La cadena de custodia informtico forense:

La preservacin de la cadena de custodia sobre la prueba indiciaria

criminalstica, es un objetivo que afecta a la totalidad de los miembros del
poder judicial, los operadores del derecho y sus auxiliares directos.
Entre stos ltimos debemos incluir el personal de las uer!as de "e#uridad,
las $olicas %udiciales y al conjunto de $eritos &ficiales, de &ficio y 'onsultores
(cnicos o $eritos de $arte.
$or esta ra!n el establecer mecanismos efectivos, eficientes y eficaces que
permitan cumplir con dicha tarea a partir de mtodos y procedimientos que
ase#uren la confiabilidad de la informacin recolectada, nico elemento
inte#rador a prote#er en los activos inform)ticos cuestionados, ya que incluye
la confidencialidad, la autenticidad, la inte#ridad y el no repudio de los mismo,
es una necesidad imperiosa para ase#urar el debido proceso en cualquiera de
los fueros judiciales vi#entes.
En trminos sencillos implica establecer un mecanismo que ase#ure a quien
debe %u!#ar, que los elementos probatorios ofrecidos como $rueba *ocumental
+nform)tica, son confiables. Es decir que no han sufrido alteracin o
adulteracin al#una desde su recoleccin, hecho que implica su uso pertinente
como indicios probatorios, en sustento de una determinada ar#umentacin
orientada a una pretensin fundada en derecho.
El jue! debe poder confiar en dichos elementos di#itales, por considerarlos
autnticos ,testi#os mudos-, desde el punto de vista criminalstico cl)sico y
evaluarlos en tal sentido, desde la sana crtica, la prueba tasada o las libres
convicciones se#n sea el caso y la estructura judicial en que se desarrolle el
proceso.
'onsideramos a la cadena de custodia como un procedimiento controlado que
se aplica a los indicios materiales .prueba indiciaria/ relacionados con un
hecho delictivo o no, desde su locali!acin hasta su valoracin por los
encar#ados de administrar justicia y que tiene como fin ase#urar la inocuidad y
esterilidad tcnica en el manejo de los mismos, evitando alteraciones,
sustituciones, contaminaciones o destrucciones, hasta su disposicin definitiva
por orden judicial.
$ara ase#urar estas acciones es necesario establecer un ri#uroso y detallado
re#istro, que identifique la evidencia y posesin de la misma, con una ra!n
que indique, lu#ar, hora, fecha, nombre y dependencia involucrada, en el
secuestro, la interaccin posterior y su depsito en la sede que corresponda
.judicial o no/.
*esde la deteccin, identificacin, fijacin, recoleccin, proteccin, res#uardo
empaque y traslado de la evidencia en el lu#ar del hecho real o virtual, hasta
la presentacin como elemento probatorio, la cadena de custodia debe
#aranti!ar que el procedimiento empleado ha sido exitoso, y que la evidencia
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3
que se recolect en la escena, es la misma que se est) presentando ante el
evaluador y4o decisor.
"ubsidiariamente, pero a idntico tenor, es importante considerar el si#nificado
implcito en los indicios recolectados, el valor que van a tener en el proceso de
investi#acin, an)lisis y ar#umentacin del cual dependen. En dicho marco de
referencia es que adquirir)n su relevancia y pertinencia, de ah la necesidad de
evitar en lo posible la impu#nacin de los mismos en ra!n de errores
metodol#icos propios de cada disciplina en particular .no son idnticas la
cadena de custodia de muestras biol#icas que la que se corresponde con
armas, o documentos impresos o virtuales/. Es por esta ra!n que existen
componentes #enricos y componentes particulares en toda cadena de
custodia. $or ejemplo el reali!ar un acta de secuestro es un elemento #enrico,
pero el ase#urar la inte#ridad de la prueba mediante un di#esto .5ash/ sobre
el archivo secuestrado es un elemento propio de la cadena de custodia
inform)tico forense.
