Perito informático en causas de narcotráfico

Un atestado por tráfico de drogas de cierta envergadura suele apoyarse en varias fuentes digitales a la vez. Cada una tiene sus propios puntos débiles técnicos:

• Mensajería de plataformas cifradas obtenida por autoridades extranjeras y remitida a España por cooperación internacional.
• Intervenciones de comunicaciones telefónicas y telemáticas (artículos 588 ter y siguientes de la LECrim).
• Volcados de teléfonos y ordenadores intervenidos en registros (registro de dispositivos de almacenamiento masivo, artículos 588 sexies).
• Balizas y datos de localización de vehículos, embarcaciones y terminales (artículo 588 quinquies b).
• Criptoactivos cuando la acusación incluye blanqueo de capitales.

El trabajo pericial consiste en comprobar, fuente por fuente, si el material es íntegro, si está completo y si permite afirmar lo que el atestado afirma.

EncroChat

Servicio de teléfonos cifrados con servidores en Francia. En 2020 las autoridades francesas, en un equipo conjunto de investigación con los Países Bajos, desplegaron una herramienta que permitió capturar los mensajes de los terminales. Los datos se repartieron después a otros países, entre ellos España.

Sky ECC

Plataforma de mensajería cifrada intervenida en una operación coordinada por Bélgica, los Países Bajos y Francia con apoyo de Europol y Eurojust. La actuación pública se produjo en marzo de 2021, tras semanas de captura de comunicaciones. En España ha sustentado numerosas causas, muchas vinculadas a la entrada de cocaína por los puertos.

ANOM

A diferencia de las anteriores, ANOM fue una plataforma controlada desde el principio por el FBI, que distribuyó los terminales entre organizaciones criminales y recibía copia de los mensajes. La operación (Trojan Shield / Greenlight) se hizo pública en junio de 2021 con más de 800 detenidos en 16 países. España figuraba entre los países con más terminales activos.

Cómo se incorporan a la causa

Los datos llegan normalmente mediante una orden europea de investigación o por otros cauces de cooperación, y a menudo como extractos ya procesados: hojas de cálculo, informes o ficheros exportados, no los datos tal como se capturaron. Esa distancia entre la captura original y lo que recibe la defensa es el núcleo del análisis técnico.

La valoración jurídica corresponde al abogado, pero conviene conocer el marco en el que se va a discutir la prueba técnica:

• Tribunal de Justicia de la Unión Europea, sentencia de 30 de abril de 2024 (asunto C-670/22, EncroChat). Resolvió una cuestión prejudicial de un tribunal de Berlín sobre las condiciones para emitir una orden europea de investigación que pide pruebas ya obtenidas por otro Estado, y sobre el uso de esas pruebas.
• Tribunal Supremo, sentencia 854/2025, de 16 de octubre. Avaló el uso en España de las comunicaciones de EncroChat y confirmó condenas dictadas por la Audiencia Nacional. Según las crónicas publicadas, el Supremo situó el control de legalidad de la interceptación en el Estado que la practicó y recordó que el valor probatorio de los mensajes depende de cada caso.
• Sky ECC en Valencia. La Sección 3ª de la Audiencia Provincial de Valencia absolvió en enero de 2026 a catorce acusados de introducir cocaína por el puerto al no considerar suficiente la prueba de Sky ECC; el Tribunal Superior de Justicia de la Comunitat Valenciana anuló después esa absolución.

La tendencia es clara: los tribunales no anulan en bloque estas pruebas, pero sí examinan su fiabilidad en cada procedimiento. Ahí es donde un análisis técnico riguroso marca la diferencia: integridad, atribución, marcas de tiempo y completitud son cuestiones de hecho que se demuestran con pericia, no con argumentos.

• Procedencia y formato. Qué se ha entregado exactamente: datos tal como se capturaron o una transformación posterior. No es lo mismo un fichero de tráfico de red que una exportación estructurada o una hoja de cálculo elaborada por un analista.
• Integridad. Si existen hashes u otro mecanismo que permita comprobar que el material no ha cambiado desde su obtención, y si los que constan coinciden con los ficheros entregados.
• Atribución. Qué datos técnicos vinculan un alias o un identificador de terminal con una persona concreta, y si ese vínculo es técnico o solo una inferencia del atestado: coincidencias de nombres, contenido de los mensajes, fotografías o posiciones.
• Marcas de tiempo. En qué zona horaria están, si se ha aplicado alguna conversión y si son coherentes con el resto de la prueba.
• Ubicaciones. De dónde proceden los posicionamientos que aparecen junto a los mensajes y qué precisión real tienen.
• Completitud. Si la defensa dispone de todas las conversaciones del terminal atribuido o solo de una selección hecha por la investigación.

