Cuando se produce una filtración de datos, el instinto inmediato de cualquier equipo de TI es contener el daño: aislar el sistema, restaurar el entorno y volver a funcionar lo antes posible. Este instinto es comprensible. Y, en muchos casos, es precisamente lo que destruye cualquier posibilidad de exigir responsabilidades legales posteriormente. La investigación de una filtración de datos sigue una lógica diferente de la respuesta convencional ante incidentes. Exige que determinadas evidencias se preserven antes de cualquier intervención técnica y que esta preservación siga protocolos específicos para que el material recopilado tenga valor ante los tribunales. En este artículo entenderás por qué los primeros movimientos después de un incidente determinan lo que será posible demostrar, qué errores comprometen las evidencias de forma irreversible y qué debe ocurrir antes de que el equipo técnico toque los sistemas afectados. Buena lectura.
El problema comienza antes del peritaje
La mayoría de las empresas que sufren una filtración de datos nunca han pensado en lo que necesitarán demostrar después.
Demostrar que hubo un acceso no autorizado. Demostrar quién fue el responsable. Demostrar que la empresa adoptó las medidas de seguridad exigidas por la LGPD antes del incidente. Demostrar que el daño fue causado por un tercero y no por una negligencia interna.
Cada una de estas pruebas depende de evidencias digitales recopiladas en el momento adecuado y de la forma adecuada. Y el margen de tiempo para hacerlo correctamente es pequeño, a veces de minutos.
Qué es una evidencia digital y por qué es frágil
Una evidencia digital es cualquier dato almacenado o transmitido en formato electrónico que pueda utilizarse para establecer hechos en un proceso judicial o administrativo. Registros de acceso, registros de autenticación, metadatos de archivos, tráfico de red capturado, historial de comandos ejecutados.
El problema es que este tipo de material puede alterarse o desaparecer con facilidad. Un sistema reiniciado sobrescribe registros de memoria volátil que ya no existirán cuando alguien decida buscarlos. Un disco formateado para restaurar el entorno elimina rastros que identificarían el vector de entrada del incidente. Una actualización del sistema aplicada con prisas puede modificar marcas de tiempo que eran la única forma de establecer la línea temporal del ataque.
Ninguno de estos movimientos se realiza con la intención de destruir pruebas. Se realizan para resolver el problema. Desde el punto de vista jurídico, el resultado es el mismo.
Los errores más comunes que invalidan la investigación
Existe un patrón recurrente en los casos que llegan a una investigación forense después de un incidente de seguridad: la evidencia que resolvería el caso fue alterada o destruida durante las primeras horas por personas que estaban intentando ayudar.
Reiniciar o apagar los sistemas afectados sin una captura previa
La memoria RAM de un sistema en funcionamiento contiene información que no existe en ningún otro lugar: procesos activos en el momento del incidente, conexiones de red establecidas, credenciales en uso y fragmentos de código malicioso que todavía no se han grabado en el disco.
Cuando el sistema se reinicia o se apaga antes de realizar una captura forense, todo este material desaparece de forma permanente. Es uno de los errores más frecuentes y uno de los más difíciles de solucionar posteriormente.
Acceder a los sistemas con herramientas del propio entorno
Cuando alguien utiliza el sistema comprometido para investigar qué ha ocurrido, cada acceso modifica las marcas de tiempo de los archivos, altera los registros de uso y puede sobrescribir espacio en el disco donde había datos relevantes.
La investigación forense exige herramientas externas y procesos de copia que no alteren el original. Una copia forense realizada mediante un protocolo adecuado genera un hash criptográfico que demuestra que el material no ha sido modificado después de su recopilación. Sin este proceso, cualquier evidencia presentada puede ser cuestionada por cualquier parte interesada en poner en duda su integridad, tal como establece la ISO/IEC 27037, norma internacional que estandariza la recopilación y preservación de evidencias digitales.
Comunicar el incidente internamente antes de contener la filtración
Cuando la información sobre un incidente circula internamente sin control, existe un riesgo real de que las personas implicadas, directa o indirectamente, realicen acciones para ocultar rastros antes de que comience la investigación. Esto no tiene por qué ser intencionado, pero el efecto sobre las evidencias es el mismo.
