Periciales informáticas. Caso práctico 1: Empleado desleal

En esta entrada (y posteriores entregas) trataremos de pasada algunos casos prácticos de aplicación de análisis forense en entornos corporativos junto con los procedimientos, a nuestro entender, más adecuados para cada caso. 

Es preciso mencionar que no existe una normativa regulada y oficial sobre el mejor procedimiento a seguir para la realización de periciales informáticas. Tenemos, por un lado la legislación vigente relativa al Estatuto de los Trabajadores, la Constitución Española y lo que dice la LEC referente a periciales, y por otro, las buenas prácticas aceptadas por la comunidad científico-forense. También hay que valorar la existencia de un protocolo de uso y control de los medios digitales implantado en la compañía y aceptada por los trabajadores. Además de esto, se van sumando diariamente diversas sentencias y autos que van sentando jurisprudencia al respecto (aunque a menudo de forma contradictoria).

<DISCLAIMER>: Este post no pretende ser una guía de aplicación para todos los escenarios. Cada caso es un mundo y tiene sus circunstancias técnicas, legales, económicas, políticas, etc. Lo que aquí comentamos es fruto de la propia experiencia con diferentes clientes y asesores legales con los que hemos colaborado. Por norma general, como siempre, se trata de adoptar las mejores prácticas forenses y legales al caso concreto, y por tanto, la primera recomendación es poner en manos de expertos en este campo la definición de la mejor estrategia a seguir. Lo más importante es mantener una perfecta coordinación entre los asesores legales, los diferentes departamentos involucrados en el asunto (RRHH, Técnico, Dirección, Seguridad Corporativa, etc.), el perito y otros terceros que puedan intervenir (notarios, ISPs, CFSE, etc.).¡Así que, aplíquese con precaución!</DISCLAIMER>

Caso práctico 1: Empleado que ha cometido una irregularidad

Quizá sea el escenario, desde el punto de vista laboral, más complejo. En el caso de que se sospeche o se tenga constancia de que un empleado ha cometido algún tipo de irregularidad mediante el uso de dispositivos digitales, el procedimiento más habitual consiste en una suspensión cautelar de empleo de dicho empleado mientras se realiza la auditoría interna o externa para confirmar las posibles sospechas. 

A menudo clientes y asesores legales presionan para emitir directamente una carta de despido en el momento que se conocen las sospechas, pero desde nuestra óptica, es vital que lo que se imputa en la carta esté basado en unas conclusiones probadas y fiables (por lo menos en lo que respecta a las pruebas digitales). Lo contrario es empezar la casa por el tejado y suelen surgir problemas ante la imposibilidad de demostrar mediante técnicas forenses ciertos hechos que, aunque puedan ser ciertos,  se han dado como probados cuando no lo son.

El flujo habitual de este caso sigue el siguiente patrón:

Reuniones preliminares

Antes de iniciar cualquier acción, es preciso llevar a cabo una primera etapa de definición de estrategia y planificación de la acciones a llevar a cabo. En esta fase es preciso contar con los siguientes perfiles:

• Asesor legal: Es deseable conocer la legislación vigente en materia laboral y de prueba electrónica, así como plazos legales (prescripción, traslado, conciliación, etc.) antes de ejercitar cualquier acción.

Típicas caras sonrientes que NO se ven en estas reuniones

• Dirección de Seguridad Corporativa: Dado que se trata de un incidente que potencialmente ha podido afectar al ámbito de la seguridad lógica corporativa, es esencial contar con el responsable de esta área.

• Dirección de RRHH: Es preciso conocer el estado laboral del empleado para la valoración de potenciales riesgos y conocer si son asumibles los costes asociados a la investigación desde el punto de vista laboral.

• Dirección IT: Dado que se sospecha que la prueba pueda estar alojada en un entorno digital, es imprescindible contar con un perfil técnico que pueda asesorar al resto del equipo a la hora de decidir que medios contienen prueba y por tanto es preciso asegurar, así como guiar al experto forense dentro del mapa tecnológico corporativo.

• Representante de los trabajadores / Comité de empresa: En materia laboral, todas las actuaciones deberían ser conocidas y atestiguadas por el comité de empresa o representante de los trabajadores, según sea el caso. Si no existe, sería deseable la incorporación de un testigo lo más independiente posible, p.e. un trabajador del mismo rango que el afectado.

