Análisis forense de correo para autoridades de persecución penal
En procedimientos por estafa, extorsión, usurpación de identidad o fuga de datos, un correo electrónico es a menudo la prueba central. Si es auténtico, desde dónde se entregó y qué ruta siguió puede demostrarse a partir de cabeceras, firmas y registros de servidores. Apoyo a fiscalías, policía y otras autoridades con análisis técnicos e informes escritos comprensibles también para personas sin formación técnica.
La consultoría se presta en alemán o en inglés.
- Análisis forense de correo
- Análisis de cabeceras
- Verificación DKIM
- Exchange y Microsoft 365
- Proceso penal
- Peritajes
Servicios
- Análisis del origenEvaluar la Received chain, las direcciones IP de entrega, los servidores de correo y las marcas de tiempo; separar con claridad los campos de cabecera fiables de los falsificables.
- Verificación de la autenticidadVerificar a posteriori las firmas DKIM, interpretar los resultados de SPF y DMARC, detectar manipulaciones del contenido o de las cabeceras.
- Análisis de registros y plataformasMessage tracking de Exchange, Message Trace y registros de auditoría de Microsoft 365, registros de pasarelas: reconstruir entregas, reenvíos y accesos.
- Cuentas comprometidasDeterminar si un buzón fue tomado y desde cuándo, y qué mensajes envió, leyó o eliminó el atacante.
- Informe y explicaciónInforme escrito con método, hallazgos y límites de las conclusiones; explicación ante investigadores y tribunal.
Método y valor probatorio
Se analizan copias de los datos asegurados, nunca los originales; los valores hash demuestran que las copias no han sido modificadas. Para el análisis de cabeceras se utilizan herramientas que trabajan en local, de modo que las pruebas no salen del entorno controlado. Cada paso se documenta de forma que otro especialista pueda repetirlo. El informe separa hallazgos, interpretación y cuestiones abiertas; lo que los datos no permiten demostrar se señala como tal. Son posibles encargos como perito según los art. 182 y ss. del Código Procesal Penal suizo (StPO), así como el apoyo técnico a investigaciones en curso.
Cómo se desarrolla un encargo
- Encargo y preguntasLa autoridad formula las preguntas; se fijan el alcance, los plazos y la forma de entrega de los datos.
- Recepción de los datosCopias con valores hash, entrega documentada y custodia segura.
- AnálisisEvaluar cabeceras, firmas y registros, respaldar los hallazgos con los datos en bruto.
- InformeRespuestas a las preguntas planteadas, método y límites de las conclusiones, explicación oral si es necesario.
Ejemplos de la práctica
- Analizador de cabeceras: analiza las cabeceras de correo localmente en el navegador, sin subirlas.
- MailHeaderAnalyzer para PowerShell: análisis de cabeceras sin acceso a la red, adecuado para entornos de análisis aislados.
- compauth en Microsoft 365: cómo valora Microsoft la autenticidad de un remitente, con todos los códigos de motivo.
- AuthMechanism 10 y AuthAs Internal: cómo clasifica Exchange la entrega en la cabecera.
- ¿Interno o externo?: clasificar los correos de Exchange híbrido a partir de la cabecera.
