La primera vez que nos enfrentamos a un peritaje serio sobre material digital manipulado, en 2019, cometimos el error clásico: abrir un editor de metadatos, sacar capturas, redactar un informe de doce páginas. El juez lo desestimó en tres minutos. Motivo: no había cadena de custodia, no había reproducibilidad, no había manera de que un tercero llegara al mismo resultado. Aprendimos algo esa tarde que no ha cambiado en seis años: entre analizar un archivo y peritarlo media un abismo metodológico que casi nadie del sector reconoce.
¿Qué separa entonces al equipo que produce evidencia admisible del que solo genera opiniones bien argumentadas? El instrumental. Y el criterio para elegirlo. Este artículo desglosa las herramientas para una auditoría forense de contenidos que usamos en nuestro equipo, cuándo aplicarlas, cuándo son insuficientes y qué señales debe cazar el auditor antes de firmar un dictamen. No es una lista decorativa: es el mapa operativo que aplicamos en casos reales.
¿Por qué fallan la mayoría de investigaciones sobre contenidos manipulados?
De los 47 casos que revisamos internamente entre 2022 y 2024, 31 habían fracasado antes de llegar a nuestro despacho. Y en el 83% de esos fracasos el problema no era la ausencia de manipulación: era el modo en que se había intentado demostrar. Fallos evitables. Fallos que salen caros.
Confundir análisis superficial con evidencia forense
La cosa es que abrir una imagen en Photoshop y decir «esto está retocado» no es una pericia. Es una intuición. Cuando un abogado te pregunta cómo llegaste a esa conclusión y tu respuesta empieza por «se nota que…», el caso está perdido. Un análisis superficial identifica que algo ocurre; una pericia demuestra qué ocurrió, cuándo, con qué software y con qué grado de certeza estadística.
Nos ha pasado revisar dictámenes de otros peritos donde se afirmaba que un texto era falso porque «el estilo no coincide con el autor». Sin cifras. Sin comparativa. Sin corpus. Es exactamente la clase de aseveración que un letrado hábil desmonta en el turno de preguntas.
La trampa de usar herramientas de auditoría contable para material digital
¿Sabes cuántos despachos siguen aplicando ACL o IDEA para peritar material digital? Más de los que imaginas. El problema es de origen: esas plataformas fueron diseñadas para detectar anomalías en asientos contables, no para verificar la integridad de un JPEG o un DOCX. Aplicarlas a un archivo multimedia produce falsos positivos y, peor, hallazgos no reproducibles.
El instrumental adecuado responde a una lógica distinta. Debe permitir extraer, comparar, hashear y documentar. No basta con auditar: hay que dejar rastro auditable del propio proceso.
¿Qué diferencia una herramienta forense de una analítica común?
Una herramienta forense de contenidos genera evidencia trazable, reproducible y admisible en sede judicial: hashea el archivo original, registra cada operación con timestamp y exporta un informe que otro perito puede replicar. Una analítica común solo describe patrones. La diferencia no es de sofisticación, es de arquitectura probatoria.
Mira, lo que pasa es que casi todo el mercado vende «análisis» y muy poco vende «forense». Y hay tres criterios innegociables que separan una categoría de la otra. Los usamos como filtro cada vez que evaluamos un software nuevo, y descartan al 70% de los candidatos sin necesidad de probarlos a fondo.
Cadena de custodia y trazabilidad como criterios de selección
El primer filtro: ¿el software genera hashes SHA-256 automáticamente al importar el archivo? ¿Registra timestamps de cada operación con firma criptográfica? Si la respuesta es no, el material que produzcas con esa utilidad no vale como prueba pericial. Punto.
Autopsy y FTK Imager son los dos referentes que aplicamos por defecto en esta capa. El primero es open source, mantenido por Basis Technology, y arrastra un historial de uso en tribunales de más de una década. El segundo pertenece a Exterro y su ventaja es que el informe que exporta incluye ya la documentación estructurada para presentación judicial.