El protocolo correcto limita la información sobre el incidente a un círculo mínimo de personas hasta que haya finalizado la recopilación forense inicial.
Restaurar el entorno desde una copia de seguridad antes del peritaje
Restaurar una copia de seguridad es la respuesta natural para reanudar las operaciones rápidamente. Desde el punto de vista forense, es una de las peores decisiones que pueden tomarse antes de recopilar las evidencias.
El entorno comprometido contiene información sobre cómo ocurrió el incidente que no estará presente en la copia de seguridad. El vector de entrada, los archivos modificados y los accesos realizados después de la intrusión: todo ello existe en el estado actual del sistema y dejará de existir en cuanto la copia de seguridad sustituya ese estado.
Qué debe ocurrir durante los primeros minutos
El orden de las acciones durante los primeros minutos de respuesta a un incidente determina lo que será posible investigar y demostrar posteriormente. Hay una secuencia que debe respetarse antes de cualquier intervención técnica en el entorno.
El primer paso es aislar los sistemas afectados de la red sin apagarlos. Esto impide que el incidente se propague y preserva el estado actual de la memoria para una captura posterior.
El segundo es activar a un equipo con capacidad forense antes de cualquier otro movimiento técnico. No al equipo interno de TI, que tiene el incentivo natural de restaurar el entorno lo antes posible, sino a profesionales formados para recopilar evidencias sin alterar aquello que deberá preservarse.
El tercero es documentar todo lo que se haya observado antes de cualquier intervención: qué sistema presentó un comportamiento anómalo, cuándo se identificó, quién lo identificó y qué acciones se habían realizado hasta ese momento.
Este registro inicial forma parte de la cadena de custodia que sustentará cualquier uso posterior de las evidencias en un proceso judicial o administrativo.
Qué debe aportar la investigación
Una investigación de una filtración de datos realizada con un protocolo forense adecuado debe ser capaz de responder a preguntas específicas mediante evidencias trazables.
Cómo se produjo el acceso no autorizado: cuál fue el vector de entrada, si se trató de una credencial comprometida, una vulnerabilidad explotada o un movimiento interno. Cuándo ocurrió: la línea temporal del incidente, desde el primer acceso hasta el momento en que fue identificado. Qué se consultó o exfiltró: qué datos fueron accedidos, copiados o transmitidos fuera del entorno. Quién estuvo implicado: si existen evidencias que apunten a responsables internos o externos.
Cada una de estas respuestas debe estar respaldada por evidencias recopiladas con una integridad verificable. Un informe pericial que no pueda explicar cómo llegó a sus conclusiones o que presente material con la cadena de custodia comprometida puede ser rechazado antes incluso de que se analice el fondo del asunto.
Por qué esto importa más allá del proceso judicial
La investigación forense de una filtración de datos no sirve únicamente para procesos judiciales. También sirve para la notificación a la ANPD, que exige una descripción del incidente en un plazo de tres días hábiles desde que se tiene conocimiento del suceso, de acuerdo con la Resolución CD/ANPD n.º 15/2024.
Sirve para demostrar diligencia técnica en procesos administrativos, donde la diferencia entre una empresa que ha investigado adecuadamente y otra que simplemente ha restaurado el entorno puede determinar la diferencia entre una advertencia y una multa basada en la facturación de la empresa.
Y sirve para que la empresa comprenda qué ocurrió realmente, porque sin una investigación forense adecuada, la causa raíz del incidente rara vez se identifica con la precisión suficiente para garantizar que no vuelva a ocurrir.
STWBrasil lleva a cabo investigaciones forenses de incidentes de seguridad con un protocolo de recopilación trazable, cadena de custodia documentada e informes periciales estructurados para su uso en procesos judiciales, administrativos y notificaciones regulatorias. Si tu empresa ha sufrido un incidente o quiere entender cómo preparar el entorno para una respuesta adecuada, habla con nuestro equipo.
