Te voy a contar cómo funciona un montaje corporativo. No en abstracto. No en teoría. En la realidad que llega a mi laboratorio con una frecuencia que debería preocupar a cualquier empleado en México.
El escenario es este: un día llegas a trabajar y te citan a recursos humanos. No te dicen por qué. Te sientas. Están el director de RH, el abogado de la empresa y a veces tu jefe directo. Te dicen que encontraron archivos confidenciales en tu computadora de trabajo — bases de datos de clientes, planos, fórmulas, listas de precios, documentos estratégicos — y que eso constituye una falta grave. Te entregan la carta de rescisión. Te dicen que firmes. Y si no firmas, te dicen que van a proceder por la vía legal.
Tú dices que no fuiste tú. Que tú no copiaste nada. Que esos archivos no los pusiste tú ahí.
Y nadie te cree. Porque los archivos están en tu computadora. Con tu usuario. En tu escritorio o en una carpeta que supuestamente creaste tú. La empresa ya hizo su «investigación interna» — que en la mayoría de los casos consiste en que el área de sistemas revisó la máquina, encontró los archivos y levantó un acta administrativa. Caso cerrado, dice la empresa.
Pero el caso no está cerrado. El caso apenas empieza. Porque la pregunta que la empresa no se hace — o que se hace y prefiere ignorar — es la única pregunta que importa: ¿cuándo llegaron esos archivos a la computadora? Y la respuesta, en los casos que he analizado, es la que destruye el montaje: a las 3 de la mañana. O a las 2 AM. O a las 5 AM de un sábado. A una hora en la que el empleado no estaba en la oficina, no estaba conectado a la VPN, no estaba en ningún registro biométrico de acceso al edificio.
Los archivos aparecieron cuando el empleado no estaba. Y eso solo tiene una explicación.
Llevo 17 años haciendo informática forense. He formado a más de 1,300 peritos en 10 países. Y les soy franco: el montaje corporativo para justificar un despido no es excepcional. Es un patrón. Un patrón que tiene variantes, pero cuya mecánica básica se repite: alguien con acceso privilegiado al equipo del empleado — alguien de sistemas, alguien de IT, alguien con credenciales de administrador — copia archivos incriminatorios en la computadora del empleado, y después la empresa «descubre» esos archivos y los usa como justificación para la rescisión.
El problema para quien arma el montaje es que cada archivo que se copia en una computadora deja un registro. Un registro que no se ve haciendo clic derecho en propiedades. Un registro que vive en las entrañas del sistema operativo, en la tabla maestra del sistema de archivos, en los logs del sistema, en los metadatos que Windows genera automáticamente y que nadie — nadie — puede borrar sin dejar otro rastro.
Este artículo es para el empleado que fue despedido por un supuesto robo de información y que sabe que le armaron un caso. Para el abogado laboralista que lleva la defensa y necesita entender qué herramientas técnicas tiene para demostrarlo. Para el director de RH que está a punto de basar un despido en un «hallazgo» del área de sistemas sin verificación forense independiente. Y para el abogado Jr. del empleado que acaba de recibir un expediente laboral lleno de actas administrativas y capturas de pantalla de archivos «encontrados,» y que no sabe por dónde empezar a desarmar la narrativa de la empresa.
La MFT: la bitácora que Windows no puede mentir
La Master File Table — MFT — es la estructura de datos más importante del sistema de archivos NTFS, que es el sistema de archivos que usa Windows. Y es, para un caso de despido por supuesto robo de información, la prueba más poderosa que existe.
Voy a explicar qué es la MFT con una analogía para que cualquier abogado la entienda, y después voy a explicar por qué es tan devastadora para un montaje corporativo.
Imagina que el disco duro de una computadora es un edificio de oficinas con miles de cuartos. La MFT es el libro de registro del edificio: un documento donde queda anotado cada cuarto que se abre, cada persona que entró, a qué hora entró, a qué hora salió, qué movió, qué dejó, qué se llevó. Cada operación. Cada archivo. Sin excepción.
