Cuando sospechas que alguien conectó una memoria USB a tu computadora mientras no estabas, los registros del sistema pueden mostrar primera y última conexión, identificadores y actividad.
Pero una conexión no demuestra por sí sola una fuga ni qué archivos fueron copiados. Hay que analizar contexto y secuencia.
Dónde puede quedar la evidencia
Según el sistema, puedes revisar:
Revisa el registro de dispositivos, primera y última conexión, marca, modelo y serie de la memoria. Contrasta esa información con actividad de archivos, eventos del sistema, historial de usuarios y copias o espacio no asignado cuando sea pertinente. Estos artefactos pueden indicar conexión, pero no necesariamente contenido copiado ni persona física.
Conserva la computadora antes de instalar herramientas o limpiar registros. Documenta quién tenía acceso físico y qué sesión estaba abierta, porque una memoria puede usarse para cargar un teléfono o instalar material autorizado. La conexión es un evento, no una prueba completa de fuga.
En una revisión real de una computadora empresarial, los registros mostraban primeras y últimas conexiones de memorias que parecían haberse utilizado una sola vez. Ese patrón justificaba investigar los dispositivos y las ventanas de acceso, pero no demostraba qué archivos se copiaron ni quién introdujo cada memoria. El artefacto respondía una parte del hecho, no toda la acusación.
Para avanzar había que relacionar identificadores del dispositivo, usuarios activos, actividad de archivos, accesos físicos y videos. Una conexión podía corresponder a mantenimiento autorizado o a carga de un teléfono; otra podía coincidir con eventos de copia. El análisis debía explicar esas alternativas y no elegir la más conveniente.
Si sospechas que conectaron una USB, preserva la computadora y no conectes ahí la memoria desconocida para ver su contenido. Documenta quién tuvo acceso y qué políticas regían. El abogado delimita la revisión laboral y la privacidad; el peritaje identifica eventos y su alcance. Saber que una memoria estuvo conectada es útil; convertirlo automáticamente en prueba de robo sería saltarse los hechos que todavía deben demostrarse.
No conectes la memoria sospechosa en el equipo original para ver qué contiene, porque puedes alterar registros y exponerlo. El abogado necesita cruzar accesos y actividad laboral, mientras el especialista documenta qué muestran los artefactos y qué preguntas siguen abiertas sobre autoría y contenido.
No instales aplicaciones para buscar esos datos en el disco original. Preserva antes.
Un patrón puede ser más útil que una sola memoria
Lo habitual es que una memoria de trabajo se conecte muchas veces durante meses. Una sucesión de dispositivos distintos conectados una sola vez en días críticos puede ser distinta.
Ese patrón puede indicar extracción física o actividad inusual, pero no prueba por sí solo qué contenido salió.
Qué puede y qué no puede afirmarse
Los registros pueden indicar:
- Qué dispositivos se conectaron.
- Cuándo ocurrió.
- Con qué frecuencia.
- Si hubo eliminación posterior.
No necesariamente indican:
- Qué archivos viajaron.
- Quién los copió.
- Qué intención hubo.
- Qué memoria contiene ahora la información.
No sobredimensiones la evidencia.
Cruza con otras fuentes
Revisa actividad de archivos, carpetas visitadas, copias recientes, correo, nube, impresión y accesos. Una memoria puede explicar movimiento, pero otra fuente puede demostrar contenido.
También considera actividad administrativa legítima: respaldo, actualización, soporte o uso autorizado.
El registro de conexión no demuestra copia ni autor
Un historial de dispositivos USB o artefacto de conexión en Windows puede identificar modelo, serie y fechas disponibles, pero no siempre muestra archivos copiados ni a la persona física. La empresa necesita preservar equipo y sesiones antes de instalar herramientas; el abogado necesita cruzar accesos físicos, actividad de archivos y contexto laboral. No se conecta la memoria sospechosa para experimentar ni se enseñan formas de borrar estos registros, porque la investigación busca hechos verificables.
La conexión y la copia son eventos diferentes
En Windows pueden existir artefactos de registro, eventos y referencias de dispositivos que ayudan a identificar una memoria conectada. Su disponibilidad depende de la configuración y de la preservación. Un número de serie puede vincular un dispositivo, pero no necesariamente a quien lo introdujo.
Conserva el equipo antes de instalar nuevas herramientas o limpiar eventos. Documenta cuándo lo dejaste, quién tenía acceso físico y qué cuentas estaban activas. Si existía una sesión abierta, cualquier persona presente pudo utilizarla sin dejar un inicio de sesión separado.
Revisa actividad de archivos, copias recientes, servicios de nube y otros canales. Una USB conectada no demuestra que se copió información; pudo utilizarse para cargar un teléfono o instalar algo autorizado. Para sostener una fuga necesitas evidencia del acceso a datos y del contexto.
Compara las fechas con cámaras, registros de acceso al edificio y actividad del usuario. Documenta las zonas horarias y los cambios de reloj. No atribuyas a una persona por el simple hecho de que su memoria estuvo conectada en otra ocasión.
No conectes la misma memoria sospechosa en la computadora original para comprobar qué contiene: puedes alterar registros y exponer el equipo. Preserva ambos medios por separado con apoyo especializado. El informe debe explicar qué eventos están documentados y qué afirmaciones no pueden sostenerse, especialmente la identidad física y el contenido presuntamente copiado.
