Con una memoria USB, la evidencia se compromete casi siempre en el primer contacto, no durante el análisis técnico posterior.
Cuando una investigación interna en una empresa involucra una memoria USB —ya sea porque se sospecha de una fuga de información, de un uso indebido de recursos o de la eliminación deliberada de archivos—, la reacción más común es conectar el dispositivo a una computadora y revisar su contenido directamente. Es también, casi siempre, el primer error: esa simple acción puede alterar fechas de acceso, generar archivos temporales y, en algunos casos, comprometer la validez de la información como evidencia.
Una memoria USB no se analiza igual que un disco duro de escritorio, y tratarla con el mismo procedimiento informal que se usaría para recuperar unas fotos borradas puede costarle a una empresa la posibilidad de usar esa información en una auditoría interna o, si el caso escala, en un procedimiento legal.
Por qué una USB requiere un protocolo distinto al de un disco duro
Una memoria USB es, en términos de hardware, un dispositivo mucho más simple que un disco duro: no tiene partes móviles ni una controladora tan compleja, lo que la hace menos propensa a fallas mecánicas. Pero esa misma simplicidad es la que genera el riesgo en un contexto de investigación: es fácil de conectar, revisar y modificar sin dejar un rastro evidente para quien no sabe qué buscar. Cuando el objetivo no es solo recuperar archivos, sino preservar evidencia que pueda sostenerse ante una revisión posterior, cada conexión, cada apertura de carpeta y cada copia de archivos debe hacerse siguiendo un procedimiento que documente y no altere el contenido original.
Cadena de custodia: qué es y por qué invalida evidencia si se rompe
La cadena de custodia es el sistema de control y registro que se aplica a una evidencia desde el momento en que se localiza hasta que concluye su análisis, documentando su identidad, su estado original, las condiciones en que fue recolectada, preservada y trasladada, y quiénes tuvieron contacto con ella en cada etapa. En el entorno digital, esto significa que no basta con entregar una memoria USB con archivos que parecen relevantes: es necesario poder demostrar de dónde salió, quién la manejó y que su contenido no fue alterado desde su localización.
Documentación del hallazgo
El primer paso, antes de conectar la memoria a cualquier equipo, es documentar el hallazgo: quién la encontró, dónde, en qué fecha y hora, en qué condiciones físicas se encontraba, y fotografiarla junto con cualquier detalle relevante (etiquetas, daños visibles, el equipo al que estaba conectada, si aplica). Esta documentación inicial es la base sobre la que se construye toda la cadena de custodia posterior.
Copia forense bit a bit antes de cualquier análisis
Una copia convencional de archivos —simplemente arrastrar y copiar el contenido visible— omite información eliminada, espacio no asignado y metadatos que pueden ser relevantes para la investigación. El procedimiento correcto es crear una imagen forense bit a bit: una réplica exacta del contenido de la memoria, incluyendo archivos eliminados que aún no han sido sobrescritos, que se obtiene mediante un bloqueador de escritura para garantizar que el proceso de lectura no modifique el dispositivo original. Todo el análisis posterior se realiza sobre esta copia de trabajo, nunca sobre la memoria original.
Regla práctica: ninguna copia convencional de archivos sustituye una imagen forense bit a bit cuando el objetivo es preservar evidencia, no solo recuperar información.
Qué información puede recuperarse aunque el usuario haya borrado archivos
Cuando un archivo se elimina de una memoria USB, en la mayoría de los casos no desaparece de inmediato: el sistema simplemente marca ese espacio como disponible para ser reutilizado. Mientras no se haya sobrescrito con nueva información, ese archivo puede seguir siendo recuperable mediante un análisis forense adecuado. Lo mismo aplica a archivos que fueron movidos, renombrados o borrados intencionalmente para ocultar su existencia: el análisis forense puede, en muchos casos, reconstruir un historial de qué archivos existieron en el dispositivo y cuándo fueron modificados o eliminados, información que un usuario que simplemente “vació la papelera” no puede borrar por completo.
Casos comunes en PyMEs: fuga de información, uso indebido de recursos
En el contexto de una PyME, los escenarios donde este tipo de análisis se vuelve relevante suelen repetirse: un colaborador que copió información confidencial antes de dejar la empresa, el uso de una memoria personal para extraer archivos de clientes o proyectos internos, o la sospecha de que un equipo fue usado para fines ajenos a su función mediante dispositivos externos no autorizados. En todos estos casos, la forma en que se maneja la evidencia desde el primer momento determina si esa información puede usarse después para sustentar una decisión administrativa, disciplinaria o, si el caso lo amerita, legal.
Cuándo una investigación interna debe formalizarse con un peritaje
No todos los incidentes que involucran una memoria USB requieren un análisis forense completo. Revisar si un archivo se copió por error probablemente no lo justifica. Pero cuando existe sospecha de una fuga de información sensible, cuando el resultado de la investigación podría derivar en una acción disciplinaria formal, o cuando se contempla la posibilidad de un procedimiento legal, formalizar el análisis con un peritaje —siguiendo los principios de búsqueda forense de archivos y preservación de evidencia— deja de ser una opción y se convierte en la única forma de que los hallazgos tengan verdadero peso probatorio.
La evidencia se pierde en el primer contacto, no en el análisis
Con una memoria USB, el momento más delicado de toda la investigación no es el análisis técnico en sí, sino los primeros minutos después de que se localiza el dispositivo. Antes de intervenir cualquier dispositivo que pueda ser relevante para una investigación interna, la recomendación es documentar, preservar y solicitar una evaluación técnica antes de tocar el contenido.
Solicitar evaluación forensePreguntas frecuentes
¿Qué es la cadena de custodia en informática forense?
Es el sistema de control y registro que documenta el estado, manejo y trazabilidad de una evidencia digital desde su localización hasta la conclusión del análisis, con el fin de demostrar que no fue alterada durante el proceso.
¿Se puede usar como prueba legal la información recuperada de una USB?
Puede tener valor probatorio si se siguió un procedimiento adecuado de preservación, adquisición y documentación desde el momento en que se localizó el dispositivo. Un manejo informal, sin cadena de custodia, puede debilitar seriamente su confiabilidad.
¿Formatear una memoria USB elimina la evidencia por completo?
No necesariamente. Un formateo convencional suele marcar el espacio como disponible sin sobrescribir físicamente los datos, por lo que en muchos casos la información sigue siendo recuperable mediante un análisis forense, dependiendo de si el dispositivo se ha usado después del formateo.
¿Cuándo una empresa necesita un peritaje informático forense y no solo recuperación de datos?
Cuando el resultado del análisis podría sustentar una acción disciplinaria formal o un procedimiento legal. En esos casos, la evidencia debe obtenerse y documentarse siguiendo un protocolo forense, no solo recuperarse con herramientas convencionales.