El resultado es un informe con hechos verificables que el letrado puede usar en su estrategia: qué pedir al juzgado, qué impugnar y qué preguntar al perito de la acusación en el juicio.

Escuchas e intervenciones de comunicaciones

Reviso si las grabaciones entregadas están completas, si coinciden con lo que describen los oficios de remisión, si los soportes conservan su integridad y si la trazabilidad desde la obtención es verificable. Trabajo con los criterios de la ISO/IEC 27037, las normas UNE 71506 y UNE 197010 y las Circulares 1/2019, 2/2019 y 5/2019 de la Fiscalía General del Estado sobre diligencias de investigación tecnológica.

Balizas y geolocalización

La pregunta técnica es siempre la misma: qué precisión tiene cada dato y si permite afirmar que un vehículo estuvo en un punto concreto, que dos terminales coincidieron o que una embarcación siguió determinada ruta.

Volcados de teléfonos

Nuevas extracciones y revisión de volcados con Cellebrite Inseyets, Cellebrite Physical Analyzer y MAGNET AXIOM. Un segundo análisis recupera con frecuencia información que el primero no obtuvo. Más detalle en análisis forense de dispositivos móviles.

Criptoactivos

Rastreo de transacciones con Chainalysis y BlockScout para contrastar las conclusiones de la acusación sobre el origen, el destino y la titularidad de los fondos.

He intervenido en causas por delitos contra la salud pública y organización criminal como la Operación Spider, en el Puerto de Valencia, y he ratificado informes ante la Sala de lo Penal de la Audiencia Nacional, como en el caso Hafesa, donde se cuestionó la trazabilidad de grabaciones y volcados.

Cuando la causa tiene varios investigados y muchos dispositivos, el trabajo se amplía al análisis de vínculos y roles que describo en perito informático en causas por organización criminal. Si se instruye en Madrid, consulte perito informático en la Audiencia Nacional.

El estudio del material se hace desde mis despachos de Murcia y Alicante, y me desplazo a juzgados, audiencias y despachos de abogados cuando la causa lo requiere. Las zonas con más causas de este tipo son:

• Galicia: Rías Baixas, Arousa y A Coruña.
• Marbella y la Costa del Sol, con atención con cita previa en Marbella.
• Puertos de Valencia y Algeciras, y el Campo de Gibraltar.
• Madrid, ante la Audiencia Nacional, donde se juzgan las causas de mayor dimensión.

1. Primera valoración. Con el atestado o los folios donde se describe la prueba digital identifico qué material existe, qué se ha entregado a la defensa y dónde están los puntos técnicos discutibles.
2. Petición de material. Le indico qué solicitar al juzgado para que el análisis sea posible: copias forenses, ficheros originales, hashes, oficios de remisión o nuevas extracciones en presencia del perito de parte.
3. Análisis. En causas grandes propongo empezar por una muestra para priorizar, de acuerdo con el abogado, dónde profundizar.
4. Informe pericial. Técnico, sin valoraciones jurídicas, con la metodología documentada para que pueda reproducirse.
5. Ratificación. Defiendo el informe en juicio y preparo con el letrado las preguntas al perito de la acusación.

Si la acusación ya cuenta con un informe pericial sobre esta prueba, el encargo es una contrapericial informática.

¿Puede revisar prueba de EncroChat o Sky ECC si solo tenemos el atestado?

Sí. El primer paso es identificar en el atestado qué material existe y cuál se ha entregado a la defensa; a partir de ahí se decide qué solicitar al juzgado.

¿Son nulos los mensajes de EncroChat o Sky ECC?

No hay una respuesta general: el Tribunal Supremo ha admitido su uso, pero su valor como prueba depende de cada caso. Mi trabajo es aportar los hechos técnicos —integridad, atribución, completitud— sobre los que el abogado construye su argumentación.

¿En qué fase conviene incorporar al perito?

Cuanto antes. En instrucción todavía es posible pedir copias forenses, nuevas extracciones o la entrega de material que no se ha facilitado a la defensa.

El teléfono de mi cliente está depositado en el juzgado. ¿Qué se puede hacer?

Solicitar una copia forense del volcado ya practicado o una nueva extracción en presencia del perito de parte. Le indicaré qué pedir técnicamente para que la diligencia sea útil.

¿Puede analizar solo una parte de la prueba, por ejemplo las balizas?

Sí. El encargo puede limitarse a la parte de la prueba que interese a la defensa.

Escríbame exponiendo brevemente el procedimiento —órgano, fase y si hay fecha de juicio— y el tipo de prueba digital: mensajería cifrada, escuchas, balizas, volcados o criptoactivos. Le responderé con una primera valoración técnica.

Correo electrónico: gustavo@peritodigital.es
WhatsApp y teléfono: 868 186 360

El material de cada procedimiento se trata bajo estricto secreto profesional y solo se comparte con el letrado que realiza el encargo.