Un empleado comunica su baja voluntaria para incorporarse a otra empresa. Durante sus últimos días de trabajo, accede a numerosos documentos corporativos, descarga información comercial, copia archivos a un dispositivo USB o sincroniza documentación con una cuenta personal. ¿Puede la empresa demostrar qué información descargó el trabajador, cuándo lo hizo y si llegó a transferirla fuera de la organización?

La informática forense permite investigar estas situaciones mediante el análisis de registros de actividad, equipos informáticos, servicios en la nube y otras evidencias digitales. En TecnoPeritaciones realizamos investigaciones periciales destinadas a reconstruir la actividad digital de trabajadores y exempleados y documentar los resultados para su eventual aportación a procedimientos judiciales.

Es esencial diferenciar entre acceder a un archivo, descargarlo, copiarlo, enviarlo a un tercero y utilizarlo posteriormente. Cada hecho exige evidencias específicas.

1. ¿Qué información puede llevarse un empleado antes de marcharse?

La información corporativa constituye uno de los principales activos de una organización. Entre los contenidos cuya extracción puede generar controversias destacan las bases de datos de clientes, tarifas, márgenes comerciales, contratos, ofertas económicas, proyectos, desarrollos de software, documentación técnica, estrategias comerciales e información financiera.

La extracción puede producirse mediante descargas desde SharePoint o OneDrive, copias a memorias USB, exportaciones desde un CRM, correos electrónicos o transferencias hacia servicios personales de almacenamiento. No toda descarga es irregular: deben valorarse las funciones del empleado, sus permisos, las políticas internas y el contexto.

2. ¿Puede una empresa saber qué documentos descargó un trabajador?

Sí, numerosos sistemas corporativos conservan registros que permiten reconstruir parte de la actividad de los usuarios. Su disponibilidad depende de la configuración de auditoría, las licencias, los sistemas y los períodos de conservación.

Microsoft Purview: análisis de descargas corporativas

En entornos Microsoft 365, Microsoft Purview Audit puede aportar información sobre determinadas operaciones en SharePoint y OneDrive, como accesos, descargas, sincronizaciones, modificaciones y comparticiones.

El análisis puede identificar usuarios, marcas temporales, rutas y nombres de archivos, así como otros campos disponibles. Si se registran cientos de descargas durante los últimos días de actividad de un empleado, puede elaborarse una cronología de las operaciones. Sin embargo, una descarga no demuestra por sí misma la entrega de la información a una empresa competidora.

3. Copia de archivos a dispositivos USB y discos externos

La utilización de memorias USB y discos externos constituye otra posible vía de extracción. En equipos Windows pueden analizarse artefactos relacionados con dispositivos conectados, accesos recientes y operaciones de archivos, incluidos el Registro de Windows, Jump Lists, accesos directos, eventos y datos del sistema de archivos.

Es necesario distinguir entre acreditar que una memoria USB se conectó al equipo y demostrar que un archivo concreto fue copiado a ella. La segunda afirmación requiere evidencias adicionales y una correlación técnica suficientemente sólida.

4. Envío de archivos al correo personal o a una nube externa

La investigación puede abarcar mensajes enviados desde el correo corporativo, adjuntos, registros de transporte, historial del navegador, alertas DLP y registros de acceso a servicios externos. También pueden revisarse exportaciones de aplicaciones empresariales cuando sus mecanismos de auditoría lo permiten.

Un registro de navegación hacia una plataforma de almacenamiento no acredita necesariamente que se haya subido un documento. Debe analizarse qué operación está registrada y cuáles son las limitaciones de esa fuente.

5. Reconstrucción de la actividad antes de la salida

Una tarea esencial es elaborar una línea temporal de actividad y comparar las operaciones de los últimos días o semanas con períodos anteriores. Pueden resultar relevantes los incrementos de descargas, accesos a carpetas ajenas a las funciones habituales, exportaciones masivas, dispositivos externos o comparticiones inusuales.

Estas circunstancias no deben interpretarse aisladamente: una migración documental o la entrega de proyectos también pueden producir actividad elevada. El objetivo de la pericial es reconstruir objetivamente los hechos, no presumir una irregularidad por la proximidad a la baja.

6. ¿Qué sucede si el empleado elimina documentos o borra el historial?

La eliminación de archivos o historiales no supone necesariamente la desaparición de todas las evidencias. Según el sistema, pueden persistir registros corporativos, copias de seguridad, datos de auditoría, artefactos del sistema operativo o información residual.

En Windows pueden examinarse, cuando existan y sean pertinentes, la MFT, el USN Journal, accesos directos, Jump Lists y eventos. La recuperación dependerá del tiempo transcurrido, la reutilización del equipo, el cifrado y las políticas de conservación. Por ello conviene preservar los equipos y registros cuanto antes.

7. ¿Cómo se elabora un informe pericial?

La investigación debe describir sus fuentes, alcance, metodología y limitaciones. Habitualmente incluye identificación de sistemas, adquisición controlada de evidencias, cálculo de valores HASH, análisis de registros, correlación de operaciones, cronología y conclusiones.

Los valores HASH permiten verificar la integridad de los ficheros respecto de una referencia, pero no acreditan por sí solos la autoría ni el origen. Las conclusiones deben distinguir entre hechos demostrados, indicios y cuestiones que no pueden determinarse.

8. ¿Puede utilizarse como prueba judicial?

Estas investigaciones pueden resultar relevantes en procedimientos laborales y mercantiles, particularmente en controversias sobre documentación confidencial o secretos empresariales. La Ley 1/2019 de Secretos Empresariales establece requisitos específicos para la protección de información secreta, incluidos su valor empresarial y las medidas razonables adoptadas para mantener su confidencialidad.

Asimismo, el artículo 87 de la Ley Orgánica 3/2018 reconoce derechos de intimidad en el uso de dispositivos digitales facilitados por el empleador y regula las condiciones de acceso empresarial. La investigación debe respetar las garantías legales, las políticas corporativas y los criterios de necesidad y proporcionalidad.

9. ¿Qué debe hacer una empresa ante una sospecha?

• Conservar los registros de auditoría y verificar sus plazos de retención.
• Evitar formatear o reutilizar inmediatamente los equipos afectados.
• Identificar la documentación potencialmente comprometida y los permisos del usuario.
• Preservar las evidencias mediante un procedimiento documentado.
• Coordinar con asesoría jurídica el alcance y las garantías de la investigación.
• Solicitar un análisis pericial antes de extraer conclusiones sobre posibles transferencias a terceros.

10. TecnoPeritaciones: investigación forense de empleados y exempleados

La salida de un trabajador hacia otra empresa puede generar dudas sobre el destino de documentación comercial, técnica o estratégica. La informática forense permite examinar los registros corporativos, reconstruir operaciones digitales y documentar las evidencias existentes sobre accesos, descargas, copias o transferencias.

En TecnoPeritaciones realizamos análisis forenses e informes periciales informáticos para empresas y despachos de abogados, prestando especial atención a la preservación, integridad y trazabilidad de las evidencias.

¿Sospecha que un trabajador ha descargado documentación confidencial antes de abandonar su empresa? Podemos estudiar la viabilidad técnica de la investigación y elaborar un informe pericial sobre los hechos acreditados.