Cuando te acusan de realizar una acción en un sistema y tú sabes que no estabas en esa computadora, la defensa comienza por arquitectura y registros, no por insistir en tu inocencia.
Hay que determinar si tu equipo y tu cuenta podían ejecutar esa acción desde el lugar donde ocurrió.
Primero: entiende dónde era técnicamente posible
Algunos sistemas solo funcionan en red privada, en instalaciones específicas o con permisos especiales.
Pregunta:
Determina si la acción se hizo desde dentro de la red, si requería VPN o acceso autorizado y si podía ejecutarse desde Internet. Después revisa qué privilegios necesitaba y qué dispositivo quedó identificado. Estas preguntas permiten distinguir entre una acción posible y una acción atribuible a una persona concreta.
El registro puede mostrar tu cuenta porque una sesión quedó abierta, una credencial fue compartida o un proceso automático utilizó permisos guardados. La dirección IP y el nombre de equipo no explican por sí solos quién estaba sentado frente al teclado, especialmente cuando hay escritorios remotos o máquinas virtuales.
En un caso real, una persona fue señalada por un movimiento atribuido a su usuario, pero la computadora desde la cual supuestamente lo había realizado no aparecía en los registros relacionados con el evento. Tampoco existía una configuración de acceso remoto que explicara esa ruta. La máquina señalada como origen no tenía la relación técnica necesaria con el acto investigado.
Ese hallazgo no exigía inventar a otro culpable. Exigía reconocer que la atribución basada únicamente en una cuenta no explicaba la arquitectura ni la secuencia. Una operación puede registrar un usuario correcto y aun así dejar sin resolver qué dispositivo se utilizó, quién controlaba la sesión y qué otras credenciales estaban disponibles.
Si estás en esa situación, conserva bitácoras, inventarios, videos y registros de acceso sin hacer pruebas nuevas en producción. La defensa debe comparar fechas y zonas horarias y preguntar por las rutas alternativas. El análisis pericial puede demostrar una imposibilidad técnica concreta cuando las fuentes la respaldan, pero no confunde la falta de rastros en un equipo con prueba universal de que ningún otro equipo participó.
Conserva bitácoras de aplicación, inicios de sesión, accesos físicos, videos y cronología del dispositivo sin probar movimientos nuevos en producción. Normaliza las zonas horarias antes de comparar. La defensa debe demostrar qué relación falta entre usuario, sesión, dispositivo y persona, en lugar de sustituir la acusación con otra identidad inventada.
Si tu acceso no llegaba a esa infraestructura, la acusación necesita otra explicación.
Identifica tu equipo correctamente
Un equipo puede tener identificadores únicos como dirección MAC, serie, hostname o registros de entrega.
Reúne:
- Actas de asignación.
- Marca, modelo y serie.
- Dirección MAC.
- Usuarios del equipo.
- Registros de red.
- Configuración de VPN.
- Historial de accesos.
No basta con decir “mi máquina no estaba ahí”. Hay que comparar su identidad con los registros del evento.
Revisa qué dicen los registros
Busca evidencia de quién ejecutó la acción y desde dónde:
- Inicios de sesión.
- Direcciones de red.
- Identificadores de dispositivo.
- Eventos de autenticación.
- Registros de aplicaciones.
- Cambios de permisos.
- Sesiones remotas.
- Zona horaria.
Una cuenta no equivale a una persona
Los registros pueden mostrar que una cuenta realizó una acción, pero no necesariamente quién estaba frente al equipo.
Evalúa:
- Credenciales compartidas.
- Sesiones ya abiertas.
- Uso por otro empleado.
- Acceso remoto.
- Automatizaciones.
- Robo de sesión.
- Configuración delegada.
La conclusión debe ser “la cuenta registró esta actividad”, no necesariamente “esta persona la ejecutó”.
No ignores otras pruebas de ubicación
Pueden complementar la revisión:
- Registros de entrada al edificio.
- Videovigilancia.
- Fotografías.
- Ubicación del teléfono.
- Actividad en otros sistemas.
- Testigos y documentación de horario.
Una coartada técnica se construye con coherencia, no con un solo archivo.
La atribución necesita separar cuatro niveles
Un movimiento de sistema o acceso desde otro equipo puede involucrar cuenta, sesión, dispositivo y persona, cuatro datos que una bitácora no siempre une. También hay procesos automáticos, escritorios remotos y equipos virtuales. El acusado debe preservar su cronología; el abogado debe pedir registros que permitan comprobar la relación, no solo una IP. El análisis revisa artefactos y sincronización sin probar accesos indebidos ni elegir otro culpable para resolver el expediente.
Distingue usuario, sesión, dispositivo y persona
Un registro puede mostrar tu usuario porque las credenciales eran compartidas, porque una sesión quedó abierta o porque un proceso automático ejecutó la acción. Revisa la política de cuentas, las sesiones remotas, las tareas programadas y la posibilidad de acceso delegado antes de aceptar la atribución personal.
El identificador de una computadora tampoco siempre es único ni permanente. Puede cambiar por configuración, virtualización o administración de imágenes corporativas. Solicita cómo se obtuvo y si existe inventario que vincule ese identificador con un equipo físico en la fecha analizada.
Compara las zonas horarias de estación, servidor y aplicación. Un evento ocurrido durante tu horario de salida puede volver a entrar en la jornada si los registros tienen desfases distintos. Documenta la sincronización sin modificar los relojes para hacerlos coincidir después.
Busca artefactos en el equipo: inicios de sesión, conexiones USB, accesos remotos, archivos recientes y eventos del sistema. La existencia de actividad local no demuestra quién estaba sentado frente al teclado; complementa con controles de acceso, cámaras y otras fuentes disponibles legalmente.
No borres programas ni intentes reproducir el movimiento en el sistema productivo. Trabaja con copias y un ambiente controlado. Una explicación técnica sólida puede demostrar que el registro no distingue entre tu cuenta y tu persona, sin necesidad de inventar otro culpable para responder a la acusación.