• Expertos externo: Siempre que se lleve a cabo una investigación es preferible contar con expertos externos independientes para la realización de la misma ya que de esta forma se podrá contar con un informe pericial que podrá utilizarse en un procedimiento legal, si fuera preciso.

• Notario: Hoy por hoy es la figura que da validez legal a todo el procedimiento de recogida de evidencias. En función del caso será preciso valorar el momento y circunstancias de su intervención, pero en el caso general, será en el momento del aseguramiento de la información.

Recogida de evidencias

Aseguramiento de información/prueba, copias forenses/espejo, etc. En este acto se pretende recoger toda la información digital que acredite la comisión de la irregularidad por parte del empleado. Para dotar de la máxima validez legal a la actuación, es preciso notificar la apertura de este procedimiento al afectado. 

Esta actuación debe realizarse sin ningún tipo de pre-aviso, para evitar que el empleado pueda alterar o eliminar posibles pruebas digitales asociadas al fraude cometido.

Normalmente, por parte de la empresa se suele entregar al empleado un escrito en el que se le notifica  de que existen una serie de sospechas y que se inician una serie de actuaciones para poder verificar si son ciertas. Inmediatamente se procede a la suspensión cautelar de empleo (no de sueldo) hasta la resolución de la investigación (aunque esto dependerá de muchos factores, como por ejemplo el convenio que regule la relación laboral).

Es importante tener en cuenta todas las posibles fuentes de información asociadas al empleado o a la irregularidad detectada. Generalmente será el ordenador corporativo asignado, pero puede extenderse a otros medios (buzón de correo electrónico corporativo, logs de navegación/correo, ordenador portátil, teléfono móvil/tablet, aplicación corporativa, etc.)

En la medida de lo posible, todo el procedimiento debe ser observado por el Notario, (y en su caso el Comité de empresa / Representante de los trabajadores) que dará fe de todo lo acontecido y recogerá en acta cualquier manifestación de las partes involucradas. De forma adicional, conservará en depósito los originales (o copia forense) de los medios digitales asegurados, para facilitar el derecho de defensa del empleado.

Es fundamental que el empleado esté informado de este acto y que se le otorgue el derecho de estar presente en todas las actuaciones, manifestando lo que considere oportuno. 

Realización de la investigación

Durante esta fase, que puede dilatarse varias semanas, se analizarán de forma interna o por parte de un experto independiente las fuentes de información digital asociadas al caso, con la finalidad de corroborar o desmentir las sospechas iniciales. Es deseable que durante el desarrollo de esta fase exista comunicación fluida entre los investigadores y los roles que conocen los detalles de la situación fraudulenta, ya que permitirá llegar a los objetivos de forma más ágil y eficaz. 

La intervención del asesor legal también es fundamental para definir claramente el alcance de la investigación y valorar los indicios que se vayan obteniendo.

Conclusión de la investigación/Informe pericial

Como resultado final de la investigación, se emitirán las conclusiones de la misma, que deberán ser valoradas por los diferentes perfiles involucrados en la investigación. En caso de contar con expertos externos, esta fase se traduce en la emisión de un informe pericial.

Resolución

En función de las conclusiones, se entregará al empleado afectado un escrito que generalmente será una carta de despido (en la que se viertan las conclusiones de la investigación junto con otras imputaciones de las que se tenga constancia) o la readmisión en caso de no existir indicios que justifiquen el despido.

Ratificación en juicio

En caso de que se inicie un procedimiento legal como respuesta al despido o porque el fraude tiene implicaciones civiles, mercantiles o incluso penales más allá del ámbito laboral, se podrá aportar como prueba el informe pericial obtenido y éste deberá ser ratificado por el perito cualificado que lo haya emitido.

Aunque esta etapa suele llegar varios meses o años después de efectuar la investigación, es tan o más importante como el resto del trabajo. Aquí es donde realmente se pone a prueba el trabajo realizado y la metodología empleada, que serán valorados por las partes y el juez que lleve el asunto.

Pues bien, hasta aquí llega el caso práctico. Si tenéis dudas, ¡dejad un comentario!

  

Seguiremos en próximas entregas...

Fraude empresarial desde el teclado

Tenemos tendencia a imaginar al delincuente informático como un hacker (sería mejor decir un hacker 'malo', ya que el término hacker no debería usarse nunca de forma peyorativa) que  desde la habitación de su apartamento se cuela en los sistemas informáticos de alguna remota empresa o infecta nuestros ordenadores enviándonos un email con algún tipo de malware (software malicioso). En efecto, este tipo de delincuente existe y obtiene cuantiosos beneficios, pero en este artículo nos gustaría llamar la atención sobre otro tipo de delitos, o cuando menos, actitudes desleales hacia personas o empresas, que se comenten a diario y que, probablemente debido al desconocimiento existente sobre las técnicas de investigación en entornos digitales, suelen quedar impunes.