"uele asociarse a la cadena de custodia con el proceso judicial orientado a
dilucidar acciones delictivas, sin embar#o la misma no se a#ota en el orden
penal. En particular la cadena de custodia inform)tico forense debe
preservarse en todas las transacciones virtuales susceptibles de ser valoradas
econmicamente. 'uando un banco reali!a una transferencia de fondos o un
consumidor adquiere un producto por medios virtuales .+nternet entre otros/
requiere de esa operacin la misma confiabilidad que puede aportarle la
cadena de custodia inform)tico forense, es decir afecta en todo momento a la
comunidad virtual y sus actores involucrados.
1l recolectar las pruebas, lo importante es el si#nificado, el valor que va a
tener en el proceso de investi#acin y por medio de la cadena de custodia,
este valor va a ser relevante, debido a que no se va a poder impu#nar, al
haberse acatado el procedimiento.
$ara que la prueba documental inform)tica sea tenida por v)lida y adquiera
fuer!a probatoria ante el encar#ado de decidir a partir de la misma, es
necesario que la misma sea #aranti!ada respecto de su confiabilidad, evitando
suplantaciones, modificaciones, alteraciones, adulteraciones o simplemente su
destruccin .al#o muy comn en la evidencia di#ital, ya sea mediante borrado
o dene#acin de servicio/. *esde su recoleccin, hasta su disposicin final,
debe implementarse un procedimiento con soporte terico cientfico,
metodol#ico criminalstico, estrictamente tcnico y procesalmente adecuado.
"i carece de al#uno de estos componentes, la prueba documental inform)tica
recolectada no habr) alcan!ado el valor probatorio pretendido. Este
procedimiento se caracteri!a por involucrar mltiples actores, los que deben
estar profundamente consustanciados de su rol a cumplir dentro del mismo,
sus actividades a desarrollar durante la manipulacin de la prueba y sus
responsabilidades derivadas.
*efinicin6 $odemos definir a la cadena de custodia inform)tico forense como
un procedimiento controlado y supervisable, que se aplica a los indicios
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 7
materiales o virtuales relacionados con un hecho delictivo o no, desde su
locali!acin hasta su valoracin por los encar#ados de administrar justicia y
que tiene como fin ase#urar la confiabilidad de la prueba documental
inform)tica recolectada en un determinado lu#ar del hecho real o virtual desde
su recoleccin hasta su disposicin definitiva por orden judicial.
"in embar#o, esta definicin es abarcativa, pero #enrica, la prueba
documental inform)tica tiene componentes particulares diferenciativos que la
tornan sumamente diversa a la hora de recolectar, preservar y trasladar la
misma6
3. La prueba documental inform)tica consiste en indicios di#itali!ados,
codificados y res#uardados en un contenedor di#ital especfico. Es decir
toda informacin es informacin almacenada .an durante su
despla!amiento por una red, est) almacenada en una onda
electroma#ntica/.
7. Es necesario diferenciar entre el objeto que contiene a la informacin
.discos ma#nticos, pticos, cu)nticos, 1*8, protenas, etc./ de su
contenido6 informacin almacenada y sobre todo de su si#nificado.
9. $ara este caso consideramos6
a. +nformacin6 (odo conocimiento referido a un objeto o hecho,
susceptible de codificacin y almacenamiento.
b. &bjeto6 'onjunto fsicamente determinable o l#icamente
definible.
