Informática forense · Particulares

¿Cómo puedo averiguar si una foto ha sido retocada posteriormente?

Las imágenes digitales pueden modificarse mediante procesos habituales, aplicaciones de mensajería, servicios en la nube o una edición deliberada.

Solicitar información sin compromiso

Por qué esta cuestión es importante para los particulares

Los chats, las fotos, los vídeos y las capturas de pantalla pueden tener un peso considerable en los litigios de carácter privado, civil o penal. Sin embargo, su presentación visible no responde automáticamente a preguntas sobre su origen, su modificación, el momento en que se crearon o su autoría.

Enfoque técnico de investigación

Comprobamos el archivo original, los metadatos, la estructura del archivo, la codificación y, cuando procede, las inconsistencias visuales o técnicas, y comparamos las variantes existentes.

Dónde está el límite de la expresión

La falta de datos EXIF o una nueva compresión no demuestran que se trate de una falsificación intencionada.

¿Por qué LanCologne?

Las pruebas digitales suelen parecer más inequívocas para los legos de lo que son en realidad desde el punto de vista técnico. Una captura de pantalla puede parecer auténtica y, sin embargo, haber sido retocada. Por el contrario, la falta de metadatos o una recompresión pueden deberse a causas totalmente normales. Un archivo puede estar presente en un smartphone sin haber sido creado en él.

Por ello, LanCologne desglosa la pregunta, aparentemente sencilla, „¿Es auténtico?“ en subpreguntas que pueden verificarse técnicamente: ¿Existe el archivo original? ¿De qué aplicación o fuente de datos procede? ¿Son coherentes las estructuras internas y los metadatos? ¿Existen entradas correspondientes en bases de datos, copias de seguridad, la nube o artefactos del sistema? ¿Se ha exportado, convertido o editado el archivo? ¿Cuáles de estos procesos son realmente verificables?

Es especialmente importante distinguir entre autenticidad y autoría. Aunque un mensaje se haya almacenado técnicamente en una cuenta determinada, eso no prueba automáticamente qué persona física lo introdujo. Del mismo modo, el modelo de cámara que figura en los datos EXIF no demuestra, sin una comprobación más exhaustiva, qué dispositivo físico concreto generó un archivo.

Preferimos los datos primarios a las meras representaciones. Las noticias originales, las bases de datos y los archivos originales suelen contener más contexto técnico que las capturas de pantalla, las impresiones o las exportaciones posteriores.

El resultado sigue sin estar claro. Documentamos por igual los hallazgos que lo confirman, los que lo contradicen y los que no permiten llegar a una conclusión, y explicamos de forma comprensible hasta dónde llega realmente una afirmación técnica.

Nuestra forma de trabajar

1Definir la cuestión probatoria concreta: contenido, origen, momento, modificación o autoría.
2Obtener el dispositivo original o el archivo original, siempre que estén disponibles legalmente.
3Crear copias de trabajo y documentar la integridad de los conjuntos de datos pertinentes.
4Distinguir claramente entre capturas de pantalla, exportaciones y datos primarios.
5Analizar la estructura de los archivos, los metadatos y los artefactos específicos de la aplicación.
6Interpretar las marcas de tiempo según su significado técnico respectivo.
7Comprobar las bases de datos correspondientes, las copias de seguridad, la nube y los registros del sistema.
8Distinguir entre la conversión normal y el procesamiento de la plataforma, por un lado, y la manipulación selectiva, por otro.
9Nunca dejes que los detectores automáticos de manipulación o de IA tomen decisiones por sí solos.
10No hay que equiparar la autenticidad, el origen, la propiedad y la autoría.
11Documentar las hipótesis alternativas y las lagunas en los datos.
12Presentar los resultados de forma comprensible y reproducible para una verificación técnica.

La autenticidad no es lo mismo que la autoría

Desde un punto de vista técnico, un mensaje puede estar almacenado de forma auténtica en una cuenta o en un dispositivo sin que de ello se deduzca con certeza, por sí solo, qué persona física lo ha redactado. Esta separación evita que un hallazgo técnico correcto se confunda con una afirmación sobre una persona que no esté demostrada.

Los datos originales son más importantes que la mera visualización en pantalla

Una captura de pantalla puede resultar muy útil, sobre todo si los contenidos desaparecen más adelante. Sin embargo, para realizar un análisis más exhaustivo, intentamos obtener además los archivos originales, los datos de las aplicaciones, las bases de datos u otras fuentes primarias. A menudo contienen información contextual que no aparece en la representación visible.

¿Por qué se aplica el principio LanCologne en el examen de las pruebas digitales?

LanCologne no considera que los contenidos digitales sean ciertos o falsos por el mero hecho de que parezcan plausibles. Analizamos las pruebas técnicas disponibles, documentamos el origen y los límites de las conclusiones, y preparamos el razonamiento de tal forma que resulte comprensible para el cliente particular y, al mismo tiempo, verifiable para el abogado, las autoridades investigadoras, el tribunal o cualquier otro perito forense informático cualificado.

