Según cifras de la firma Branch, el correo electrónico es el medio de comunicación de mayor confianza y utilizado por las compañías en general. Desde su invención en los años setenta, este elemento, es una de las piezas clave en las auditorías forenses, con este, se han logrado descifrar relaciones que existieron entre individuos o entidades y conocer hechos relevantes.

La informática forense a través de sus procedimientos, como disciplina científica, es como las autoridades o equipos jurídicos, pueden asegurarse de que estos son reales o ficticios, quien los envió, quien o quienes lo recibieron, cuando lo recibieron o enviaron, que archivos adjuntos contenía, y en general, diversos aspectos técnicos que se vuelven relevantes a la hora de legitimar un mensaje electrónico a través de un dictamen pericial de parte.

Que se debería tener en cuenta a la hora de analizar un correo electrónico

En el siguiente escenario, el director financiero de una compañía recibió del director comercial, un correo electrónico con mensaje de urgencia. El mensaje contenía detalles de la negociación que esta compañía se encontraba haciendo con un potencial cliente. El mensaje exigía hacer una transferencia bancaría al cliente antes de finalizar el día para que el negocio se concretara.

El “Principio de intercambio de Locard” propuesto por el reconocido científico y criminalista Francés Edmon Locard, indicaba que “cualquier acción de un individuo, y obviamente por la acción violenta que constituye un crimen, no puede ocurrir sin dejar rastro”. Este principio, es la base de conocimiento propuesto para la informática forense, en el caso del correo electrónico, durante la transmisión de este, los rastros digitales son diversos.

El grupo de trabajo de ingeniería de internet, por sus siglas del inglés Internet Engineering Task Force (IETF), a estandarizado el funcionamiento del correo electrónico a través de las Solicitudes de Comentarios, por sus siglas del inglés Request for Comments (RFC). Estas entidades, han desarrollado protocolos y estándares, que, permiten la comunicación entre los distintos proveedores, generando confianza entre las partes, de tal manera que, si alguien envía un correo electrónico, el destinatario puede estar seguro qué este es quien dice ser.

Desafortunadamente, estas reglas se quedan en recomendaciones y el proveedor o administrador del servicio de correo, no se encuentra en la obligación de implementarlas en su totalidad, provecho que han tomado los ciber-delincuentes para cometer diferentes clases de fraude.

Los siguientes son algunos de los mecanismos propuestos por estas entidades: 

• DKIM-Signature: Actualizado en la RFC5672, este método permite autenticar el mensaje de extremo a extremo a través del método de llave pública y privada. Para esto, es necesario que el proveedor de servicios de correo publique la llave criptográfica de tipo publica en los servidores DNS, para que luego, cualquier servidor que recibe un mensaje de ese dominio, pueda consultarla y utilizarla para descifrar el mensaje y verificar que el dominio de origen es real y existe.

• El segundo mecanismo es el denominado Sender Policy Framework – SPF conocido también como un “convenio de remitentes”. Con este método, los servidores de correo pueden verificar a través de las direcciones IP que el dominio de donde proviene el mensaje se encuentra en los registros de nombres de dominio (DNS). 

• El tercer mecanismo es relativamente nuevo en el mercado. Su nombre es DMARC, con este protocolo, se autentica el mensaje validándolo en conjunto con los resultados obtenidos de los protocolos DKIM-Signature y SPF. Lo segundo que hace DMARC, es generar reportes sobre la razón por la cual el mensaje fue rechazado o se colocó en cuarentena. 

Por otra parte, el formato MIME por sus siglas del inglés Multipurpose Internet Mail Extension, descrito en la RFC 2045, es el estándar para transmitir los mensajes a través de la internet. Este formato contiene una serie de convenciones o especificaciones que cobran relevancia junto con los protocolos DKIM-Signature, SPF y DMARK, a la hora de analizar los encabezados de un correo electrónico.

Para nuestro ejemplo, el director comercial niega que haya sido el remitente del mensaje, mientras que el director financiero, en un documento impreso que presentó, demuestra que, desde la cuenta de correo del director comercial, se hizo la solicitud del pago del dinero.

Durante la investigación, se hace la recolección de los mensajes de correo electrónico relacionado con los hechos, aplicando metodologías internacionales, el estándar ISO 27037:2012 recomienda hacerlo con herramientas forenses reconocidas y la participación de ingenieros forenses con experiencia para desarrollar la investigación, preservar y mantener la cadena de custodia de la evidencia, y si es necesario, cuente con la idoneidad de sustentar las actuaciones ante la autoridad competente.