:. La informacin puede estar en uno de los si#uientes estados6
a. 1lmacenada6 se encuentra en un reservorio a la espera de ser
accedida .1lmacenamiento primario, secundario o terciario/ es un
estado est)tico y conforma la mayora de las recolecciones
posibles, sin embar#o difiere de la mayora de los indicios
recolectables, en que puede ser accedida por medios locales y4o
remotos.
b. En despla!amiento6 es decir viajando en un elemento fsico
determinado .cable, microonda, l)ser, etc./, es susceptible de
recoleccin mediante intercepcin de dicho elemento y est)
condicionada por las mismas cuestiones le#ales que la escucha
telefnica o la violacin de correspondencia.
c. En procesamiento6 es el caso m)s complicado y constituye la
primera decisin a tomar por el recolector. 1nte un equipo en
funcionamiento, donde la informacin est) siendo procesada, es
decir modificada, actuali!ada y nuevamente res#uardada, debe
decidir si apa#a o no el equipo. Esta decisin es crtica y puede
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 9
implicar la prdida de informacin y la destruccin de la prueba
documental inform)tica pretendida
3
. La solucin por medio del
acceso remoto, indetectable por el accedido, es un tema que an
no se encuentra en discusin en nuestro pas.
7

;. En cuanto a su si#nificado, el mismo tendr) la valide! que le asi#ne su
insercin como elemento pertinente y conducente a la ar#umentacin
presentada como sustento de la pretensin jurdica manifestada. Es decir
no deja de ser un documento m)s, que difiere de la prueba documental
cl)sica .biblio#r)fica, folio#r)fica y picto#r)fica/ nicamente en el
soporte .di#ital vs. papel/.
<. "in embar#o es necesario tener en cuenta que un bit no es similar sino
idntico a otro bit. *e ah que una copia bit a bit de un archivo di#ital es
indiferenciable de su ori#inal, esto si#nifica que no puede establecerse
cu)l es el ori#inal y cual su copia, salvo que hayamos presenciado el
proceso de copiado y ten#amos conocimiento sobre cu)l era el
contenedor del ori#inal y cu)l el de la copia .mtodo indirecto e
independiente de los archivos considerados/ Esto no resulta en un
inconveniente sino en una ventaja, desde el punto de vista de la cadena
de custodia, ya que permite preservar la copias, manteniendo el valor
probatorio del ori#inal y evitando ries#os para el mismo. "e puede
entre#ar al perito una copia de los archivos dubitados y preservar los
mismos en su reservorio ori#inal en el local del (ribunal y con las
se#uridades que este puede ofrecerle .entre otros caja fuerte/.
9
1
Es una decisi=n en francas condiciones de incertidumbre. "i decide mantener el equipo encendido, corre
el ries#o de haber sido detectado durante su aproximacin al equipo y que en realidad la actividad del
mismo est consistiendo en borrar de manera se#ura .tcnicas especficas de eliminacin de la
informacin que la hacen irrecuperable a los mtodos inform)tico forenses, es decir borra sin dejar
tra!as/, con lo que cuanto m)s tiempo permane!ca el equipo funcionando mayor ser) el da>o producido.
"i por el contrario decide apa#ar el equipo, es posible que el mismo ten#a un mecanismo de se#uridad
ante estos eventos que dispare las mismas acciones de borrado detalladas, sobre los equipos remotos,
eliminando enlaces y reservorios dentro de la misma red o en redes externas .es muy comn que con
fines delictivos o no, la informacin sea almacenada en un reservorio remoto, lo que aumenta la
se#uridad y confiabilidad de la misma, ya que est) excenta de los ries#os edilicios, fsicos y l#icos, del
local donde se utili!a/.
La mejor manera de solucionar este problema es la labor de inteli#encia previa .ataques pasivos,
consistentes en intercepcin, escucha o an)lisis de tr)fico, por medios remotos/. Esta tarea resuelve el
problema pero requiere disponer de recursos tcnicos y sobre todo humanos sumamente escados, por
otra parte debe ser autori!ada judicialmente y la pr)ctica nos indica que la mayora de los %u!#ados, por
muy diversas causas, son sumamente reacios a la hora de autori!ar estar intervenciones .lo mismo
ocurre con las cl)sicas y siempre restrin#idas medidas previas o preliminares, aunque constituyan prueba
anticipada y reunan las condiciones requeridas para la misma6 peli#ro en la demora, credibilidad del
derecho invocado y contracautela de privacidad/.
