Suplantación de identidad con certificado digital: qué prueba realmente la verificación de la firma
Publicado el 2 de septiembre de 2026
Usas tu certificado digital casi sin pensarlo: una declaración ante Hacienda, un contrato, el depósito de cuentas de una sociedad. Vive en tu ordenador o en una tarjeta, y para activarlo basta un PIN. Ese automatismo es lo que aprovecha la suplantación de identidad con certificado digital: quien consigue el dispositivo y la clave firma en tu nombre, y el documento resultante pasa cualquier comprobación técnica. Ahí está la trampa: verificar una firma electrónica confirma que el certificado estaba vigente y que el documento no se ha alterado después, pero no dice nada sobre quién tenía el dispositivo en la mano. Y como el sistema parte de que eras tú, la carga de la prueba cae de tu lado. Esa prueba se construye fuera del documento y antes del conflicto.
Qué prueba la verificación de una firma electrónica y qué deja abierto
La verificación de una firma electrónica responde a dos preguntas, y solo a dos: si el certificado que la respalda estaba vigente y no revocado en la fecha indicada, y si el contenido del documento ha cambiado desde que se firmó. El Reglamento (UE) 910/2014, conocido como eIDAS, establece en su artículo 25 que a una firma electrónica no se le pueden negar efectos jurídicos ni admisibilidad como prueba por estar en formato electrónico, y que la firma que cumple el nivel más exigente del reglamento produce los mismos efectos que una firma manuscrita. Lo que eIDAS regula son los efectos de la firma. La identidad material de quien accionó el dispositivo pertenece a otro plano, el del derecho procesal de cada Estado miembro, y ninguna comprobación criptográfica llega hasta ahí.
Validez del certificado e integridad del documento
Los dos hechos que sí quedan acreditados son técnicos y sólidos. El primero es el estado del certificado: en la fecha de la firma existía, no había caducado y el prestador no lo había revocado. El segundo es la integridad. Al firmar se calcula un hash del documento, un valor que cambia por completo si se modifica un solo carácter, y ese hash viaja cifrado dentro de la firma; si alguien retoca el archivo después, la comprobación falla. Puedes ver el mecanismo en un ejemplo de firma digital paso a paso, teniendo en cuenta que el sello electrónico y la firma digital no acreditan lo mismo.
El punto ciego: quién tenía el dispositivo al firmar
Ninguna de esas comprobaciones registra quién estaba delante del teclado. La firma acredita que se usó un certificado concreto, no que lo usara su titular, y el fraude vive exactamente en ese hueco. Hay un detalle que agrava el problema: no existe un registro histórico centralizado que te permita consultar en qué trámites se ha empleado tu certificado digital. Cada organismo guarda constancia solo de sus propias presentaciones, así que descubrir un uso indebido suele depender de una notificación inesperada. Comprobar la firma digital del PDF que aparece a tu nombre sirve para descartar manipulaciones posteriores, y ahí se acaba su utilidad.
Cómo se usa el certificado de otro
El certificado ajeno rara vez se roba en el sentido clásico. Llega por vías más triviales: se entrega para agilizar gestiones, se copia de un ordenador compartido, se obtiene con credenciales sustraídas mediante phishing o malware, o se solicita ante la autoridad de registro con documentación falsificada. Todas acaban en el mismo sitio, un dispositivo en manos de quien no es su titular, y a partir de ahí la falsedad documental se comete con herramientas legítimas. La usurpación de identidad deja de ser un asunto de redes sociales y empieza a producir efectos registrales, fiscales y societarios.
