Perito informático en causas por organización criminal

El artículo 570 bis del Código Penal define la organización criminal como una agrupación de más de dos personas, estable o por tiempo indefinido, que se reparte de forma concertada y coordinada diversas tareas o funciones para cometer delitos. El grupo criminal (artículo 570 ter) es la unión de más de dos personas que no reúne alguna de esas características.

Estabilidad, reparto de tareas y coordinación son conceptos jurídicos, pero en el atestado se intentan acreditar con datos técnicos: cuánto tiempo se comunican dos terminales, con qué frecuencia, quién da instrucciones a quién o quién coincide en qué lugar. La calificación corresponde al tribunal; lo que un perito puede aportar es si esos datos son correctos, completos y bien interpretados.

En estas causas es habitual intervenir decenas de teléfonos, ordenadores, memorias y equipos de comunicaciones en registros simultáneos. El volumen genera errores que pueden trasladar a una persona datos que no son suyos:

• Correspondencia entre efecto y volcado. Compruebo que cada extracción corresponde al dispositivo descrito en el acta de intervención y precinto, con su número de serie, IMEI y estado.
• Integridad de cada copia. Hashes de cada extracción y coherencia entre los que constan en los informes y los ficheros entregados.
• Calidad de la extracción. Qué tipo de volcado se hizo (lógico, sistema de ficheros completo o físico) y qué información pudo quedar fuera. Un segundo análisis con Cellebrite Inseyets, Cellebrite Physical Analyzer o MAGNET AXIOM recupera con frecuencia datos que el primero no obtuvo.
• Deduplicación y cruces. Cuando se cruzan muchos dispositivos, los mismos mensajes aparecen varias veces y los contactos se agregan de forma automática. Reviso que los cruces no cuenten dos veces la misma comunicación ni mezclen identidades.

Buena parte de las atribuciones descansan en vincular un terminal, una tarjeta SIM, un alias o una cuenta con un investigado. Técnicamente hay que distinguir:

• Identificadores del aparato y de la línea. IMEI, IMSI y número de teléfono pueden cambiar por separado: un mismo teléfono con varias SIM o una misma SIM en varios teléfonos.
• Cuentas y alias. Una cuenta de mensajería puede usarse desde varios dispositivos y un alias de una plataforma cifrada no identifica por sí solo a nadie.
• Terminales compartidos. En muchas estructuras los teléfonos operativos circulan entre personas. Los datos de uso, los patrones horarios y las ubicaciones pueden apoyar o contradecir la atribución.
• Coincidencias de localización. Que dos terminales activen la misma antena no significa que sus usuarios estuvieran juntos: depende de la cobertura y de la precisión de cada dato.

El informe separa lo que es un vínculo técnico demostrable de lo que es una inferencia del atestado.

Los informes policiales suelen incluir gráficos de vínculos que representan a los investigados como nodos y sus comunicaciones como líneas, a menudo con una persona en el centro. Son útiles para resumir, pero conviene revisar cómo se han construido:

• Qué datos alimentan el gráfico. Si incluye todas las comunicaciones o solo las seleccionadas, y con qué criterio.
• Qué significa una línea. Una llamada perdida, un mensaje o cien conversaciones pueden dibujarse igual.
• Frecuencia no es jerarquía. Quien más se comunica no es necesariamente quien dirige: puede ser un intermediario, un familiar o alguien que comparte el teléfono.
• Periodo analizado. La estabilidad que exige la organización criminal se apoya en datos temporales. Reviso si el periodo es continuo o si se presentan juntos contactos de épocas distintas.
• Contenido de los mensajes. Si los roles se deducen de conversaciones, compruebo que estén completas, que la traducción y las marcas de tiempo sean correctas y que se atribuyan al terminal adecuado.

• Volcados asignados al dispositivo equivocado tras un registro con muchos efectos.
• Marcas de tiempo en zonas horarias distintas mezcladas en una misma cronología.
• Contactos de la agenda tratados como comunicaciones reales.
• Alias de plataformas cifradas atribuidos a una persona sin un vínculo técnico que lo respalde.
• Conversaciones seleccionadas que, leídas completas, cambian de sentido.
• Hashes ausentes o que no coinciden con los ficheros entregados a la defensa.

Detectar estos errores en el informe de la acusación es el objeto de una contrapericial informática.

He intervenido en causas por delitos contra la salud pública y organización criminal como la Operación Spider, en el Puerto de Valencia, y en procedimientos ante la Audiencia Nacional con grandes volúmenes de prueba digital, como los casos Hafesa y Arbistar.

Si la causa procede de plataformas cifradas, consulte también perito informático en narcotráfico: EncroChat, Sky ECC y ANOM. Si se instruye en Madrid, perito informático en la Audiencia Nacional.

1. Mapa de la prueba. Con el atestado y los informes de la acusación identifico qué dispositivos y cruces sostienen la atribución a su cliente.
2. Petición de material. Le indico qué copias forenses, ficheros originales o nuevas extracciones solicitar.
3. Análisis centrado en su cliente. En causas con muchos investigados no hace falta revisar todo: priorizamos lo que afecta a su defendido.
4. Informe y ratificación. Informe técnico, sin valoraciones jurídicas, y defensa en juicio frente a los peritos de la acusación.

¿Puede un perito discutir que mi cliente pertenezca a la organización?

La pertenencia es una cuestión jurídica que decide el tribunal. Lo que el perito puede discutir son los datos técnicos en los que se apoya: si el terminal es suyo, si las comunicaciones existen y están completas y si los cruces están bien hechos.

Hay cuarenta teléfonos intervenidos. ¿Hay que analizarlos todos?

No necesariamente. Empiezo por los dispositivos y cruces que la acusación usa contra su cliente y amplío solo si el análisis lo requiere.

¿Qué necesita para empezar?

El atestado o los folios donde se describe la prueba digital, las actas de intervención y, si existen, los informes periciales de la acusación.

¿Trabaja también con causas de grupo criminal?

Sí. El análisis técnico es el mismo; cambia la calificación jurídica, que corresponde al abogado.

Escríbame exponiendo brevemente el procedimiento —órgano, fase, número aproximado de investigados y de dispositivos— y le responderé con una primera valoración técnica.

Correo electrónico: gustavo@peritodigital.es
WhatsApp y teléfono: 868 186 360

El material de cada procedimiento se trata bajo estricto secreto profesional y solo se comparte con el letrado que realiza el encargo.