Cuando un archivo se crea en Windows, la MFT registra:
La fecha de creación ($SI – Standard Information). El momento exacto en que ese archivo apareció por primera vez en el sistema de archivos. Con precisión de centésimas de segundo.
La fecha de modificación. El último momento en que el contenido del archivo fue alterado.
La fecha de acceso. El último momento en que el archivo fue abierto o leído.
La fecha de cambio de entrada MFT ($FN – File Name). Un segundo juego de timestamps que el sistema de archivos mantiene independientemente del primero. Este segundo juego es crítico porque reside en un atributo diferente de la MFT y es mucho más difícil de manipular.
Ahora viene lo importante. Escuchen bien esto.
Cuando alguien dice «yo copié este archivo el martes a las 3 de la tarde» pero la MFT dice que el archivo fue creado el domingo a las 3 de la mañana, uno de los dos está mintiendo. Y la MFT no miente. La MFT es un registro automático del sistema operativo. No depende de la memoria de nadie. No depende de la declaración de nadie. Registra hechos. Hechos con precisión de centésimas de segundo.
Empleado despedido que me lee: la computadora donde supuestamente encontraron los archivos incriminatorios tiene una MFT. Esa MFT sabe exactamente cuándo llegaron esos archivos. No cuando la empresa dice que los encontró. Cuando realmente fueron creados en ese disco duro. Si los archivos aparecieron a las 3 de la mañana de un domingo y tu registro biométrico muestra que no entraste al edificio ese día, el montaje se desmorona. Pero necesitas un perito que lea la MFT antes de que la empresa «formatee la máquina por protocolo.»
El caso tipo: timestamps a las 3 AM y biométricos que lo contradicen
Sin nombres, sin datos identificables, porque lo que importa es la mecánica. Pero esto es lo que veo en mi laboratorio.
Un empleado con 8 años de antigüedad en una empresa mediana es despedido por supuesto robo de información confidencial. La empresa alega que encontró en su computadora de trabajo una carpeta con bases de datos de clientes, cotizaciones internas y documentos estratégicos que el empleado supuestamente copió para llevárselos a la competencia.
La empresa presenta como evidencia: capturas de pantalla de la carpeta «encontrada» en el escritorio del empleado, un acta administrativa firmada por el jefe de sistemas donde declara que él «descubrió» los archivos durante una «revisión de rutina,» y la declaración del director de RH diciendo que el empleado tenía acceso a esa información por su puesto pero que copiarla a una carpeta personal viola la política de confidencialidad.
El empleado contrata abogado. El abogado nos contacta. Hacemos la extracción forense de la computadora.
Lo que encontramos en la MFT:
Los 47 archivos de la carpeta incriminatoria fueron creados en el disco duro entre las 2:47 AM y las 3:12 AM de un sábado. Todos. En una ventana de 25 minutos. A las 3 de la mañana de un fin de semana.
El empleado no tenía acceso remoto a la VPN de la empresa. Su perfil de usuario no tenía privilegios de conexión remota. Esto lo confirmamos con el directorio activo de la empresa, que también se puede analizar forense.
Los registros biométricos de acceso al edificio — el registro del lector de huella digital en la puerta principal — muestran que el último acceso del empleado fue el viernes a las 6:38 PM, cuando salió. Su siguiente acceso fue el lunes a las 8:02 AM, cuando entró a trabajar.
Los logs de eventos de Windows registran que la sesión del usuario que creó esos archivos el sábado a las 3 AM no fue la sesión del empleado. Fue una sesión abierta con una cuenta de administrador del dominio — una cuenta que solo el área de sistemas tenía.
A ver, a ver, a ver. Los archivos aparecieron a las 3 AM del sábado. El empleado no estaba en el edificio. No tenía VPN. Y los archivos fueron copiados con una cuenta de administrador que no era la suya.