Madrid, sede central de ACME Corporation, 8.45 a.m.

Presidente: ¿dígame?

Director General: Señor Presidente, tenemos que hablar, es muy urgente, ¿puedo subir a su despacho ahora?

Presidente: Pero, ¿qué ocurre?

Director General: Señor Presidente, el Director Comercial y todo su equipo al completo acaban de presentar su dimisión y se han marchado.

Ésta es una de las múltiples formas de las que puede comenzar lo que sin duda será un grave problema para ACME Corporation. Su equipo Comercial ha dejado la empresa y, en los próximos días, ACME Corporation recibirá numerosas anulaciones de los pedidos de sus clientes. Aparentemente, la razón es que ha aparecido un nuevo competidor que ofrece unos precios más competitivos. Pronto descubrirán también, que la facturación del último cuatrimestre ha sido mucho más baja de la esperada y que hay un número excesivo de gastos de viaje. Todo parece una maniobra orquestada desde hace meses por el Director Comercial para llevarse los clientes de ACME Corporation a una nueva empresa, reteniendo pedidos para que éstos pasasen a la nueva empresa y financiando los viajes comerciales de la misma desde ACME Corporation, pero, ¿cómo puede ACME Corporation probarlo?

Afortunadamente para ACME Corporation existe una disciplina de investigación denominada Análisis Forense Informático. Mediante un análisis de los dispositivos digitales del Director Comercial y su equipo, es posible llegar a encontrar la aguja en el pajar. El Directo Comercial y su equipo no eran unos aficionados y se habían encargado de eliminar toda la información incriminatoria que pudiera quedar en los respectivos ordenadores y iPhones de empresa.

A pesar de que el borrado de información había sido profuso, tras unas semanas de análisis, pudieron obtenerse una serie de indicios muy interesantes, entre los cuales estaban las solicitudes del dominio de internet de la nueva empresa fechadas siete meses atrás, pruebas de concepto de los logos de la nueva empresa, un plan de negocio, rastros de correos electrónicos entre los miembros del departamento y el director comercial con asunto “Re:Rv: Rv: bye bye ACME corp” fechados nueve atrás y una recuperación parcial de un correo electrónico de yahoo escrito por el Director comercial con el nuevo socio inversor donde quedaba clara la estrategia desleal, fechado ocho meses atrás. Adicionalmente, las ubicaciones geográficas almacenadas en el iPhone del Director Comercial no cuadraban con los supuestos clientes visitados, sino que evidenciaban contactos con potenciales inversores y proveedores de la nueva empresa.

El análisis forense es una herramienta compleja, pero muy potente, que con suficiente tiempo y recursos permite llevar a cabo la disección de un disco duro del mismo modo que el médico forense lleva a cabo el examen del cadáver. Desde un punto de vista probatorio es una prueba muy útil, ya que puede proporcionar información del pasado, como se ha visto en los ejemplos mencionados, y además es información “escrita”, como tanto gusta a los profesionales del derecho, negro sobre blanco.

Aunque no es objeto del presente artículo, es conveniente mencionar que una parte fundamental del valor probatorio de este tipo de evidencias es el correcto tratamiento de las mismas, siendo fundamental el establecimiento de una cadena de custodia y la aplicación de las técnicas de análisis adecuadas que garanticen la proporcionalidad de la prueba.

¿Existe el anonimato en la red?

Congregación de Anonymous en L.A.

 Una pregunta controvertida, sin lugar a dudas.

La respuesta no es sencilla, pero antes, definiremos el anonimato en Internet como la capacidad de realizar cualquier acción sin posibilidad de identificar al autor material de la misma. En el contexto actual esto puede ser enviar un correo electrónico, actualizar tu estado en una red social, publicar un mensaje en un foro, colgar o visualizar un video, escribir un comentario o un artículo en un blog, twittear un titular, etc. Sin embargo, también es posible utilizar la red para fines más oscuros.

