Cadena de custodia digital: por qué una prueba cierta puede caerse

El problema que resuelve

La evidencia digital tiene una característica incómoda: se puede modificar sin dejar marca visible. Un documento en papel se raspa, se nota; un archivo se edita y aparenta ser el mismo. Por eso no basta con presentar el dato: hay que poder demostrar que ese dato es exactamente el que se obtuvo, y que nadie lo tocó por el camino.

Eso es la cadena de custodia: la documentación continua de quién tuvo la evidencia, cuándo, dónde, qué hizo con ella y cómo, desde su obtención hasta su presentación.

Lo que dice la norma

La referencia internacional es UNE-EN ISO/IEC 27037:2016, sobre identificación, recogida, adquisición y preservación de evidencias digitales. Se apoya en tres principios que conviene tener presentes:

• Relevancia: se recoge lo pertinente para el objeto del análisis, no todo lo que hay. Esto conecta además con el principio de minimización del RGPD cuando aparecen datos de terceros ajenos al caso.
• Fiabilidad: el proceso debe ser reproducible y verificable. Otro perito, con los mismos datos y herramientas, debería llegar al mismo resultado.
• Suficiencia: hay que recoger material bastante para sostener las conclusiones.

La familia se completa con ISO/IEC 27041 (garantía de idoneidad del método), 27042 (análisis e interpretación) y 27043 (principios de investigación).

Las cuatro fases

1. Identificación. Localizar y delimitar las fuentes de evidencia relevantes, documentando su estado sin alterarlas. Aquí se pierden muchos casos: si el cliente ya ha «guardado pruebas» por su cuenta, es posible que haya modificado metadatos.

2. Adquisición. Copia bit a bit del soporte, empleando bloqueo de escritura cuando el dispositivo lo permite. Se calcula la huella criptográfica —habitualmente SHA-256— del origen y de la copia. Ambas deben coincidir: esa coincidencia es la prueba matemática de que la copia es idéntica al original.

3. Preservación. El original se guarda intacto y todo el trabajo posterior se hace sobre la copia. Cada traspaso o acceso se registra con fecha y responsable.

4. Análisis y documentación. El examen se realiza sobre la copia y se documenta de forma que pueda reproducirse: herramientas empleadas, versiones, procedimientos y resultados.

Por qué el hash lo cambia todo

Una función hash produce, a partir de un conjunto de datos, una cadena de longitud fija. Cambiar un solo bit del original produce un valor completamente distinto.

Eso convierte la integridad en algo verificable por cualquiera: si el hash calculado hoy sobre la evidencia coincide con el que consta en el acta de adquisición, el contenido no ha variado. No es una opinión del perito; es una comprobación que la parte contraria puede repetir.

Cómo se rompe una cadena de custodia

En la práctica, casi siempre por lo mismo:

• Trabajar directamente sobre el dispositivo original en lugar de sobre una copia.
• No calcular el hash en el momento de la adquisición —después ya no sirve de nada. La adquisición forense de ordenadores y dispositivos móviles se documenta precisamente para que esa comprobación siga siendo posible meses más tarde.
• Aportar capturas de pantalla sin acceso al origen.
• Lagunas temporales sin documentar: días en los que no consta dónde estuvo el material.
• Herramientas sin indicar versión, o procedimientos no descritos, que impiden reproducir el análisis.

Y por qué esto le importa a un abogado

Porque una cadena de custodia rota permite impugnar una prueba aunque su contenido sea verdadero. No se discute el fondo: se discute que no puede acreditarse que sea el mismo material que se obtuvo. Y sin esa certeza, el tribunal no puede fundar su convicción en ella.

Funciona igual en el otro sentido: cuando la pericial contraria presenta defectos de custodia, ahí hay una vía de impugnación técnicamente fundada, que es precisamente lo que la jurisprudencia exige para no quedarse en una negación genérica.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.