El dictamen pericial documentó todo esto con precisión forense. Los hashes SHA-256 de la imagen forense del disco duro garantizaron que nadie alteró los datos después de la extracción. La línea de tiempo reconstruida desde la MFT demostró que la actividad del sábado a las 3 AM era una anomalía total respecto al patrón de uso del empleado durante 8 años.
El caso se resolvió en la Junta de Conciliación. La empresa no pudo explicar cómo archivos incriminatorios aparecieron en la computadora del empleado a las 3 de la mañana de un sábado con una cuenta de administrador. No pudo porque no hay explicación inocente. La única explicación es la correcta: alguien plantó los archivos.
CCleaner: cuando el que arma el montaje intenta borrar sus huellas
Aquí viene un detalle que parece contradictorio pero que en la práctica refuerza el caso del empleado.
En varios de los montajes corporativos que he analizado, el área de sistemas no solo planta los archivos incriminatorios — después ejecuta un programa de limpieza como CCleaner en la computadora del empleado. La lógica del que arma el montaje es: «ya copié los archivos, ahora voy a borrar las evidencias de que yo los copié.»
Pero CCleaner no borra la MFT. No borra los registros de eventos de Windows de manera completa. No borra los logs del directorio activo. No borra los registros biométricos del edificio. Lo que CCleaner hace es eliminar archivos temporales, cache del navegador, historiales y algunos logs del usuario. Y al hacerlo, deja su propio rastro.
Porque CCleaner aparece en los logs del sistema. Su ejecución queda registrada con un timestamp en los prefetch files de Windows. Queda registrado en el registro de Windows (Registry). Queda registrado en los logs de eventos.
Y cuando el perito ve que CCleaner fue ejecutado a las 3:15 AM del sábado — tres minutos después de que los archivos incriminatorios terminaron de copiarse — ya no queda duda. El patrón es: copiar archivos con cuenta de administrador a las 3 AM, ejecutar CCleaner a las 3:15 AM para limpiar huellas, y el lunes «descubrir» los archivos en una «revisión de rutina.»
El diablo está en los detalles. Y los detalles que deja el sistema operativo son implacables.
Director de RH que está leyendo esto y que basó un despido en lo que le dijo el área de sistemas: le voy a hacer una pregunta directa. ¿Le pidió al área de sistemas que le mostrara los timestamps de creación de los archivos en la MFT? ¿Le pidió que le mostrara con qué cuenta de usuario se copiaron? ¿Le pidió que cruzara la hora de la supuesta copia con los registros biométricos de acceso del empleado? Si la respuesta a cualquiera de esas tres preguntas es no, usted basó un despido en una narrativa sin verificación. Y si el empleado contrata a un abogado que sepa lo que acaba de leer en este artículo, la empresa va a tener un problema jurídico significativo.
Abogado de la empresa que avaló la rescisión: reitero lo que aplica en todos los casos de evidencia digital — clic derecho, propiedades es un error común, mas no justificable. El área de sistemas le mostró archivos en una carpeta. Le mostró el nombre del empleado como usuario de la sesión. Le mostró lo que quería que usted viera. Lo que no le mostró — porque probablemente no le convenía — son los timestamps reales de la MFT, los logs de sesión de administrador y los registros biométricos que cuentan una historia diferente. Si usted avaló el despido sin pedir esa información, la defensa del empleado va a preguntar en audiencia por qué no la pidió. Y esa pregunta no tiene respuesta satisfactoria.
Las capas de evidencia forense: MFT + Event Logs + Registry + Biométricos
Un peritaje serio en un caso de archivos plantados no analiza una sola fuente. Analiza múltiples capas de evidencia y las cruza para construir una narrativa que sea internamente consistente — o para demostrar que la narrativa de la empresa es internamente inconsistente.
Capa 1: La MFT (Master File Table)
Ya la expliqué. Da los timestamps reales de creación, modificación y acceso de cada archivo. Es la columna vertebral del análisis.