El administrador nombrado sin saberlo
El escenario más dañino es el societario, porque un nombramiento inscrito produce efectos frente a terceros aunque el nombrado no sepa nada. En Italia hay un caso reciente que lo muestra entero. La Guardia di Finanza de Sala Consilina, en una investigación de la Fiscalía de Lagonegro difundida el 8 de agosto de 2026, imputó a nueve personas por un acta de junta falsa que acordaba nombrar a un liquidador sin conocimiento del interesado, según informó la agencia ANSA. En el documento constaban firmas digitales atribuidas a dos personas que negaron haberlas usado, y el dato que desmontó la operación no salió del archivo: uno de los supuestos firmantes no reside en Italia desde 2016 y las firmas eran posteriores a su marcha. La finalidad atribuida era eludir unos 120.000 euros en impuestos, intereses y sanciones. Il Sole 24 Ore lo situó en una tendencia más amplia. Sigue siendo una imputación en fase de investigación, no una condena firme.
El certificado dejado en manos del asesor: delegación de hecho y deber de custodia
La delegación informal es la puerta de entrada más frecuente y la menos vigilada. Entregar el certificado a la gestoría para que presente modelos tributarios funciona sin fricción durante años, hasta que alguien discute una presentación y nadie sabe decir quién la hizo. El anexo II de eIDAS exige que los datos de creación de firma queden bajo el control exclusivo del firmante, así que quien los cede carga después con la dificultad de demostrar que no fue él. El asesor tampoco sale bien parado: no puede acreditar qué versión recibió ni cuándo. Con TrueScreen, el profesional que deposita actos en nombre de terceros documenta qué versión le llegó y en qué momento.
Impugnar un documento firmado electrónicamente: qué hay que probar
Impugnar exige aportar hechos externos al documento, porque el documento siempre jugará en tu contra. El artículo 326 de la Ley 1/2000 de Enjuiciamiento Civil regula la fuerza probatoria de los documentos privados y remite, cuando se cuestiona la autenticidad de un documento electrónico, a la comprobación prevista en la normativa de servicios electrónicos de confianza, hoy la Ley 6/2020. Esa comprobación verifica que la firma cumple los requisitos técnicos y que el certificado estaba vigente, y los gastos los soporta quien impugnó si su impugnación se desestima. Para los documentos públicos electrónicos, el artículo 320 abre la vía del cotejo con el original. En los dos casos la comprobación mira al documento, nunca a la persona, así que un resultado favorable a la firma no cierra la discusión sobre quién la aplicó. En qué exige impugnar la autenticidad de un documento electrónico está el detalle procesal.
| Lo que afirmas en el proceso | Qué lo sostiene | Qué no basta |
|---|---|---|
| El documento no se ha alterado tras la firma | Verificación criptográfica del hash y sello de tiempo | Nada más: lo resuelve la propia firma |
| El certificado estaba vigente al firmar | Consulta de la lista de revocación del prestador | La captura de pantalla de un validador sin fecha |
| Yo no accioné el dispositivo | Ubicación acreditada, registros de acceso, testigos, denuncia previa | Negar la firma en el escrito de contestación |
| El texto depositado no es el que recibí | Copia del documento certificada en la fecha de recepción | El archivo guardado en tu ordenador |
| El documento llegó por un canal y en una fecha | Certificación forense del mensaje y su adjunto | El reenvío del correo meses después |
| El dispositivo estuvo en manos de un tercero | Contrato de delegación, correos de instrucciones, peritaje informático | La sospecha razonable sin soporte documental |
La presunción de atribución y dónde cae la carga de la prueba
Todo el sistema de firma electrónica se apoya en una premisa: solo el titular puede usar sus datos de creación de firma. De ahí nace la presunción práctica de que quien firmó fue el titular del certificado. El artículo 217 de la LEC reparte la carga de la prueba, y quien alega un hecho que rompe la apariencia normal de las cosas tiene que acreditarlo. En tu caso significa que eres tú quien debe demostrar que el dispositivo se usó sin tu consentimiento. Una negación genérica, por sincera que sea, no mueve nada. La prueba electrónica en el proceso civil explica cómo se combinan aquí la LEC y eIDAS.
