Este caso sobre la manipulación de metadatos de un documento es un caso ilustrativo basado en situaciones habituales de nuestra práctica. Los datos personales, patrimoniales y geográficos son ficticios y están anonimizados. Aun así, el razonamiento técnico reproduce con fidelidad cómo abordamos estos encargos en la provincia de Sevilla.
Contexto: una herencia familiar en Écija
Tres hermanos heredaron de su padre un patrimonio relevante en Écija, con fincas rústicas, inmuebles urbanos y participaciones en una sociedad agrícola. Durante las operaciones particionales, uno de ellos presentó un documento inesperado. Se trataba de un contrato privado por el que el padre le reconocía una deuda importante años antes de fallecer.
El documento estaba impreso y llevaba una firma que parecía la del causante. Además, el hermano aportó el archivo de texto original, que según él procedía del ordenador del padre. Los otros dos herederos desconfiaban, porque nunca habían oído hablar de esa deuda.
El documento y la sospecha de manipulación de metadatos
El abogado de los dos hermanos, un despacho de Sevilla especializado en sucesiones, planteó una doble vía. Por un lado, encargó una pericial caligráfica sobre la firma. Por otro, nos pidió estudiar el archivo digital y el ordenador del fallecido, que seguía en la casa familiar.
Las propiedades del archivo mostraban una fecha de creación antigua, coherente con el relato del hermano. Sin embargo, esas fechas pueden alterarse con relativa facilidad. Por ello, el abogado necesitaba saber si existía una manipulación de metadatos que ocultara la fecha real del documento.
El encargo
El despacho quería conocer, con base técnica, cuándo se creó realmente el archivo y en qué equipo. También nos pidió comprobar si alguien había modificado las fechas del sistema o del propio documento. El informe debía cumplir los requisitos de la Ley de Enjuiciamiento Civil para aportarse en el procedimiento de división de herencia.
Conviene recordar que el Código Civil regula la partición y la colación entre herederos. Por eso, un documento de deuda como este podía alterar de forma notable el reparto. Esa trascendencia justificaba un análisis riguroso y completo.
Metodología: del disco forense al registro de eventos
Seguimos las normas ISO 27037 e ISO 27042 y documentamos cada paso en actas. El trabajo se organizó en estas fases:
- Adquisición forense del disco del ordenador del causante, con presencia de las partes y cálculo de huellas hash.
- Análisis de los metadatos internos del documento: autor, programa, versión y fechas de edición.
- Estudio de las marcas de tiempo del sistema de archivos en sus distintos registros internos.
- Revisión de los registros de eventos del sistema operativo, incluidos los cambios de hora.
- Búsqueda de versiones previas, archivos temporales y copias de seguridad del documento.
Trabajamos siempre sobre la copia forense. Así, el ordenador quedó intacto y disponible para una eventual contrapericia.
Durante la adquisición estuvieron presentes los abogados de todos los herederos. Esta decisión evitó discusiones posteriores sobre el origen de los datos. Además, cada parte recibió una copia de las huellas hash para poder verificar el trabajo en cualquier momento.
Hallazgos técnicos
El primer indicio apareció en los metadatos internos del archivo. El documento indicaba que se había creado con una versión del procesador de textos publicada después de la fecha que figuraba en el contrato. Es decir, el archivo no podía existir en la fecha que alegaba el hermano.
Además, el sistema de archivos guarda las fechas en varios registros distintos. En este equipo, algunos registros mostraban la fecha antigua, pero otros reflejaban una fecha muy posterior, pocas semanas antes del fallecimiento. Esa discrepancia es típica cuando alguien modifica las fechas con una herramienta específica.
Por último, los registros de eventos revelaban un cambio manual de la hora del sistema en esas mismas semanas. Poco después, la hora volvía a su valor correcto. En consecuencia, el informe concluyó que existían indicios técnicos sólidos de manipulación de metadatos. Con prudencia, el dictamen no atribuyó la autoría a ninguna persona, porque esa valoración corresponde al tribunal.
Resultado procesal
El hermano aportó un informe de contrario que se limitaba a las propiedades visibles del archivo. En la vista, el perito ratificó su dictamen y explicó con ejemplos sencillos la diferencia entre unos registros y otros. Asimismo, mostró la fecha de publicación de la versión del programa como dato objetivo y verificable.
El tribunal valoró la coherencia entre la prueba informática y la pericial caligráfica, que también planteaba dudas sobre la firma. Por tanto, el documento perdió credibilidad como prueba de la supuesta deuda. La partición pudo continuar sobre bases más equilibradas para los tres herederos.
Lecciones sobre la manipulación de metadatos
- Desconfíe de las fechas que muestran las propiedades de un archivo: pueden alterarse.
- Conserve el equipo de origen, porque guarda rastros que el archivo aislado no contiene.
- Combine la prueba informática con otras periciales cuando exista un documento firmado.
- Asegure la cadena de custodia desde el primer momento, especialmente en herencias con varios interesados.
Para reforzar este último punto, consulte nuestra guía sobre la cadena de custodia digital. También puede leer el caso de fuga de datos empresarial, donde la reconstrucción de fechas resultó igualmente decisiva.
¿Sospecha una manipulación de metadatos en un documento?
Si un documento digital aparece en el momento oportuno y con fechas demasiado convenientes, conviene analizarlo. Nuestro servicio de perito informático en Sevilla trabaja con despachos y familias de toda la provincia. Llame al 900 649 252 o escríbanos desde la página de contacto. Le daremos una valoración inicial y un presupuesto cerrado sin compromiso.
¿Necesita un perito en Sevilla para su caso?
Atendemos a abogados, despachos y particulares en Sevilla capital y toda la provincia. Estudiamos su asunto sin coste y le enviamos un presupuesto cerrado en menos de 24 horas laborables.