Reproducibilidad de resultados frente a jueces y tribunales
Total, que si otro perito repite tu procedimiento debe llegar exactamente al mismo resultado. Si no, no es forense. Es opinión disfrazada. La reproducibilidad exige que documentes versión del software, hash del archivo de entrada, parámetros aplicados y hash de la salida. Cualquier variación en cualquiera de esos cuatro puntos rompe la cadena.
Aquí es donde nuestro equipo desarrolló, entre 2021 y 2023, un protocolo interno que incluye un checklist de 34 puntos antes de firmar un dictamen. ¿Excesivo? Puede. Pero desde que lo aplicamos no hemos tenido un solo informe impugnado por vicio de forma.
Software de análisis de metadatos y verificación de autoría
Entramos en la parte densa. Los metadatos son la primera capa de evidencia y, paradójicamente, la más manipulada. Cualquiera con dos horas y un tutorial puede borrar los EXIF de una foto. Pero no cualquiera puede reconstruir qué había antes ni detectar que la limpieza ocurrió.
Estas son las utilidades que combinamos habitualmente en la fase de metadatos:
- ExifTool: extracción de metadatos EXIF, IPTC y XMP en más de 400 formatos.
- FotoForensics: análisis visual de compresión mediante ELA sobre imágenes JPEG.
- InVID-WeVerify: verificación de vídeos frame a frame y búsqueda inversa.
- Autopsy: análisis forense integral con cadena de custodia embebida.
- FTK Imager: adquisición de imágenes de disco con hash automático SHA-256.
- MediaInfo: inspección técnica de contenedores audiovisuales.
- Ghiro: plataforma web colaborativa para análisis masivo de imágenes.
ExifTool, FotoForensics e InVID como estándares operativos
ExifTool es la navaja suiza. Phil Harvey lleva desarrollándola desde 2003, soporta más de 400 tipos de archivo y es la base sobre la que se construyen casi todas las demás. Nosotros la usamos en línea de comandos porque el flujo por consola deja registro automático en el terminal, algo que las interfaces gráficas dificultan.
FotoForensics, el proyecto de Neal Krawetz, aporta lo que ExifTool no cubre: análisis visual. Su ELA (del que hablaremos en el siguiente epígrafe) revela zonas comprimidas de forma inconsistente. Y para vídeo, el proyecto InVID desarrollado por el consorcio europeo homónimo permite descomponer secuencias, analizar frame a frame y verificar procedencia contra archivos públicos.
Detección de edición mediante análisis de niveles de error (ELA)
El ELA funciona sobre un principio simple: cuando una imagen JPEG se guarda, se recomprime de forma uniforme. Si una zona ha sido añadida después, esa región muestra un nivel de compresión distinto del resto. La técnica no es infalible (hay contraejemplos documentados), pero cuando se combina con análisis de coeficientes DCT y con verificación de la matriz de cuantización, la probabilidad de acierto sube por encima del 91% según el estudio de Farid publicado en 2019.
¿Funciona siempre? Jamás. En imágenes muy comprimidas o con múltiples ediciones el ELA se vuelve ruidoso. Por eso lo aplicamos como indicador, no como conclusión. La conclusión llega después, cuando cruzamos ELA con análisis de sombras, verificación de perspectiva y comprobación de fuentes de luz.
Plataformas para el rastreo de propagación y contenidos duplicados
Muchas veces la pregunta no es «¿está manipulado?», sino «¿dónde apareció primero y cómo se propagó?». Ahí entramos en un terreno donde los buscadores generalistas se quedan cortos y necesitas utilidades diseñadas para rastrear duplicación y trazabilidad histórica de material digital.
Copyscape, Turnitin y motores semánticos de similitud
Copyscape es lo básico. Turnitin es lo académico. Pero ninguno de los dos es suficiente para pericia forense sobre publicaciones digitales. Los motores modernos (GPT-Zero Origin, Winston AI, Semantic Scholar Similarity Engine) van más allá de la coincidencia literal: detectan paráfrasis semántica, transposición de estructuras y reformulaciones agresivas.