Qué pruebas la desplazan de verdad
Las que sitúan a la persona, al dispositivo o al documento en un lugar y en un momento incompatibles con la firma. La imposibilidad material de haber firmado, acreditada con registros de viaje, de frontera o de presencia laboral, es la más contundente, y fue la que resolvió el caso italiano. Después llegan los indicios técnicos: una prueba pericial informática sobre el equipo desde el que se firmó, las direcciones IP de la presentación telemática, los registros de la sede electrónica. Y por último las copias fechadas de forma verificable que demuestren que el texto circulaba en otra versión. Con una firma electrónica avanzada según eIDAS el vínculo con el firmante es más estrecho, pero la pregunta sobre el control del dispositivo sigue abierta.
Las pruebas que hay que construir antes del conflicto
Ninguna de las pruebas que funcionan se puede fabricar cuando el pleito ya ha empezado. Se recogen antes, cuando el documento entra en tu esfera, y hacerlo entonces cuesta una fracción de lo que cuesta reconstruirlo después.
La versión de referencia del documento recibido
Una versión de referencia es una copia del documento capturada en el instante en que lo produces o lo recibes, con su hash calculado, su sello de tiempo aplicado y su cadena de custodia registrada. Su valor no está en el contenido, que puedes tener guardado en cualquier carpeta, sino en la fecha oponible: demuestra que ese texto exacto existía antes de la fecha que hoy se discute. Cuando seis meses después alguien sostiene que el acuerdo decía otra cosa, es lo único que permite comparar. La cadena de custodia de la prueba electrónica sostiene esa trazabilidad hasta la aportación en juicio.
La comunicación que lo transmitió
El documento importa, y el canal por el que llegó importa casi igual. Muchas suplantaciones se apoyan en que nadie conserva prueba del envío, y meses más tarde nadie puede determinar quién mandó qué y a quién. El burofax con certificación de contenido cumple esa función en el papel. Su equivalente digital consiste en certificar el mensaje y su adjunto al recibirlos, con remitente, fecha y contenido íntegro fijados a la vez. Las organizaciones utilizan TrueScreen para capturar de forma forense el documento y la comunicación que lo transmitió, para que exista una versión de referencia oponible e independiente del dispositivo de firma.
Qué se puede certificar cuando la firma no basta
TrueScreen es la Data Authenticity Platform que certifica en origen el contenido y el contexto de un documento cuando se produce o se recibe, y genera una versión fechada e íntegra que sigue siendo válida cuando la autoría de la firma se discute. La captura sigue una metodología forense: se calcula el hash del archivo, se aplican sello de tiempo y sello electrónico emitidos por prestadores cualificados de servicios de confianza integrados mediante API, y se conserva la cadena de custodia. TrueScreen no emite certificados, no actúa como autoridad de certificación y no verifica la identidad de quien firma. Su terreno es el del contenido y el contexto, que es el que la verificación de la firma deja fuera.
Una asesora recibe por correo el borrador de un acta de junta que nombra a un nuevo liquidador y certifica el mensaje y su adjunto nada más recibirlos. Seis meses después, la persona nombrada niega haber firmado. La copia certificada por la asesora es el único ejemplar con fecha oponible anterior al depósito.
FAQ: suplantación de identidad con certificado digital
¿Qué pasa si otra persona tiene mi certificado digital?
¿Qué puede hacer una persona con mi certificado digital?
¿Cómo saber si han utilizado mi firma electrónica?
¿Qué pasa si se falsifica una firma en un documento?
¿Cuándo se considera falsedad documental?
¿Cómo se revoca un certificado digital ante un uso indebido?
¿Cuál es la diferencia entre suplantación y usurpación de identidad?
Certifica los documentos que importan, antes de que alguien los impugne
Con TrueScreen capturas y certificas documentos y comunicaciones con valor legal en el momento en que los recibes, con huella criptográfica, sello de tiempo y cadena de custodia.
