Sospechar que un exempleado se llevó información por su correo personal no significa que puedas acusarlo de inmediato. Significa que tienes una línea de investigación.
El objetivo no es demostrar que usó Gmail, Outlook o Yahoo. Es determinar qué hizo, cuándo, desde qué equipo, con qué archivos y qué evidencia conserva tu empresa.
Si el USB estaba bloqueado y la nube restringida, todavía existen otras salidas: correo personal, impresión, fotografías, escritorio remoto, sincronización móvil y cuentas compartidas.
Antes de confrontar: preserva
No llames primero al exempleado. No le avises qué registros estás buscando. No restaures el equipo. No instales un “limpiador”. No borres usuarios ni formatees.
Preserva los equipos relevantes y delimita la autorización de la revisión. Ser dueño del equipo o del dominio no convierte automáticamente toda inspección en lícita. El alcance debe revisarse con asesoría jurídica y con respeto a la privacidad de terceros.
Documenta:
Antes de analizar, identifica cada equipo y usuario, quién tenía acceso legítimo y cuándo terminó la relación laboral. Esa delimitación evita atribuir a la salida del empleado eventos ocurridos antes o después. También debes documentar las políticas de uso, las autorizaciones de revisión y el estado físico y lógico del equipo al recibirlo, porque una investigación no empieza con una computadora abierta a ver qué aparece.
Las copias deben quedar identificadas con su origen, medio, fecha y responsable de custodia. Si se calculan valores hash, deben corresponder a archivos concretos y conservar su procedimiento. Esto permite explicar que el material analizado es el mismo que se entregó, sin convertir la huella en prueba automática de autoría.
En un caso corporativo, las memorias USB y la nube estaban bloqueadas, pero el equipo permitía usar un correo personal con archivos adjuntos. La información podía salir sin atravesar las defensas en las que la empresa confiaba. Durante el análisis apareció un primer acceso a carpetas que no correspondían habitualmente al usuario y, en la misma secuencia, un pico de datos enviados por la red. Después hubo eliminación selectiva de historial.
Cada evento aislado podía tener una explicación legítima. Lo relevante era su orden: acceso inusual, transferencia y borrado. Esa relación permitió investigar una salida concreta en lugar de afirmar que tener un correo privado equivale a robar. También dejó claro qué no podía afirmarse cuando el contenido de todos los mensajes ya no estaba disponible.
La empresa debe preservar sus equipos y delimitar la revisión antes de confrontar; el abogado debe cuidar autorización y privacidad. No se entra a la cuenta personal como si fuera propiedad corporativa. El análisis pericial reconstruye eventos en los sistemas autorizados y distingue indicios de extracción, contenido acreditado y responsabilidad todavía no demostrada.
La revisión debe permanecer dentro de los sistemas administrados por la empresa y de los datos permitidos. Si hace falta información de una cuenta personal, se solicita por la vía correspondiente. La finalidad no es demostrar que todo uso privado era sospechoso, sino establecer qué información empresarial salió y qué evidencia la conecta con una acción concreta.
Una investigación interna bien hecha también protege a la persona acusada si no hizo nada indebido.
Qué evidencia puede dejar el correo personal
Una sesión de correo personal en el equipo de trabajo puede revelar mucho más que una cuenta abierta.
Según el sistema y la preservación disponible, revisa:
- Archivos adjuntos enviados y recibidos.
- Mensajes reenviados.
- Reglas automáticas.
- Accesos desde ubicaciones inusuales.
- Descargas de archivos sensibles.
- Sincronización con teléfonos.
- Eliminación selectiva de mensajes.
- Vaciado de papelera.
- Volumen de datos enviados por red.
- Fechas de creación y modificación de buzones locales.
No te limites a buscar el asunto “base de datos confidencial”. Los eventos importantes suelen ser más pequeños: una carpeta visitada por primera vez, un pico de tráfico o un borrado selectivo.
La cronología puede valer más que una captura
Una fecha no acusa a una persona. Una secuencia puede demostrar que su versión no es compatible con los registros.
Cuando el contenido ya no está, trabaja con lo que sí existe
Si los correos fueron eliminados, no inventes qué decían.
Todavía puedes revisar:
- Registros de acceso.
- Metadatos de archivos.
- Historiales de navegación.
- Carpetas visitadas.
- Eventos del sistema.
- Copias de seguridad corporativas.
- Registros del proveedor de correo, cuando sean accesibles.
- Documentos impresos o descargados.
- Actividad de red.
- Evidencia en otros dispositivos.
Puede que no sea posible determinar el contenido exacto de cada archivo extraído. En ese caso, la conclusión debe limitarse a lo que sí puede probarse: accesos, fechas, canales, volúmenes, preparación y eliminación.
El resultado honesto no siempre es “se llevó todo”. A veces es “no podemos saber qué se llevó, pero sí cómo se comportó el sistema en esos días”.
No ignores las otras salidas de información
Bloquear USB no bloquea la impresión. Bloquear Dropbox no bloquea el correo personal. Instalar un firewall no impide que alguien fotografíe una pantalla con su celular.
Revisa, según el caso:
- Impresiones de documentos.
- Fotografías y videos.
- Escritorio remoto.
- Carpetas compartidas.
- Cuentas de terceros.
- Sincronización con dispositivos personales.
- Servicios de transferencia de archivos.
- Archivos comprimidos o extensiones cambiadas.
La seguridad no consiste en cerrar una puerta y dejar una ventana cotidiana abierta.
No confundas coincidencia con prueba
Una palabra clave puede producir cientos de coincidencias irrelevantes. Un nombre parecido no demuestra identidad. Una cuenta en la nube no demuestra extracción. Un pico de red no demuestra contenido.
Antes de atribuir, cruza fuentes independientes y evalúa explicaciones alternativas:
- Trabajo remoto autorizado.
- Respaldo corporativo.
- Actividad del sistema.
- Actualizaciones.
- Tareas programadas.
- Otro usuario del mismo equipo.
- Actividad administrativa legítima.
Un peritaje que siempre confirma la sospecha del cliente no es una investigación: es una acusación con membrete.
La distinción que protege la investigación
Una fuga de información o extracción de datos no se prueba solo porque exista un correo personal en el historial. Deben delimitarse mensaje, adjuntos, cuenta corporativa autorizada, fecha y finalidad laboral. La empresa necesita contener el riesgo; el abogado necesita evitar una revisión invasiva del correo privado. El análisis se concentra en los sistemas administrados por la organización y en solicitudes formales adicionales, sin publicar nombres ni enseñar cómo ocultar una salida.
