidor donde está el sistema de pagos: quién accedió al catálogo de proveedores, cuándo, desde qué equipo, qué cambios hizo, qué sesión de usuario estaba activa al momento del cambio. Los logs del servidor documentan todo esto. Y cuando los logs dicen que el cambio de CLABE se hizo desde la sesión de un empleado específico, a una hora específica, desde un equipo específico, la evidencia es contundente.
Pero — y aquí viene el detalle que distingue un caso bien construido de uno que se cae en juicio — los logs por sí solos necesitan ser recolectados y documentados con rigor forense. No basta con que el de IT saque un pantallazo del log. Se necesita extracción con herramientas forenses, cadena de custodia, valor hash, dictamen pericial. Sin eso, el empleado argumenta que los logs fueron fabricados, que alguien usó su sesión, que el pantallazo fue editado. Y sin rigor forense, esos argumentos tienen peso.
El antes, el durante y el después: protocolo completo
La gestión de un caso de fraude interno tiene tres fases claramente definidas, y cada una tiene reglas que no se pueden saltar.
El antes: prevención y preparación
Cláusulas contractuales de monitoreo. Ya se dijo pero se repite porque es el fundamento de todo. Sin cláusula, el edificio no tiene cimientos.
Políticas de acceso basadas en mínimo privilegio. Cada empleado solo debería tener acceso a la información que necesita para su función. No más. Si el gerente de ventas no necesita acceso a los estados financieros de la empresa, no debería tenerlo. Si el asistente de compras no necesita poder modificar las cuentas CLABE de los proveedores, no debería poder hacerlo. La segregación de accesos no elimina el riesgo de fraude, pero lo reduce drásticamente y facilita la detección.
Logs de auditoría habilitados. Los servidores, los sistemas de pagos, los repositorios de información sensible deben tener logs de auditoría habilitados y respaldados de forma independiente. Si los logs están en el mismo servidor que el empleado administra, el empleado puede borrar los logs. Si los logs se respaldan automáticamente en un sistema al que el empleado no tiene acceso, la evidencia se preserva.
Respaldos incrementales. Respaldos periódicos de los equipos de cómputo de empleados en posiciones sensibles. No como política de backup convencional, sino como mecanismo de preservación de evidencia. Si mañana se descubre un fraude que comenzó hace seis meses, el respaldo de hace seis meses contiene el estado del equipo antes de que el empleado empezara a borrar huellas.
El durante: investigación sigilosa
Identificación de la anomalía. Algo no cuadra. Las señales descritas anteriormente — horarios atípicos, USB no autorizadas, capturas masivas, nivel de vida incongruente — generan la sospecha.
Formación del círculo de conocimiento. Director, abogado, persona clave de IT. Nadie más.
Contacto con el perito forense. Duriva evalúa el caso, define el alcance, identifica los vectores de investigación y determina qué equipos, servidores y registros se necesitan analizar.
Extracción sigilosa. Copia forense del equipo del sospechoso fuera de horario. Extracción de logs del servidor. Revisión de registros de correo. Todo sin que el empleado sepa.
Análisis e informe. El perito analiza la evidencia, documenta los hallazgos, y emite un dictamen pericial con cadena de custodia y valor hash. El dictamen se entrega al abogado corporativo.
Verificación de los hallazgos con el círculo de conocimiento. Antes de cualquier acción, se revisan los hallazgos con el director y el abogado. Se confirma que la evidencia es sólida, que los hallazgos son concluyentes, y que la estrategia legal está lista.
El después: acción con evidencia
Confrontación respaldada. Con el dictamen pericial en la mano, con la estrategia legal preparada, con el abogado laboral listo para ejecutar el proceso de despido justificado, se confronta al empleado. No antes. Ahora la empresa tiene pruebas. Tiene documentación. Tiene un dictamen pericial que cumple con los requisitos del artículo 210-A. La onus probandi está cubierta.
Preservación de equipos. Al momento de la confrontación, se retira el equipo del empleado y se resguarda. No se formatea, no se reasigna, no se toca. Se preserva como parte del expediente del caso por si se necesita una segunda revisión o una contrapericia.
Procedimiento laboral o penal. Dependiendo de la gravedad del fraude, la empresa puede proceder por la vía laboral (despido justificado) o por la vía penal (denuncia). En ambos casos, la evidencia forense es el pilar central. Sin ella, ambos caminos se debilitan. Con ella, la empresa tiene la posición más fuerte posible.
Los falsos positivos: cuando la sospecha no es fraude
No todo lo que parece fraude es fraude. Y un perito forense serio tiene que ser honesto sobre lo que encuentra, no sobre lo que el cliente quiere escuchar.
Hay casos donde la empresa está convencida de que un empleado está robando información, se hace la auditoría forense, y los resultados muestran que el empleado no estaba haciendo nada indebido. Los horarios atípicos se explican por un proyecto urgente que nadie le comunicó al director. Las USB conectadas eran para transferir fotos de un evento corporativo. Las descargas masivas eran respaldos personales de archivos de trabajo que el empleado necesitaba para un viaje de negocios.