Capa 2: Los Event Logs de Windows
Los logs de eventos de Windows registran, entre muchas otras cosas: inicios y cierres de sesión (con qué cuenta de usuario, desde qué equipo, a qué hora), conexiones remotas (RDP, VPN), instalación de software, ejecución de programas, y errores del sistema.
Si los archivos fueron copiados con una cuenta de administrador, el Event Log ID 4624 registra el inicio de sesión de esa cuenta. El Event Log ID 4663 registra el acceso a objetos cuando la auditoría está habilitada. El ID 4634 registra el cierre de sesión. La secuencia completa de quién entró, qué hizo y cuándo se fue queda documentada en los logs del sistema operativo.
Capa 3: El Registry de Windows
El registro de Windows es una base de datos que almacena configuraciones del sistema y de los usuarios. Para un caso de archivos plantados, el Registry contiene información crítica en varias llaves:
NTUSER.DAT del usuario: registra los archivos recientes abiertos, los programas ejecutados, los dispositivos USB conectados. Si la narrativa de la empresa dice que el empleado copió archivos a una USB, pero el NTUSER.DAT del empleado no muestra conexión de ningún dispositivo USB durante el periodo relevante, la narrativa tiene un agujero.
ShellBags: registra las carpetas que cada usuario abrió con el Explorador de Windows. Si la carpeta incriminatoria fue «descubierta» por el jefe de sistemas, los ShellBags de la cuenta de administrador deberían mostrar acceso a esa carpeta — pero los ShellBags de la cuenta del empleado podrían no mostrarlo. Lo cual significaría que el empleado nunca abrió esa carpeta.
Prefetch files: registra los programas ejecutados. Si CCleaner fue ejecutado, aparece aquí con su timestamp.
Capa 4: Registros biométricos y de acceso físico
Los registros del lector de huella digital, tarjeta de acceso o cualquier sistema de control de acceso físico al edificio son la ancla temporal del caso. Si la MFT dice que los archivos se crearon a las 3 AM del sábado y los biométricos dicen que el empleado no entró al edificio el sábado, la contradicción es absoluta.
Estos registros los tiene la empresa. Y si la empresa se niega a proporcionarlos durante el juicio laboral, esa negativa se documenta y se argumenta procesalmente. Un juez que ve que la empresa presentó archivos como prueba pero se niega a mostrar los registros de acceso físico del empleado saca sus propias conclusiones.
El cruce de estas cuatro capas produce un dictamen pericial blindado. No es la opinión de un perito. Son datos de cuatro fuentes independientes que cuentan la misma historia: los archivos llegaron cuando el empleado no estaba, fueron copiados con una cuenta que no era del empleado, y alguien intentó borrar las huellas con herramientas de limpieza que dejaron su propio rastro.
El artículo 210-A y el onus probandi en materia laboral
En un juicio laboral por despido injustificado, la carga de la prueba recae en el patrón. Es el patrón quien debe demostrar que la causa de rescisión es legítima. No es el trabajador quien debe demostrar su inocencia. Es la empresa la que debe demostrar la culpa.
Ese principio, combinado con el artículo 210-A del Código Federal de Procedimientos Civiles, crea un escenario que favorece al empleado cuando la empresa basa su rescisión en evidencia digital.
Porque si la empresa presenta como prueba «archivos encontrados en la computadora del empleado,» tiene que demostrar la fiabilidad del método por el cual esos archivos llegaron ahí. Tiene que demostrar la atribuibilidad — que fue el empleado quien los copió, no otra persona con acceso a la máquina. Y tiene que garantizar la accesibilidad para consulta posterior — lo cual implica preservar el equipo, no formatearlo «por protocolo» después del despido.
Si la empresa no puede demostrar estas tres cosas — y en un montaje corporativo, por definición, no puede –, la prueba es impugnable. Y si la prueba se cae, la causa de rescisión se queda sin sustento.
