En este artículo, Krystel Zamora, Partner Ecuador, aborda cómo WhatsApp puede aportar información relevante en investigaciones de fraude, filtraciones, conflictos de interés, incumplimientos o conductas internas.
Una instrucción enviada fuera del correo corporativo. Una aprobación informal. Un documento compartido en un grupo. Una conversación con un proveedor. Un mensaje eliminado después de conocerse una investigación. Cada vez más decisiones empresariales dejan rastro en aplicaciones de mensajería instantánea. No es solo una realidad técnica: es una prioridad regulatoria global.
El Departamento de Justicia de EE.UU. incorporó en 2023 la gobernanza de WhatsApp y aplicaciones similares a sus guías de evaluación de programas de cumplimiento corporativo (ECCP). La SEC y la CFTC han impuesto más de USD 3.500 millones en multas a firmas financieras por no preservar comunicaciones en estas plataformas. La norma ISO/IEC 27037 establece el estándar internacional para el manejo forense de evidencia digital.
Por eso, cuando aparecen indicios de fraude, conflictos de interés, filtraciones de información, incumplimientos o conductas internas irregulares, WhatsApp puede convertirse en una fuente crítica para reconstruir lo ocurrido.
Sin embargo, encontrar un mensaje no equivale a demostrar un hecho. El verdadero reto consiste en determinar si esa información puede recuperarse, si mantiene su integridad, si ha sido obtenida de forma autorizada y si puede relacionarse con el resto de la evidencia.
Una captura de pantalla no es una investigación
Las capturas de pantalla suelen ser el primer indicio que llega a una organización. Pueden activar una alerta, justificar una revisión preliminar o ayudar a identificar a las personas involucradas.
Pero también presentan limitaciones importantes: pueden estar incompletas, descontextualizadas, editadas o no permitir verificar adecuadamente su origen.
Por sí solas, normalmente no permiten responder preguntas esenciales: ¿De qué dispositivo procede la conversación? ¿Quiénes participaron realmente? ¿La secuencia está completa? ¿Existían mensajes anteriores o posteriores? ¿Se compartieron documentos, audios o imágenes? ¿La información fue alterada? ¿Coincide con los registros de otros sistemas?
Una investigación sólida no se limita a leer lo que aparece en pantalla. Debe reconstruir el contexto y contrastar la conversación con otras fuentes.
Qué puede aportar WhatsApp a una investigación forense
Cuando existe autorización y las condiciones técnicas lo permiten, el análisis puede considerar mensajes de texto; fotografías, vídeos, audios y documentos; fechas y horas asociadas a las comunicaciones; participantes y grupos; dispositivos vinculados; archivos compartidos; respaldos disponibles; y relaciones temporales entre mensajes y decisiones corporativas.
El valor de estos elementos aumenta cuando se conectan con correos electrónicos, facturas, contratos, registros contables, accesos a sistemas, movimientos financieros, declaraciones internas u otras evidencias digitales. Un mensaje aislado puede sugerir una conducta. Una secuencia contrastada puede ayudar a reconstruirla.
Lo que la tecnología no garantiza
Uno de los errores más habituales es asumir que todo mensaje enviado, recibido o eliminado puede recuperarse. No siempre es posible.
La disponibilidad de la información puede depender del dispositivo, su estado, la configuración de seguridad, la existencia de respaldos, el tiempo transcurrido, las aplicaciones instaladas y el uso posterior del teléfono. El cifrado de extremo a extremo también condiciona el acceso — razón por la que el propio DOJ advierte que los fiscales no aceptarán sin escrutinio la ausencia de registros como justificación.
Por ello, antes de prometer resultados, es necesario evaluar la viabilidad técnica y jurídica de obtener y analizar la información.
Preservar antes de buscar
En una investigación digital, actuar rápido no significa actuar sin método. La norma ISO/IEC 27037, referencia internacional para el manejo de evidencia digital, establece cuatro fases que no pueden obviarse: identificación, recolección, adquisición y preservación. Cada una deja trazabilidad verificable.
Seguir utilizando el dispositivo, restaurar una copia, reinstalar una aplicación o actualizar el sistema puede alterar datos relevantes de forma irreversible.
La prioridad debe ser preservar el estado de las fuentes y documentar cada actuación: quién identifica o entrega el dispositivo; cuándo y dónde se obtiene; en qué condiciones se encuentra; quién interviene en cada fase; qué procedimiento se aplica; qué herramientas se utilizan; qué resultados y limitaciones se detectan.
Esta trazabilidad permite sostener que la información analizada corresponde con la evidencia adquirida y que su tratamiento se ha realizado de forma controlada.
El contexto puede cambiar el significado
En mensajería instantánea abundan las respuestas breves, referencias implícitas, ironías, archivos sin explicación y decisiones adoptadas fuera de la conversación. Por eso, una frase aislada puede ser ambigua o incluso conducir a una conclusión equivocada.
El análisis debe reconstruir la secuencia temporal de los hechos; las personas implicadas; el significado de documentos y referencias; las decisiones anteriores y posteriores; la relación con operaciones y sistemas corporativos; y las posibles contradicciones entre distintas fuentes.
El objetivo no consiste en buscar únicamente mensajes que confirmen una sospecha. Una investigación rigurosa también debe identificar información que permita matizarla o descartarla.
Privacidad, proporcionalidad y límites
Las investigaciones corporativas pueden implicar comunicaciones personales, datos sensibles o información ajena al objeto de la revisión. Por ello, antes de acceder a un dispositivo, deben definirse el propósito, el alcance, las autorizaciones necesarias y los criterios de búsqueda.
La revisión debería limitarse a periodos, participantes, operaciones, palabras clave o categorías vinculadas con los hechos investigados. La capacidad técnica de acceder a un dato no significa, por sí sola, que deba revisarse.
El acceso y análisis de comunicaciones debe realizarse conforme a la normativa aplicable, las políticas internas y las autorizaciones correspondientes en cada jurisdicción.
Cinco errores que pueden comprometer el resultado
A continuación desgranamos los cinco errores que pueden comprometer el resultado:
- Basar las conclusiones únicamente en capturas de pantalla.
- Manipular o utilizar el dispositivo antes de preservar su estado.
- Recopilar información sin documentar quién la obtuvo y mediante qué procedimiento.
- Revisar datos ajenos al alcance definido para la investigación.
- Interpretar los mensajes sin contrastarlos con otras fuentes.
Qué debería hacer una empresa ante una alerta
Cuando una conversación de WhatsApp puede estar relacionada con una conducta irregular, la organización debería: evitar actuaciones que puedan modificar o eliminar información; definir con precisión el hecho que se pretende investigar; identificar los dispositivos, personas y fuentes potencialmente relevantes; revisar las autorizaciones, políticas internas y requisitos aplicables; preservar y obtener la información mediante procedimientos técnicamente sólidos; contrastar los mensajes con documentación, sistemas y evidencias independientes; y documentar las conclusiones, sus limitaciones y el nivel de certeza alcanzado.
De la conversación al hecho acreditado
WhatsApp puede aportar información relevante en investigaciones de fraude, filtraciones, conflictos de interés, incumplimientos o conductas internas. Pero su valor no depende de encontrar la frase más llamativa. Sino que depende de preservar la fuente, verificar su origen, reconstruir la secuencia, respetar los límites aplicables y relacionar la conversación con el conjunto de la evidencia.
En una investigación forense, la tecnología permite acceder y analizar información. La metodología, la trazabilidad y el criterio profesional son los que permiten convertirla en evidencia fiable.
Autor: Krystel Zamora
Partner Ecuador