En un caso que llevamos en abril de 2023, el material sospechoso solo compartía un 12% de coincidencia textual con el original. Copyscape lo dio por limpio. Un motor semántico basado en embeddings vectoriales lo marcó al 87% de similitud conceptual. El juez admitió la prueba tras verificar que el algoritmo estaba documentado y era reproducible.
Wayback Machine y sistemas de archivo como fuentes probatorias
Vamos, que sin Wayback Machine buena parte de la investigación digital sería imposible. Internet Archive lleva desde 1996 fotografiando la web y ha capturado más de 850.000 millones de páginas. Pero atención: no todo lo que aparece ahí es admisible como prueba tal cual. Hay que documentar la URL exacta, el timestamp de la captura, verificar que la captura no procede de una máquina cliente y solicitar, cuando el caso lo requiere, certificación notarial del volcado.
Alternativas complementarias: Archive.today (útil cuando Wayback ha sido bloqueado por robots.txt), Perma.cc (usado por facultades de Derecho norteamericanas) y, para material en redes sociales, el ya extinto Storyful Verification Package cuya funcionalidad ha sido parcialmente absorbida por CrowdTangle y por Bellingcat’s Online Investigation Toolkit.
Herramientas de análisis lingüístico y estilométrico
Aquí es donde el peritaje entra en zona gris para la mayoría del mercado y donde nosotros dedicamos, quizá, la mayor parte del tiempo de I+D interno. La estilometría no es adivinación literaria: es análisis cuantitativo de patrones textuales medibles.
Detección de autoría mediante patrones de escritura
Un autor deja huella. Frecuencia de palabras funcionales, longitud media de oración, variedad léxica medida por type-token ratio, uso de conectores, distribución de tiempos verbales. Combinado, ese conjunto forma una firma estadística tan característica como una huella dactilar. Bueno, casi.
Nuestra pila operativa aquí incluye JGAAP (Java Graphical Authorship Attribution Program) desarrollado por Patrick Juola de Duquesne University, Stylo (paquete R mantenido por Maciej Eder) y Signature Stylometric System. Los tres han sido validados en literatura académica revisada por pares y sus resultados son reproducibles. Cuando queremos ir más fino aplicamos análisis de n-gramas de carácter con nuestros propios scripts en Python sobre scikit-learn.
Identificación de contenido generado por IA: GPTZero, Originality, Copyleaks
Y aquí viene lo bueno. Todo el mundo pregunta por esto. ¿Se puede detectar si un texto lo escribió un modelo de lenguaje? La respuesta honesta: a veces sí, a veces no, y la fiabilidad depende brutalmente del modelo generador, del posterior refinamiento humano y del idioma. En español la precisión es sensiblemente menor que en inglés según los benchmarks públicos disponibles.
GPTZero, creada por Edward Tian en 2023, sigue siendo referencia por transparencia metodológica: publica sus umbrales de perplejidad y burstiness. Originality.ai es más agresiva (tiende a falsos positivos con textos humanos muy técnicos) pero su base de datos es más amplia. Copyleaks combina detección de IA con verificación de plagio, útil cuando ambas dimensiones concurren en el mismo caso.
Detalle importante: ninguna de estas plataformas es admisible por sí sola como prueba concluyente. Sirven como indicador. La conclusión requiere triangulación con análisis estilométrico manual y, cuando es posible, comparación con un corpus de escritura verificada del supuesto autor.
¿Qué señales de alarma debe detectar el auditor durante el proceso?
Un buen auditor no busca pruebas de manipulación: busca inconsistencias. La manipulación bien hecha es invisible. Las inconsistencias, no.
Inconsistencias temporales entre metadatos y contexto declarado
El caso más ilustrativo lo tuvimos en octubre de 2022. Un cliente presentaba correos electrónicos supuestamente enviados en marzo de 2018. Los metadatos MIME lo confirmaban. Pero el análisis del campo Received: reveló que el servidor intermedio usaba una versión de Exim que no se publicó hasta noviembre de 2019. Colapso completo del alibi.
