Cadena de custodia y evidencia digital en España:

hacerlo para que valga en juicio

Blue Team y Forense Digital  |  unfantasmaenelsistema.com

Una investigación forense impecable no sirve de nada si la evidencia se cae en el juicio. Y la evidencia digital es especialmente frágil: un solo montaje del disco en modo lectura-escritura, un antivirus que «limpia» un fichero durante la copia o un acta a medio rellenar bastan para que la parte contraria pida su exclusión y, a menudo, la consiga.

Este artículo explica, con el marco legal español como referencia, qué es la evidencia electrónica y qué valor tiene ante un tribunal, los principios que hay que respetar para no contaminarla, cómo se adquiere y se documenta, qué papel juega el perito, y en qué momento conviene dejar de tocar y llamar a las Fuerzas y Cuerpos de Seguridad del Estado. Es el complemento legal de todo el bloque forense de la serie: análisis de memoria, líneas de tiempo, registro de Windows y triaje en vivo.

1. Qué es la evidencia electrónica y qué valor tiene

Evidencia o prueba electrónica es cualquier información con valor probatorio almacenada o transmitida en formato digital: un fichero, un correo con sus cabeceras, un registro de auditoría, una imagen de disco, un volcado de memoria, los metadatos de una foto, un mensaje de mensajería instantánea o los logs de un servidor.

En el proceso civil, la Ley de Enjuiciamiento Civil reconoce expresamente los medios de reproducción de la palabra, el sonido y la imagen y los instrumentos que permiten archivar y conocer datos relevantes para el proceso (arts. 299.2, 382 a 384 LEC). En el proceso penal, la Ley de Enjuiciamiento Criminal regula el registro de dispositivos de almacenamiento masivo y el acceso a datos (arts. 588 sexies y concordantes), que como norma general requiere autorización judicial. El Reglamento eIDAS añade que a una prueba electrónica no se le pueden negar efectos jurídicos por el mero hecho de estar en formato electrónico.

La consecuencia práctica: el tribunal valora esa prueba con libertad, pero puede rechazarla si se obtuvo vulnerando derechos fundamentales (art. 11 de la Ley Orgánica del Poder Judicial) o si existen dudas razonables sobre su autenticidad e integridad. La cadena de custodia es justamente lo que despeja esas dudas: no es un requisito formal caprichoso, es la garantía de que lo que se presenta en la sala es lo mismo que se recogió y no ha sido alterado por el camino.

2. Los principios que hay que respetar

Las guías de referencia (RFC 3227 para la recolección, la norma UNE 71505 sobre gestión de evidencias electrónicas, la UNE 71506 sobre metodología del análisis forense, y la ISO/IEC 27037 sobre identificación, recogida y preservación) coinciden en un núcleo común.

El hash merece una nota. Calcular el SHA-256 del original nada más adquirirlo, apuntarlo en el acta y volver a calcularlo sobre cada copia de trabajo permite afirmar ante el tribunal, con respaldo matemático, que se ha analizado una réplica exacta. Si los hashes no coinciden, la copia no vale y hay que investigar por qué. MD5 y SHA-1 siguen apareciendo en herramientas antiguas por compatibilidad, pero para evidencia nueva se usa SHA-256.

3. Adquisición: el orden importa

Cuando hay que recoger evidencia de un sistema encendido, el orden lo marca la volatilidad: primero lo que desaparece al apagar, después lo que persiste. La RFC 3227 lo ordena así, de más volátil a menos:

• Registros de CPU y caché (en la práctica, no recuperables)
• Memoria RAM: procesos, conexiones de red, sesiones, claves en memoria, malware sin fichero
• Estado de la red: tabla de rutas, caché ARP, conexiones establecidas
• Procesos en ejecución y ficheros abiertos
• Disco: sistema de ficheros, artefactos, ficheros borrados
• Configuración y topología física, soportes de copia de seguridad
• Datos en soportes remotos o de archivo

En un equipo apagado y sin urgencia, la regla clásica es no encenderlo: se extrae el soporte y se clona con un bloqueador de escritura por hardware o, si no hay más remedio, con montaje en solo lectura verificado. La imagen se genera en un formato forense (E01 con metadatos y compresión, o dd/raw) y se calcula su hash. A partir de ahí se trabaja siempre sobre copias de esa imagen, nunca sobre el soporte físico, que se precinta y se guarda.

En un servicio en la nube o en un sistema crítico que no se puede apagar, la adquisición cambia de forma pero no de fondo: se exportan los registros de auditoría del proveedor, se toman instantáneas (snapshots) de disco, se documenta la hora exacta y la cuenta que realiza la exportación, y se sella el resultado con hash y, si es posible, con un sellado de tiempo cualificado.