Cada vez son más las empresas y organizaciones que, habiendo sufrido ya ataques directos o indirectos por parte de usuarios anónimos o viendo como sus competidores los han sufrido, dedican más recursos internos y externos a la vigilancia y protección de su imagen en Internet.
Algunos ejemplos de los ataques más recurrentes (y dolorosos para sus víctimas) son: orquestar una campaña de desprestigio contra una empresa a través de foros, verter injurias o calumnias contra trabajadores y directivos en un blog (propio o ajeno), enviar mensajes amenazantes (ciberacoso), publicar información secreta de una compañía, hackear, o mejor dicho crackear, la página Web de una organización, etc.

¿Sospechoso habitual?

Planteado así, parece obvio que no existe el anonimato. Cada acción deja su traza digital y ésta puede ser investigada. En la práctica, como siempre, todo pasa del blanco y negro a un tono gris con diferentes matices. La lucha contra el anonimato tiene, al menos, dos enemigos: uno técnico y otro legal.

Obstáculos técnicos

Desde el punto de vista digital, si bien es cierto que toda acción deja su huella (ya sea en un ordenador, en un servidor, en un ISP, etc.), hay técnicas más o menos elaboradas que permiten potencialmente que nunca se pueda conocer el autor real de una acción determinada. Las pruebas digitales, generalmente nos llevarán hasta un elemento informático, pero rara vez hasta su autor real, entendiéndolo como persona con nombres y apellidos.

Además de este problema, intrínseco al mundo digital, entre el autor y la víctima puede haber Starbucks, bibliotecas públicas, wifis de vecinos, cibercafes, proxys anonimizadores.
Si a esto le añadimos capas de complejidad adicionales como cloud, computación distribuida, virtualización, etc. la cosa todavía se complica más.

Al final, al juzgador no le interesa una respuesta gris. Los hechos se han probado o no se han probado. El autor es ésto u otro. No valen medias tintas cuando puede haber condenas de por medio (especialmente en el ámbito penal).

Protección legal

En el ámbito legal, existen diversas limitaciones que pueden complicar la tarea de la identificación. Desde el punto de vista de la víctima, se pueden investigar los hechos, pero salvo algunas excepciones, para poder determinar con plena seguridad quien está detrás de los mismos o poder mitigar los daños será precisa la intervención de la Autoridad Judicial, a través de oficios a operadores ISP, por ejemplo.

Típico anónimo

Creo que todos estaremos de acuerdo en esta medida es necesaria y fundamental en un estado de derecho. Sin embargo, esto nos lleva al siguiente problema, y es que para que intervenga la Justicia, debe establecerse que los hechos son constitutivos de delito, lo cual no siempre está claro: libertad de expresión vs. Injurias, hacking ético vs. cracking, etc. Muchas veces, los ataques perpetrados por anónimos son difíciles de tipificar o caen en una zona gris que nadie quiere delimitar.

Además, los tiempos requeridos para movilizar toda esta maquinaria legal, siguen siendo en muchos casos prohibitivos, dejando indefensa a víctima de los ataques o llegando tarde, cuando el daño ya está hecho.

Si además los operadores o proveedores de servicio son extranjeros, la situación se complica en varios órdenes de magnitud.

Resumiendo

En esencia, nos encontramos ante retos tanto tecnológicos como legales. Los que nos dedicamos a la seguridad y al forense tenemos que ponernos las pilas, tanto para estar al día de las nuevas tecnologías como para saber traducir las investigaciones electrónicas a sus destinatarios no técnicos.

Pamfleto de Anonymous

Los deberes del estamento legal y policial, los dejo a criterio del lector, pero creo que pasan por la agilización y optimización de los recursos, muchas veces insuficientes, de los que dispone.

Nuestra recomendación para aquellas empresas o particulares que sufran una situación de acoso o ataque a través de los medios digitales, consiste en poner en manos de profesionales la investigación y sobre todo, no dejarse llevar por la situación o tomar cartas en el asunto. Los contraataques, ya sea contestando a los contenidos vertidos, tratando de hacerlos desaparecer o incluso crackeando a los autores, suelen arrojar unos resultados desastrosos.

Existen varios organismos que pueden actuar como expertos para asesorar a las víctimas, entre ellos, empresas especializadas en la investigación digital y la prueba electrónica, abogados especializados en nuevas tecnologías, las brigadas tecnológicas de las Fuerzas de Seguridad del Estado, agencias estatales de seguridad y las propias Autoridades Judiciales.

Cuando existe una buena estrategia y los diversos actores están bien coordinados, los resultados suelen ser muy positivos y se consigue localizar y, en su caso, detener al autor de los hechos y forzar el cese de sus actividades.