Ricardo Gameroff.
¿A quién no le han hecho esta pregunta en algún momento de desesperación tecnológica al perder los archivos de su computador o las fotos de una vida guardadas en un disco duro externo? Consideremos los diferentes hechos de pérdida de información que han marcado la agenda nacional en las últimas semanas, y apliquemos esta ocurrencia poco feliz a otros casos de investigación; cuando la información vital para una averiguación criminal deja de existir porque el computador fue formateado, se perdió el acceso a los datos en un disco duro externo, o alguien borró accidentalmente o hizo desaparecer archivos, mensajes, o e-mails.
En los últimos 10 a 15 años, el crecimiento exponencial de datos electrónicos generados en el día a día del negocio significó que las empresas gestionen hoy una cantidad descomunal de información de negocio y comunicaciones. Actualmente, la necesidad de estar informado y poder acceder a los datos requiere de una seria inversión en tecnología y sistemas de gestión y almacenamiento de información. Si los datos se almacenan sin sistemas de gestión de backup es probable que en algún momento el soporte tecnológico deje de funcionar y el acceso a estos se pierda. En otras ocasiones, son los usuarios mismos quienes accidentalmente, o no, borran información importante.
¿Cómo puede una empresa reaccionar a estas pérdidas?
A la luz de eventos publicados en la prensa en el último tiempo, hay que hacer la pregunta: ¿Qué pasa cuando un computador es formateado como parte de la política de reciclaje de dispositivos para que pase de un ex-empleado a un nuevo empleado? ¿Y si alguien a propósito “limpia” su PC antes de irse de la empresa? Consideremos que no existe un sistema de backup constante de la información que circula entre computadores de empleados en las redes de la empresa. Esto puede suponer un problema en el caso de una investigación a posteriori en la que se necesite acceder a ciertos datos.
Habiendo situaciones más complejas que otras, es posible recuperar información borrada de un computador. Con la aplicación de herramientas de adquisición forense de dispositivos informáticos y el posterior análisis, se puede encontrar desde la totalidad de los datos que han sido eliminados hasta simplemente rastros de archivos que habían estado presentes en el dispositivo.
La recuperación dependerá no solo de la sofisticación de las herramientas usadas, sino también del método utilizado para destruir la información. En nuestra experiencia, lo primero que se debe hacer en una investigación es preservar la información, protegiéndola de intentos de destrucción de evidencia. A la información original preservada se pueden aplicar herramientas de análisis de conceptos enfocados al fraude o al crimen que se busca investigar. Como este tipo de análisis nos permite filtrar inteligentemente la información de su totalidad a la que es prioritaria más relevante, consecuentemente se ahorra mucho tiempo y dinero a los equipos de trabajo: a nosotros como investigadores, a los abogados y paralegales con los que trabajamos directamente, y finalmente al cliente.
En definitiva, no hay que concluir que un problema de acceso a información borrada significa necesariamente una pérdida para siempre de esta.