En esos casos, el dictamen pericial dice exactamente eso: no se encontró evidencia de fuga de información ni de actividad indebida en los vectores analizados. Y esa información es tan valiosa como encontrar el fraude, porque le da tranquilidad a la empresa y protege a un empleado que estaba siendo sospechado injustamente.
La informática forense no tiene ideología. No está del lado de la empresa ni del lado del empleado. Está del lado de los datos. Y los datos dicen lo que dicen, no lo que alguien quiere que digan.
Cuarta pared: lo que necesita saber cada persona que lee esto
Dueño de empresa que sospecha pero no tiene pruebas: su instinto puede ser correcto. Las señales que observa — clientes que se van, información que aparece en la competencia, números que no cierran — pueden ser reales. Pero instinto y pruebas son cosas diferentes. Lo que necesita es convertir la sospecha en evidencia documentada. Y la única forma de hacerlo sin alertar al sospechoso es una auditoría forense sigilosa. Invierta en eso antes de confrontar. El costo del peritaje es insignificante comparado con el costo de perder la demanda laboral y encima perder la información.
Director de recursos humanos que sabe que hay un problema: su rol en esta situación es crítico y delicado. Necesita coordinar con el abogado corporativo la verificación de cláusulas contractuales, preparar el expediente laboral del empleado, y tener listos los documentos para el procedimiento de despido justificado. Todo esto en silencio, sin alertar al sospechoso, sin comentarlo con otros empleados, sin dejarlo en un correo que pueda ser visto. La discreción no es una sugerencia. Es la diferencia entre una investigación exitosa y una que se derrumba porque alguien habló de más.
Abogado corporativo que va a llevar el caso: la evidencia digital es su arma más poderosa en un caso de fraude interno, pero solo si cumple con los requisitos probatorios. El artículo 210-A exige fiabilidad del método, atribuibilidad del contenido y accesibilidad de la información. Un dictamen pericial emitido por un perito calificado, con cadena de custodia documentada y valor hash SHA-256, cumple con esos tres requisitos. Un pantallazo tomado por el de IT no los cumple. La diferencia entre evidencia admisible y evidencia impugnable está en la metodología de recolección, no en el contenido. Asegúrese de que la evidencia se recolecte correctamente desde el primer momento. No hay segunda oportunidad.
Gerente de IT preocupado porque sospecha de un compañero: su posición es la más incómoda de todas. Usted tiene acceso a los sistemas, puede ver cosas que otros no ven, y probablemente ya detectó anomalías que le generan preocupación. Pero usted no es el perito forense, no es el abogado, y no es el que toma la decisión. Lo que puede hacer — y lo que debería hacer — es reportar las anomalías al director o al abogado corporativo de forma discreta, documentar lo que observó sin alterar nada, y dejar que los profesionales correspondientes tomen las decisiones. No investigue por su cuenta. No revise correos del sospechoso. No instale keyloggers ni capture tráfico de red sin autorización explícita. Porque si lo hace sin el fundamento legal correcto, la empresa pierde la evidencia y usted puede tener un problema legal propio.
Preguntas frecuentes
¿Cuánto tiempo tarda una auditoría forense sigilosa?
Depende del alcance. La extracción puede hacerse en una noche — unas horas fuera de horario para copiar el disco del sospechoso. El análisis de la copia forense puede tomar entre tres días y dos semanas, dependiendo de la cantidad de datos y la complejidad de los vectores de investigación. Lo que no se puede es apresurar el análisis: un dictamen pericial que va a ser presentado en un procedimiento legal necesita ser riguroso, no rápido.
¿Qué pasa si el empleado trabaja remoto y el equipo está en su casa?
Este escenario es cada vez más común y requiere estrategias adaptadas. Si el equipo es propiedad de la empresa, la empresa tiene derecho a solicitar su devolución. La estrategia suele ser coordinar una «actualización de equipo» o una «revisión de inventario» que justifique que el empleado traiga o envíe el equipo sin levantar sospechas. En paralelo, se pueden analizar los logs del servidor, el tráfico de la VPN corporativa y los registros de acceso a sistemas en la nube, que no requieren acceso al equipo físico.
¿Podemos monitorear el WhatsApp del empleado?
No. WhatsApp en el celular personal del empleado es una comunicación privada protegida por ley. Lo que sí puede monitorear la empresa — con la cláusula contractual correspondiente — es el uso de WhatsApp Web en el equipo corporativo, porque el equipo es propiedad de la empresa y su uso está regulado por el contrato laboral. La distinción es crítica: el celular personal es intocable. El equipo corporativo, con cláusula, es auditable.
¿Y si el empleado renunció y ya se fue?