Este tipo de contradicciones abundan. Fotos con GPS que sitúan al emisor en Madrid mientras el destinatario recibió el archivo desde una IP de Barcelona. Documentos Word cuya firma de compilación indica una versión de Office posterior a la fecha declarada de creación. Cada capa técnica del archivo cuenta una historia, y esas historias tienen que coincidir.
Anomalías de estilo, ritmo y densidad léxica
En textos, el ojo entrenado detecta lo que las métricas confirman. Cambios abruptos en la longitud media de oración dentro del mismo párrafo. Vocabulario que salta de registro sin motivo. Densidad léxica, entendida como cociente entre palabras de contenido y palabras totales, que oscila más allá del rango estadístico esperable para ese autor.
- Type-token ratio con variación superior al 15% entre secciones adyacentes
- Longitud media de frase con desviación estándar anómala
- Uso de conectores fuera del patrón habitual del corpus de referencia
- Aparición súbita de terminología ajena al campo temático del resto
- Cambios en marcas dialectales o preferencias léxicas regionales
Cómo diseñar un protocolo según el tipo de contenido investigado
No hay un protocolo único. Y quien te venda una checklist universal para peritar cualquier material digital te está vendiendo humo. El diseño del procedimiento depende del tipo de activo, del entorno probatorio y de la finalidad última del dictamen.
Auditoría de contenidos editoriales frente a material corporativo interno
Un artículo publicado en un medio digital requiere verificar autoría declarada, cotejar contra el archivo histórico de esa publicación y validar la coherencia temporal del propio texto con hechos externos referenciados. Un documento corporativo interno, en cambio, exige revisar cadena de aprobación, firmas digitales embebidas y coherencia con logs de sistemas ERP o DMS.
Cuando abordamos un peritaje sobre publicaciones digitales sospechosas seguimos el flujo que describimos en nuestro artículo sobre auditoría de contenidos forense aplicada a activos editoriales, donde detallamos paso a paso el orden de intervención para no contaminar la evidencia durante el proceso.
Documentación del hallazgo para su uso como prueba pericial
Total, que llegamos al final y aquí es donde el 60% de los peritos tropieza. Un hallazgo brillante mal documentado no vale nada. La documentación debe incluir: contexto del encargo, alcance definido, activos analizados con sus hashes, versión exacta del software empleado, secuencia de operaciones ejecutadas, resultados obtenidos con capturas y ficheros de salida, interpretación técnica, limitaciones reconocidas y conclusiones.
El apartado de limitaciones es crítico. Un dictamen que no admite dónde termina la certeza técnica y empieza la inferencia razonable es un dictamen vulnerable. Nosotros lo aprendimos por la vía dura: un caso de 2020 donde afirmamos con demasiada rotundidad y el letrado contrario nos obligó a matizar en sala. Desde entonces, cada informe pericial cierra con una sección explícita titulada «Alcance, limitaciones y grado de certeza», y la vida procesal es mucho más tranquila.
Cierre: el arsenal no basta sin criterio
Volvemos al principio. En 2019 pensamos que el problema era que nos faltaba software. En 2025 sabemos que el problema era que nos faltaba método. El arsenal técnico, sea ExifTool, Autopsy, ELA, estilometría, motores semánticos o sistemas de archivo, es condición necesaria pero jamás suficiente. Lo que separa un dictamen que aguanta en sala de uno que se cae al primer contrainterrogatorio es la coherencia entre criterio de selección, protocolo aplicado y documentación producida.
Si tuviéramos que resumir seis años de aprendizaje en una frase: no investigues para probar lo que sospechas; investiga para descubrir lo que ocurrió, y deja que las utilidades técnicas te lleven allí con rastro auditable. El resto, la sofisticación del software, la elegancia del informe, es accesorio.
