Informática forense

La informática forense es un subconjunto de la investigación forense —la recopilación y el análisis de pruebas delictivas— que se centra en la información digital. Algunos ejemplos son recuperar datos de una computadora, analizar los metadatos de archivos específicos y monitorear el tráfico de red.

Un primer paso común en el proceso de informática forense es acceder a los datos de un dispositivo electrónico. Por ejemplo, una computadora portátil, un teléfono inteligente o una cuenta de almacenamiento en la nube pueden contener datos relacionados con una investigación específica. En algunos casos, los datos son fácilmente accesibles, mientras que en otros pueden estar cifrados o requerir un inicio de sesión. La informática forense también puede implicar recuperar datos de un dispositivo de almacenamiento dañado o parcialmente borrado.

Después de obtener acceso a los datos, los investigadores pueden buscar o revisar carpetas y archivos para encontrar información relevante. Por ejemplo, pueden buscar correos electrónicos o mensajes de texto enviados en un momento específico. Las imágenes o los videos también pueden proporcionar pruebas útiles. Los metadatos de ciertos archivos también pueden ser de ayuda. Por ejemplo, el encabezado de un correo electrónico puede incluir la dirección IP del dispositivo que envió el mensaje. Los datos EXIF de una imagen pueden incluir información de ubicación GPS, así como la fecha y hora en que se tomó la imagen.

Aunque la informática forense normalmente se centra en recuperar datos existentes, también puede implicar monitorear datos en tiempo real. Por ejemplo, un detective puede usar un analizador de paquetes para registrar paquetes enviados a través de la conexión inalámbrica de una persona.

Autenticidad de los datos

Independientemente del proceso utilizado para recuperar información digital, la autenticidad de los datos es fundamental en los casos penales. Dado que la información digital puede copiarse o modificarse fácilmente, a menudo es difícil verificar cuáles son los datos originales. Es posible que se necesiten pruebas corroborativas para garantizar que los datos digitales no hayan sido alterados. Algunos ejemplos son copias de datos de varios dispositivos y archivos de registro de un servidor.