Si el equipo de cómputo fue preservado y no fue formateado, la auditoría forense se puede hacer en cualquier momento después de la renuncia. Si el equipo fue formateado, se entra en el escenario descrito en otros artículos de Duriva sobre recuperación forense de discos formateados — más difícil, pero no necesariamente imposible. Lo que ya no se puede hacer es la auditoría sigilosa, porque el empleado ya no está. Pero la evidencia que está en el disco, en el servidor y en los logs sigue siendo igual de válida.
¿Cuánto cuesta el fraude que no se detecta?
Esa es la pregunta que la mayoría de los directivos no se hace hasta que es demasiado tarde. El costo no es solo el monto desviado o el valor de la información robada. Es el costo de los clientes perdidos, de la ventaja competitiva erosionada, de los meses o años que el fraude operó sin detección, del daño reputacional cuando se hace público. Comparado con eso, el costo de una auditoría forense preventiva es rounding error — un error de redondeo.
¿Cómo sé que no estoy siendo paranoico y que realmente hay un fraude?
La paranoia es subjetiva. Los datos son objetivos. Una auditoría forense no confirma sospechas: analiza datos y reporta lo que encuentra. Si no hay fraude, los datos lo dicen. Si hay fraude, los datos lo demuestran. Y en ambos casos, la empresa tiene claridad. La paranoia sin datos es agotadora. La claridad basada en datos — sea cual sea el resultado — es liberadora.
Qué hacer hoy si sospecha de un empleado
Si está leyendo este artículo porque algo no le cuadra en su empresa — porque tiene sospechas fundadas, porque las señales están ahí, porque su instinto le dice que alguien de adentro está jugando en contra — esto es lo que necesita hacer. En este orden. Sin saltarse ningún paso.
Primero: no confronte. No hable con el sospechoso. No le diga «sabemos lo que haces.» No lo mire diferente. No cambie su trato. Actúe con normalidad absoluta. Cada día que el sospechoso no sabe que está siendo investigado es un día donde sigue generando evidencia que el perito va a documentar.
Segundo: hable con su abogado corporativo. Antes que con nadie más. El abogado verifica cláusulas contractuales, evalúa las vías legales disponibles, y define la estrategia jurídica que va a enmarcar toda la investigación.
Tercero: verifique las cláusulas de monitoreo. Si las tienen, perfecto. Si no, redáctenlas y planifiquen cómo hacerlas firmar sin levantar sospechas. Si se están redactando ahora, no cubren los hechos pasados, pero al menos protegen la investigación hacia adelante.
Cuarto: contacte a un perito forense. Duriva evalúa el caso, define el alcance, identifica los vectores de investigación y propone una estrategia de extracción sigilosa. Todo antes de comprometer presupuesto. Si la evaluación indica que no hay vectores viables, se dice de frente. No tiene sentido cobrar por una investigación que no va a producir resultados útiles.
Quinto: preserve todo. No formatee equipos de empleados que salgan de la empresa. No borre logs. No destruya respaldos. En un entorno donde se sospecha de fraude, cada pieza de información digital es potencialmente evidencia. Preserve primero. Decida después.
Sexto: sea paciente. La investigación forense sigilosa toma tiempo. La extracción, el análisis, la documentación, el dictamen. No se puede apresurar sin comprometer la calidad. Y un dictamen apresurado que tiene deficiencias técnicas es un dictamen que la contraparte va a destruir en juicio. Haga las cosas bien, aunque tome más tiempo. Porque solo va a tener una oportunidad de presentar la evidencia ante el juez. Y esa oportunidad tiene que ser impecable.
El 42% de los fraudes corporativos son internos. No es una estadística abstracta. Es una realidad que impacta a empresas de todos los tamaños en México todos los días. Y la razón por la que el porcentaje es tan alto no es que haya más empleados deshonestos que honestos. Es que la mayoría de las empresas no tienen los mecanismos para detectar, documentar y demostrar el fraude cuando ocurre.
No tienen cláusulas de monitoreo. No preservan equipos cuando un empleado sale. No habilitan logs de auditoría en sus sistemas críticos. No hacen respaldos con visión de evidencia. Y cuando descubren el fraude, confrontan sin pruebas, pierden la demanda laboral, y el empleado se va con la información, con la liquidación y con la impunidad.
El enemigo duerme en casa. Pero el enemigo también deja huellas digitales en todo lo que toca. Huellas que la informática forense sabe encontrar, documentar y presentar ante un juez. Huellas que convierten la sospecha en prueba, la intuición en evidencia, y la indignación en acción legal fundamentada.
Lo que Duriva hace es exactamente eso: encontrar las huellas antes de que desaparezcan, documentarlas con el rigor que exige el sistema de justicia, y darle a la empresa la evidencia que necesita para actuar. No para sospechar. Para actuar. Con pruebas. Con fundamento. Con la certeza de que los datos dicen lo que dicen.
Y los datos, les soy franco, no mienten.