Cuando una empresa sospecha que un exempleado compartió información con la competencia, la tentación es buscar una prueba contundente: un correo, una conversación o un archivo que lo confirme todo.
La investigación seria funciona al revés. Primero delimita qué información salió, qué dispositivos pueden contener evidencia y qué explicaciones alternativas existen. Después revisa.
No se trata de encontrar algo para justificar un despido. Se trata de determinar qué ocurrió, incluso si la sospecha era equivocada.
Delimita la investigación
Antes de revisar equipos, responde:
Delimita primero qué información pudo salir, qué competidor o distribuidora aparece en la sospecha y quiénes tenían acceso autorizado. Después identifica los equipos utilizados, las políticas vigentes y el período que realmente necesitas revisar. Si no defines esos límites, puedes terminar examinando comunicaciones personales que no responden al incidente y debilitan la investigación.
La consecuencia de una conclusión incorrecta también forma parte del alcance. No es igual documentar una violación de política que afirmar que alguien entregó secretos comerciales a un competidor. La primera puede probarse con un evento de salida; la segunda necesita relacionar contenido, destino, acción y persona, considerando las explicaciones laborales legítimas.
En un caso corporativo revisado con independencia, aparecieron credenciales relacionadas con la competencia almacenadas en un equipo y rastros de acciones orientadas a dificultar la revisión. Eran elementos relevantes, pero no bastaban para afirmar que toda la información de la empresa había sido transferida. La investigación también encontró un tercer equipo sin esos indicios, lo que obligó a explicar diferencias en lugar de presentar todos los dispositivos como una sola escena.
El caso muestra por qué una coincidencia no debe convertirse en autoría automática. Hay que seguir el archivo: quién podía consultarlo, qué versiones existían, qué salidas eran posibles y qué evidencia conecta cada evento con una acción concreta. Las herramientas anti forenses tampoco explican por sí solas qué se ocultó ni quién las utilizó.
Para la empresa, lo prioritario es preservar equipos y accesos con un alcance autorizado, no entrar a sistemas de la competencia ni revisar cuentas privadas. Para el abogado, importa distinguir acceso, extracción y uso posterior. El análisis pericial debe incluir también lo que contradice la sospecha; una investigación creíble no selecciona únicamente los hallazgos que producen un culpable.
La investigación debe incluir también lo que no apoya la sospecha. Si el mismo archivo estaba disponible para todo el departamento o se compartió con un proveedor autorizado, ese contexto evita una atribución apresurada. El objetivo no es encontrar un culpable que complete la historia, sino establecer qué ocurrió con evidencia revisable y sin invadir más privacidad de la necesaria.
No revises “por si aparece algo”. Una investigación demasiado amplia puede exponer información personal y complicar el caso.
Preserva antes de confrontar
No informes al exempleado qué archivos o palabras buscarás. No restaures los equipos. No borres usuarios. No formatees. No instales aplicaciones de recuperación en los discos originales.
Documenta el estado de cada dispositivo y trabaja con copias, registros de custodia y valores hash cuando el caso lo requiera.
Si existe un teléfono corporativo, también preserva su estado. La respuesta puede estar distribuida entre computadora, teléfono y servicios externos.
Qué puede revelar cada fuente
Cuentas y credenciales
Un equipo puede conservar accesos a cuentas de correo de la distribuidora o de la competencia. Eso puede ser relevante, pero necesita contexto: quién las usaba, con qué autorización y para qué finalidad.
Una credencial almacenada no demuestra por sí sola una fuga.
Correo y nube
Revisa mensajes, archivos adjuntos, reenvíos, reglas y sincronizaciones. Busca también eliminación selectiva y accesos desde ubicaciones inusuales.
Si los mensajes fueron borrados, puede que solo sobrevivan encabezados o registros parciales. No inventes su contenido.
Actividad de archivos y carpetas
Las carpetas visitadas por primera vez, los accesos a documentos que no correspondían al puesto y los picos de lectura pueden aportar una cronología relevante.
El acceso no demuestra extracción. Debe cruzarse con transferencias, impresiones, copias u otros eventos.
Dispositivos USB
La primera y la última conexión de cada memoria puede mostrar un patrón: varios dispositivos de un solo uso en los días críticos en lugar de una memoria habitual de trabajo.
Los registros pueden indicar cuándo se conectaron, pero no necesariamente qué archivos contenían.
Escritorio remoto y canales legítimos
Las herramientas de administración remota pueden ser vías normales de trabajo o mecanismos para extraer información. Revisa instalaciones, permisos, servicios, horarios y registros.
Lo legítimo no es automáticamente inocente, y lo instalado por el usuario no es automáticamente malicioso.
Impresión y dispositivos móviles
La información puede salir impresa o fotografiada. Revisa registros de impresión, archivos de imagen y sincronización con teléfonos cuando estén autorizados.
Una empresa puede bloquear USB y nube y seguir sin controlar la impresora.
Programas anti-forenses y eliminación
Herramientas de borrado seguro, limpieza selectiva y eliminación masiva pueden indicar preparación, pero no autoría.
Documenta qué programas existían, cuándo se usaron y qué datos desaparecieron. No asumas que toda limpieza fue intencional.
La cronología es más importante que una palabra clave
Una investigación basada únicamente en nombres de empresas o personas puede producir coincidencias irrelevantes.
Lo relevante suele ser la secuencia:
- Acceso a información que no era habitual.
- Cambios en el volumen de datos enviados.
- Uso de canales personales o externos.
- Eliminación selectiva.
- Salida del empleado.
- Posible contacto con la competencia.
Cada elemento necesita su propia verificación. La relación entre ellos es lo que puede sostener o debilitar la hipótesis.
Un ejemplo de evaluación por riesgo
Clasificar los equipos de manera distinta evitó convertir a todas las personas en sospechosas.
El primer equipo podía representar un riesgo real. El segundo, un riesgo potencial que requería más revisión. El tercero fue documentado como limpio.
La imparcialidad también consiste en decir “aquí no encontramos nada”.
No conviertas la investigación en una violación de privacidad
La propiedad de un equipo no autoriza automáticamente cualquier revisión de comunicaciones personales. Delimita con asesoría jurídica qué puede examinarse y con qué alcance.
Utiliza solamente la información necesaria para responder el encargo. Si aparece contenido personal irrelevante, no lo distribuyas.
La investigación debe proteger tanto a la empresa como a las personas acusadas injustamente.
Qué puede afirmarse al final
El informe debe distinguir entre:
- Hechos comprobados.
- Indicios que requieren explicación.
- Información faltante.
- Hipótesis descartadas.
- Posibles responsables por determinar.
- Conductas que no pueden atribuirse con la evidencia disponible.
Puede que sepas qué canal se utilizó, pero no qué archivos salieron. Puede que determines acceso y eliminación, pero no intención. Puede que demuestres que una sospecha no se sostiene.
Eso también es un resultado útil.
No toda coincidencia demuestra exfiltración
Una fuga a la competencia o transferencia no autorizada de archivos exige relacionar contenido, acceso, canal y momento. Ver un dominio competidor en el navegador no demuestra envío; encontrar un archivo compartido tampoco identifica a la persona física. La empresa necesita proteger sus datos sin espiar cuentas privadas, y el abogado necesita hechos reproducibles. El peritaje delimita dispositivos y registros corporativos, sin publicar métodos de evasión ni convertir una sospecha laboral en sentencia.