Marco jurídico

En el caso de datos probatorios digitales manipulados, el artículo 269 del Código Penal alemán (StGB) puede ser aplicable en función de las circunstancias concretas del caso. Esta disposición se refiere, siempre que se cumplan sus requisitos, al almacenamiento o la modificación de datos relevantes para la prueba con intención de engañar, o bien al uso de datos almacenados o modificados de este modo. Determinar si un archivo o mensaje concreto cumple todos los elementos constitutivos del delito es una cuestión jurídica; la mera constatación técnica de la manipulación no basta para responder a ello.

En los procedimientos civiles es aplicable el artículo 371 del Código de Procedimiento Civil (ZPO). Según este, la prueba mediante inspección directa también puede aportarse mediante la presentación o el envío de documentos electrónicos. El artículo 371a del Código de Procedimiento Civil (ZPO) contiene disposiciones especiales sobre el valor probatorio de los documentos electrónicos, en particular en el caso de las firmas electrónicas cualificadas y de determinados documentos electrónicos públicos. Por lo tanto, no todos los mensajes de chat o archivos de imagen habituales tienen automáticamente el valor probatorio especial que allí se establece.

A la prueba pericial se aplican los artículos 402 y siguientes del Código de Procedimiento Civil (ZPO). Un informe pericial forense informático encargado de forma privada no constituye, por el mero hecho de su calidad técnica, un informe pericial judicial. No obstante, su metodología comprensible y la base probatoria en la que se sustenta pueden resultar importantes para los abogados y para un posterior examen técnico.

Los valores hash son una herramienta importante para garantizar la integridad, pero no constituyen una garantía de autenticidad del contenido original. Un hash acredita que un conjunto de datos concreto no ha sufrido modificaciones desde que se generó el hash o que coincide, bit a bit, con un conjunto de referencia. No permite determinar automáticamente si el contenido fue manipulado antes de la copia de seguridad.

LanCologne evalúa los datos técnicos y su valor probatorio. La valoración jurídica de las pruebas, la calificación penal y la decisión sobre qué importancia se concede a cada prueba en el proceso son competencia de los abogados, las autoridades investigadoras y los tribunales.

Preguntas frecuentes

¿Cómo puedo averiguar si una foto ha sido retocada posteriormente?
Los chats, las fotos, los vídeos y las capturas de pantalla pueden tener un peso considerable en los litigios de carácter privado, civil o penal. Sin embargo, su presentación visible no responde automáticamente a preguntas sobre su origen, su modificación, el momento en que se crearon o su autoría.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?
Comprobamos el archivo original, los metadatos, la estructura del archivo, la codificación y, cuando procede, las inconsistencias visuales o técnicas, y comparamos las variantes existentes.
¿Puede un estudio de este tipo ofrecer siempre un resultado inequívoco?
La falta de datos EXIF o una nueva compresión no demuestran que se trate de una falsificación intencionada.
¿Existe algún fundamento jurídico para ello?
En el caso de datos probatorios digitales manipulados, el artículo 269 del Código Penal alemán (StGB) puede ser aplicable, dependiendo de las circunstancias concretas del caso. Esta disposición se refiere, cuando se cumplen sus requisitos, al almacenamiento o la modificación de datos relevantes para la prueba con intención de engañar, o bien al uso de datos así almacenados o modificados. Que un archivo o mensaje concreto reúna todos los elementos constitutivos del delito es una cuestión jurídica; la mera constatación técnica de una manipulación no basta para responder a ello. Para los procedimientos ante los tribunales civiles es aplicable el artículo 371 del Código de Procedimiento Civil (ZPO). Según este artículo, la prueba por inspección directa también puede aportarse mediante la presentación o el envío de documentos electrónicos. El artículo 371a del Código de Procedimiento Civil (ZPO) contiene disposiciones especiales sobre el valor probatorio de los documentos electrónicos, en particular en el caso de las firmas electrónicas cualificadas y de determinados documentos electrónicos públicos. Por lo tanto, no todos los mensajes de chat o archivos de imagen habituales poseen automáticamente el valor probatorio especial allí regulado. Para las pruebas periciales se aplican los artículos 402 y siguientes del Código de Procedimiento Civil (ZPO). Un informe pericial informático forense encargado de forma privada no constituye un informe pericial judicial por el mero hecho de su calidad técnica. No obstante, su metodología comprensible y la base probatoria obtenida pueden resultar importantes para los abogados y para un posterior examen técnico. Los valores hash son un importante instrumento de integridad, pero no constituyen una garantía de autenticidad del contenido original. Un hash documenta que un conjunto de datos concreto se ha mantenido inalterado desde la generación del hash o que coincide, bit a bit, con un conjunto de referencia. No responde automáticamente a la pregunta de si el contenido había sido manipulado antes de la copia de seguridad. LanCologne evalúa los datos técnicos y su valor probatorio. La valoración jurídica de las pruebas, la calificación penal y la decisión sobre qué importancia se otorga a cada prueba en el procedimiento son competencia de los abogados, las autoridades investigadoras y los tribunales.

LanCologne – Informática forense para particulares

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora