Peritaje de suplantación de identidad y phishing

Publicado el 19 de agosto de 2026

En los casos de phishing y suplantación de identidad el problema no suele ser técnico sino temporal. Cuando la víctima se da cuenta de lo ocurrido y busca un perito, el sitio clonado ya no está en línea, el perfil falso ha sido eliminado y el correo fraudulento se ha borrado del servidor. El peritaje llega a un escenario que ya no existe.

Esa es la particularidad de este tipo de fraude frente a otros: la evidencia es efímera por diseño. Quien monta un sitio clonado lo mantiene activo el tiempo justo y lo retira. Este análisis explica qué puede acreditar un peritaje en estos casos, qué se pierde con cada hora que pasa y qué conviene capturar antes de hacer nada más.

Qué se pierde y a qué velocidad

El sitio clonado

Una página de phishing tiene una vida media corta. Se despliega, se difunde el enlace, se recogen credenciales y se desmonta, muchas veces en menos de veinticuatro horas. Una vez retirada, lo que queda son a lo sumo registros de terceros y capturas que alguien haya tomado. Los archivos web públicos rara vez indexan estas páginas, precisamente porque son efímeras y no están enlazadas desde ningún sitio.

El perfil suplantado

En la suplantación en redes sociales el perfil falso se elimina, por denuncia de la víctima o por decisión de quien lo creó. Al desaparecer se pierden las publicaciones, los mensajes enviados desde él, la lista de seguidores y las interacciones. La plataforma conserva registros internos, pero acceder a ellos exige un requerimiento judicial y plazos que no se cuentan en días.

El correo fraudulento

El correo es el elemento que mejor sobrevive, siempre que no se borre. Sus cabeceras contienen la ruta de los servidores por los que ha pasado y son la vía principal de análisis. El error frecuente es reenviarlo a un tercero para pedir consejo: el reenvío genera un mensaje nuevo, con cabeceras nuevas, y las del original se pierden.

Qué puede acreditar un peritaje sobre lo que queda

Análisis de las cabeceras del correo

Sobre un correo conservado en su forma original, un peritaje puede determinar la ruta de servidores, si los mecanismos de autenticación del remitente fueron superados o no, y si el dominio remitente guarda relación con el que aparenta. Es el análisis con mejor relación entre coste y resultado en casos de phishing y de fraude del cambio de cuenta bancaria.

Rastros en el dispositivo de la víctima

El historial de navegación, la caché y los registros del sistema pueden acreditar que se visitó una dirección concreta en un momento concreto, incluso si la página ya no existe. La calidad del hallazgo depende de cuánto se haya usado el dispositivo desde entonces, porque el espacio se sobrescribe.

Correlación con registros de terceros

Los datos de registro del dominio usado en la clonación, los certificados emitidos para él y los registros del proveedor de alojamiento pueden situar la infraestructura en el tiempo y vincularla a otras campañas. Es la parte del trabajo que mejor sostiene una denuncia, aunque rara vez identifica por sí sola al responsable.

Qué capturar antes de hacer nada más

La diferencia entre un expediente sólido y uno reconstruido a medias se decide en la primera hora, y casi siempre antes de que intervenga ningún profesional.

• El sitio clonado mientras sigue en línea. Una captura certificada de la página completa, con la URL visible y el certificado del sitio, vale más que cualquier análisis posterior sobre una página que ya no existe.
• El perfil suplantado antes de denunciarlo. La denuncia suele provocar la eliminación, y con ella la desaparición de la prueba. Conviene capturar primero y denunciar después.
• El correo en su forma original. Sin reenviarlo. Si hace falta compartirlo, se exporta el mensaje completo con sus cabeceras, no se reenvía.
• Los mensajes recibidos desde el perfil falso. Incluyendo los que aún no parecen relevantes, porque su valor aparece cuando se reconstruye la secuencia.
• El momento del descubrimiento. Dejar constancia certificada de cuándo se detectó el fraude sostiene después los plazos de reacción, que en el ámbito bancario y asegurador tienen consecuencias directas.

Por qué la captura certificada cambia el resultado

Una captura de pantalla ordinaria de un sitio clonado es un archivo de imagen sin fecha cierta ni garantía de integridad, y en un procedimiento se defiende mal. Una captura certificada en origen fija la URL, el contenido, el momento y la ubicación, con hash criptográfico y sello de tiempo cualificado eIDAS.

La diferencia es que la primera exige después un peritaje que la sostenga, con resultado incierto sobre una página desaparecida, y la segunda se sostiene sola. En un fraude cuya evidencia dura horas, esa distinción no es de matiz: decide si hay caso o no lo hay.

El marco general sobre el papel del peritaje está en la guía sobre cuándo necesitas un perito informático, y el detalle sobre la captura de sitios clonados en el artículo sobre cómo certificar la prueba de un phishing.