Una vez recolectados los correos electrónicos relacionados con la investigación, la revisión de los encabezados se vuelve relevante, las herramientas especializadas facilitan la labor de investigación, entender e identificar los aspectos relevantes de los metadatos encontrados en los encabezados son claves a la hora de legitimar un mensaje electrónico.

Desde nuestra experiencia, queremos compartir algunos de esos aspectos a partir de nuestro ejemplo:

• El mensaje electrónico recolectado de la cuenta del director financiero revela que los registros DKIM-Signature han fallado en las validaciones hechas. Es decir, la llave pública que se encuentra registrada en el servidor de correo no puede descifrar el mensaje, esto indica que las firmas digitales son diferentes. En otros casos, hemos visto que el ciber-delincuente, se asegura de eliminar este registro de los encabezados del mensaje, lo que impide un análisis detallado, pero el perito forense, debería considerar esto como una bandera roja, que lo lleva a hacer otros análisis.

• El correo electrónico también fue objeto de una comprobación fallida del protocolo SPF, por su puesto, era de esperarse este resultado. La comprobación del dominio del remitente puede hacerse con herramientas especializadas o de manera manual, en ambos casos, el correo electrónico que recibió el director financiero no provenía de la cuenta del director comercial, si no de una cuenta de correo similar. Basados en nuestra experiencia, hemos analizados encabezados de correo que simulan dominios de correo similares al real, los delincuentes cibernéticos lo hacen aplicando técnicas novedosas y, el perito o analista deberá ser cuidado a la hora de hacer conclusiones.

• Corroborar la información visible contra la codificada en el mensaje. Los encabezados del mensaje son una bitácora que contiene información de los lugares por donde el mensaje cruzó hasta llegar al destino. Durante este recorrido, se agregan datos relevantes, como el nombre del servidor de correo, direcciones IP, fechas de envío y recepción, los registros DKIM y SPF, el nombre del dominio, entre otros. Un análisis detallado, revela que, durante este recorrido, también se estampan fechas codificadas que, al ser decodificadas estas deberían ser similares a las visibles en el mensaje.

• Validar el nombre del servidor de correo por donde se transmitió el mensaje, puede ser clave y relevante a la hora de legitimar el mensaje. En nuestro ejemplo, el nombre del servidor de correo y del dominio, eran ajenos a la cuenta real del director comercial, los estampados de tiempo codificados no coincidían con los visibles en el mensaje. En general, contenía una serie de pistas que llevaron a la conclusión que el mensaje era ficticio.

Legitimar el envío de un mensaje de correo, supone de diversas estrategias de revisiones y análisis forenses, donde encontramos dos escenarios. En el primero, las compañías tienen configuradas firmas digitales con un tercero de confianza, en este escenario, bastará con presentar a la autoridad la certificación del tercero de confianza que el mensaje se transmitió y llegó a su destinatario. En el segundo escenario, la compañía no cuenta con este servicio, pero ha transmitido información valiosa de un proyecto o negocio a través de este medio, en este caso, legitimar el mensaje es posible y confiable hacerlo a través de un dictamen pericial.

El dictamen pericial

Es la herramienta adecuada que los equipos jurídicos de cualquier organización pueden usar como medio de prueba para demostrar un hecho o una conducta ante las autoridades. Nuestra legislación es del tipo contradictoria, lo que indica, que el perito deberá comparecer a la audiencia donde podrá ser interrogado o contrainterrogado por las partes y que, a través de otro dictamen pericial, se puede deslegitimar las actuaciones y actividades del perito.

Se deberá ser cuidadoso a la hora de sustentar el dictamen pericial, este es un escenario clave donde el perito deberá sustentar o argumentar sus actuaciones de manera correcta, no quiere decir que las actividades técnicas descritas en el peritaje no lo fueran, solo que, si el perito no afronta de manera adecuada el interrogatorio y contrainterrogatorio, puede llevar a que la autoridad rechace o no tenga en cuenta el dictamen a la hora de la sentencia.

La habilidad y experiencia de afrontar un escenario de litigio es crucial. El objetivo es convencer a la autoridad de las capacidades y de procedimientos desarrollados como perito. Debes prepararte, ser objetivo y hábil, demostrar tu experiencia y al final, explicar toda esa retorica técnica en un lenguaje sencillo.

Ramiro Marín B.

Perito en computación forense &

Experto en Ciberseguridad

CAForense SAS

Compartelo en tus redes sociales