Abogado Jr. del empleado que está leyendo esto: tu argumento central es simple. La empresa dice que encontró archivos. Tú preguntas: ¿cuándo se crearon (MFT), con qué cuenta de usuario se copiaron (Event Logs), desde dónde se hizo la operación (VPN/biométricos), y por qué se ejecutó CCleaner tres minutos después (Prefetch)? Si la empresa no puede responder estas preguntas con evidencia técnica verificable, su caso no tiene sustento. Y si un peritaje independiente demuestra que los archivos fueron plantados fuera de horario laboral con una cuenta de administrador, el despido es injustificado y las consecuencias jurídicas para la empresa son significativas.
Qué hacer si te despidieron y sospechas un montaje
Si el despido fue reciente — días, no meses:
No firmes la renuncia. No firmes el convenio. Si ya te dieron la carta de rescisión, guárdala. Pero no firmes nada que diga que aceptas la causa de rescisión como válida.
Contacta a un abogado laboralista inmediatamente. Y dile que necesita solicitar, de manera urgente, la preservación del equipo de cómputo que te asignaron. Que la empresa no formatee esa computadora. Que no la reasigne. Que no la «limpie.» Cada día que pasa es un día en el que la empresa puede destruir la evidencia que te exonera. El disco duro de esa computadora es tu testigo más importante.
Si tu abogado no sabe cómo solicitar la preservación forense del equipo, dile que contacte a un laboratorio de informática forense. Nosotros le explicamos el proceso, le damos la fundamentación legal, y le ayudamos a estructurar la solicitud.
Si el despido fue hace semanas o meses:
La evidencia en el equipo puede seguir existiendo. La MFT persiste incluso si la empresa formateó el disco con un formateo rápido — que es lo que la mayoría de las áreas de sistemas hace. Un perito puede recuperar la MFT de un disco formateado en muchos casos. Los logs de eventos se respaldan en los servidores del dominio. Los registros biométricos se conservan en los sistemas de control de acceso. No todo está perdido. Pero el tiempo juega en contra.
Si la empresa «perdió» o «formateó» el equipo:
Esa acción en sí misma es argumentable ante el juez. Si la empresa destruyó la evidencia después de que el empleado notificó que impugnaría el despido, eso puede constituir destrucción de prueba. Y un juez laboral sabe exactamente qué significa cuando la parte acusadora destruye el instrumento con el que supuestamente demostró la falta.
Si te plantaron evidencia digital para justificar tu despido, la informática forense lo descubre. No porque los peritos seamos adivinos. Porque el sistema operativo es un testigo que no se puede comprar, que no se puede amenazar y que no se puede despedir. La MFT registra todo. Los Event Logs registran todo. El Registry registra todo. Los biométricos registran todo.
La empresa puede fabricar una narrativa. Puede fabricar un acta administrativa. Puede fabricar una «investigación interna.» Lo que no puede fabricar es una línea de tiempo que sea consistente con todas las capas de evidencia forense. Porque la verdad tiene una propiedad que la mentira no tiene: es internamente consistente. Y cuando la evidencia de cuatro fuentes independientes dice lo mismo — que los archivos aparecieron a las 3 AM con una cuenta de administrador mientras el empleado estaba en su casa –, esa consistencia es la prueba.
En Duriva, hemos hecho este tipo de análisis suficientes veces como para reconocer el patrón a los diez minutos de revisar la MFT. Lo que toma más tiempo no es descubrir el montaje. Es documentarlo con el rigor que exige el sistema de justicia para que un juez laboral tenga la certeza de que los archivos no llegaron ahí por acción del empleado.
Y cuando el dictamen pericial dice que los archivos fueron plantados, dice exactamente eso: la evidencia digital demuestra que los archivos fueron creados en la computadora del empleado en un horario y con unas credenciales inconsistentes con la actividad del usuario. Eso no es opinión. Son datos. Y los datos, cuando se leen correctamente, dicen la verdad que la empresa quiso ocultar.