# Adquisicion de un disco con bloqueador de escritura (ejemplo ilustrativo, Linux)
#  /dev/sdb = disco origen tras el bloqueador ; el destino es un soporte esteril y verificado
 
# 1) hash del origen ANTES de copiar
sudo sha256sum /dev/sdb | tee origen.sha256
 
# 2) imagen forense verificada (ewfacquire calcula y comprueba el hash al vuelo)
sudo ewfacquire -t /casos/2026-014/imagen -f encase6 -c deflate:fast \
     -d sha256 -e 'Perito 1' -E 'Caso 2026-014' -D 'HDD portatil' /dev/sdb
 
# 3) verificacion posterior de la imagen ya escrita
sudo ewfverify /casos/2026-014/imagen.E01
 
# 4) montaje SOLO LECTURA para analizar (nunca rw sobre la evidencia)
sudo mount -o ro,noload,noexec /dev/mapper/loop0p2 /mnt/analisis

4. El acta de custodia: quién toca qué y cuándo

El acta (o formulario) de cadena de custodia es el documento que acompaña a la evidencia desde que se recoge hasta que se destruye o se devuelve. Cada vez que la evidencia cambia de manos o de ubicación, se anota una línea nueva. Un acta bien hecha responde sin ambigüedad a: qué es, de dónde salió, quién la ha tenido, dónde ha estado guardada y qué se le ha hecho.

Detalles que marcan la diferencia: la evidencia se guarda en bolsas antiestáticas y precintadas, con el precinto numerado y fotografiado; el almacén tiene acceso restringido y registrado; y el acta es un documento vivo que se firma en cada traspaso, no algo que se rellena entero al final. Cualquier hueco temporal sin justificar en el acta es una puerta que la parte contraria usará para sembrar la duda.

5. El perito y el informe pericial

El análisis y la presentación de la evidencia ante el tribunal los realiza un perito informático. Puede ser un perito de parte (contratado por una de las partes) o un perito judicial designado por el juzgado. En ambos casos su obligación es la objetividad: la Ley de Enjuiciamiento Civil le exige actuar con la mayor objetividad posible y le advierte de la responsabilidad penal por falso testimonio; antes de emitir el dictamen jura o promete decir verdad y haber actuado y actuar con objetividad.

El informe pericial debe permitir que otro perito, con los mismos datos, llegue a las mismas conclusiones. Estructura habitual:

• Objeto y alcance: qué se pide analizar y qué preguntas se responden
• Material recibido: cada evidencia con su identificador, su hash y su estado al recibirla
• Metodología: normas seguidas (UNE 71506, ISO/IEC 27037/27042), herramientas con su versión, y entorno de trabajo
• Desarrollo: las acciones realizadas en orden, con resultados y capturas, de forma que sean reproducibles
• Conclusiones: respuestas claras y motivadas a las preguntas planteadas, distinguiendo hecho de interpretación
• Anexos: acta de custodia, hashes, cadena de razonamiento, currículum del perito

Una buena práctica es separar de forma explícita lo que la evidencia demuestra (por ejemplo, «el fichero X se creó en el volumen el día D a la hora H en UTC») de lo que el perito interpreta («lo cual es compatible con una descarga manual por parte del usuario»). Mezclar ambas cosas es el reproche más frecuente en sala.

6. Cuándo no debes actuar tú

El equipo interno puede y debe hacer el triaje inicial y la contención de un incidente sobre sus propios sistemas. Pero hay líneas que conviene no cruzar sin apoyo externo:

• Si hay indicios de delito y se va a denunciar: a partir de ese punto, cada manipulación adicional resta valor a la prueba. Lo razonable es preservar (aislar, imagen, hash, precinto) y dejar el análisis profundo para el perito o para la unidad policial
• Contenido de abuso sexual infantil: su mera visualización o copia fuera del cauce legal es delito. Hay que detenerse y avisar de inmediato a la Policía Nacional o la Guardia Civil
• Acceso a comunicaciones o a dispositivos de terceros (empleados incluidos): el secreto de las comunicaciones y la protección de datos imponen límites; se necesita base jurídica, proporcionalidad y, con frecuencia, autorización judicial
• Sistemas de terceros o del atacante: investigarlos o «contraatacar» no es respuesta a incidentes

7. Conservación y destrucción

La evidencia se conserva mientras el procedimiento lo requiera y, después, según lo que acuerden las partes o disponga el juzgado. Puntos a fijar por escrito:

• Soporte y redundancia: al menos dos copias verificadas de cada imagen, en soportes distintos y ubicaciones distintas; revisión periódica de que siguen siendo legibles
• Cifrado en reposo de las copias, con la gestión de claves documentada
• Plazo de retención ligado al caso y a la normativa aplicable, no indefinido «por si acaso»
• Destrucción certificada: borrado seguro o destrucción física del soporte, con certificado que se incorpora al acta como último asiento
• Devolución: si el elemento se devuelve a su titular, se anota la fecha, quién lo recibe y su estado

Conclusión

La cadena de custodia no es papeleo: es lo que convierte un hallazgo técnico en una prueba que el tribunal puede aceptar. Se sostiene sobre cinco ideas simples: no alterar el original, poder demostrar su integridad con un hash, saber en todo momento quién la ha tenido, documentar cada acción de forma reproducible, y recoger solo lo que se está habilitado a recoger.

En la práctica: fija el procedimiento y el modelo de acta antes de necesitarlos, adquiere en orden de volatilidad con bloqueador y hash, trabaja siempre sobre copias, y ten claro el punto en el que dejas de ser el que investiga y pasas a ser el que preserva y llama a quien corresponde. Ese límite, bien identificado, protege el caso y te protege a ti.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)