Acreditar una fuga de información en un litigio
La pregunta no es solo si salió información. Es qué salió exactamente, cuándo, por qué vía, y quién la manejó después. Ese nivel de detalle es lo que sostiene una demanda o una medida cautelar.
El escenario típico se repite: un comercial o un directivo causa baja, aparece semanas después en un competidor, y empiezan a perderse clientes u operaciones. La empresa sospecha, pero no tiene con qué acreditarlo.
La prueba existe, pero se degrada sola. Los registros del cortafuegos se rotan, el portátil se reasigna a otro empleado, la cuenta en nube se cancela. Cada semana que pasa reduce lo que se puede recuperar. Por eso lo primero no es analizar: es congelar.
Qué se analiza
- Artefactos de copia masiva: dispositivos USB, nube personal, correo web, mensajería
- Registros de acceso a repositorios, CRM, ERP y unidades compartidas
- Actividad fuera de horario y patrones de descarga anómalos
- Ficheros borrados, papelera, instantáneas de volumen y espacio no asignado
- Trazas en el dispositivo de destino, cuando hay acceso autorizado a él
- Reenvíos a cuentas personales y adjuntos de gran tamaño
Qué se entrega
- Inventario de lo exfiltrado, con volumen, marca temporal y vía de salida
- Reconstrucción cronológica completa de la conducta
- Valoración del secreto empresarial afectado
- Soporte técnico para diligencias preliminares y medidas cautelares
- Dictamen sobre la licitud técnica de la obtención de la prueba
Preguntas frecuentes
¿Cuánto tiempo tengo para actuar tras detectar una fuga?+
Cuanto antes, mejor, y la diferencia es sustancial. Los registros de cortafuegos y proxy suelen rotarse en días o semanas. Si el equipo se ha reasignado y reinstalado, buena parte de la prueba desaparece. Con riesgo de pérdida se puede intervenir en 72 horas en cualquier punto del país.
¿Puedo revisar yo el ordenador del empleado antes de llamar al perito?+
Es el error más común y el más caro. Cada arranque del equipo modifica cientos de marcas temporales y puede destruir precisamente lo que se quiere acreditar. Lo correcto es retirar el equipo de servicio, guardarlo bajo llave anotando quién lo retiró y cuándo, y no encenderlo.
¿Es lícito analizar el ordenador de un empleado?+
Depende de la política de uso de medios que tuviera la empresa, de la información previa facilitada al trabajador y del juicio de proporcionalidad de la medida. Es una valoración jurídica que corresponde a la dirección letrada; el dictamen pericial documenta cómo se obtuvo la evidencia para que esa valoración pueda hacerse.
¿Qué pasa si el empleado usó su cuenta personal de Google o Dropbox?+
Deja rastro igualmente en el equipo corporativo: clientes de sincronización, entradas de registro, ficheros temporales y artefactos del navegador. No se accede a la cuenta personal, sino a las huellas que su uso dejó en el sistema de la empresa.
Áreas relacionadas
¿Su caso encaja aquí?
La primera conversación no se factura y se mantiene bajo confidencialidad, exista o no encargo posterior. Si el asunto no requiere una intervención de este nivel, se lo diré con franqueza.