2
'on los medios adecuados es perfectamente posible acceder a un equipo remoto y recolectar la
informacin pretendida, preservando las condiciones le#almente establecidas desde la 'onstitucin
8acional y sus normas derivadas, sin embar#o en un ambiente donde la diferencia entre el *elito
+nform)tico +mpropio .delitos cl)sicos cometidos utili!ando medios inform)ticos/ tipificado en la Ley
7<.9?? y el *elito +nform)tico $ropio .que afecta al bien jurdico prote#ido6 ,informacin-, al#o que ni
siquiera est) contemplado en nuestro 'di#o $enal/ es un tema propio slo de al#unos operadores del
derecho especiali!ados en derecho de alta tecnolo#a, el suponer la comprensin real de las
particularidades que identifican al Lu#ar del 5echo @irtual .propio e impropio/ respecto del Lu#ar del
5echo Aeal, parecen ser m)s una ilusin utpica que una realidad jurdica tan#ible en el mediano pla!o.
3
"i un documento en papel es reservado en secretara, en la caja fuerte y lue#o se le debe reali!ar una
pericia cali#r)fica, debe ser entre#ado al perito, porque slo puede trabajar sobre ori#inales. Esto implica
la salida de la prueba, abandonando la proteccin del (ribunal, hasta que re#rese al mismo, si durante
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! :
B. 0ientras que en la recoleccin fsica de prueba indiciaria tradicional, se
secuestra el indicio y se lo traslada, en la recoleccin de documental
inform)tica esta accin puede reali!arse o no, ya que es suficiente con
copiar bit a bit la prueba y lue#o trasladar dicha copia. Es una extensin
del caso anterior, donde no es necesario entre#ar el ori#inal al perito sino
que alcan!a con su copia. La recoleccin de prueba, mediante copia
debidamente certificada puede sustituir perfectamente al ori#inal, es
aplicable a los casos en que la informacin est almacenada en
reservorios vitales para la operacin de una determina entidad u
or#ani!acin estatal o privada. "upon#amos la necesidad de secuestrar
informacin almacenada en uno de los servidores operativos del Canco
'entral, es evidente que el secuestro de dicho servidor, podra sacar de
operacin a la entidad con las consecuencias que dicho hecho implicara,
mientras que su copia, certificacin mediante hash y ante la autoridad
judicial, administrativa o notarial correspondiente, en nada afectara a la
continuidad del servicio y servira perfectamente como elemento
probatorio.
?. Los mecanismos de certificacin di#ital .hash, firma electrnica, firma
di#ital/ son mucho m)s confiables y difciles de falsificar que los mismos
elementos referidos a la firma y certificacin ol#rafas. "in embar#o la
susceptibilidad de los operadores del derecho ante el nuevo mundo
virtual hace que ten#an sensaciones de inse#uridad que no tienen
sustento al#uno en la realidad matem)tica que brinda soporte a los
mecanismos referidos. "e adopta una actitud sumamente crtica y
ne#ativa frente a la se#uridad que los mismos brindan, en parte como
consecuencia de la necesidad implcita de confiar en al#oritmos que no
se conocen. Entender, comprender y anali!ar un al#oritmo de cifrado por
clave pblica, es una tarea de expertos y que no est) al alcance de una
formacin matem)tica b)sica como la que posee la mayora de los
operadores del derecho. $or otra parte el individuo inserto en la sociedad
tiende m)s a confiar en la medicina .por eso no cuestiona los mtodos
del mdico le#ista o del psiquiatra forense/ que la matem)tica con la que
se relaciona mucho menos.
:
Es un proceso lento de aceptacin, que
como todo en derecho se#uramente lle#ar) a posteriori del desarrollo
social y tecnol#ico que nos rodea e impulsa hacia el futuro.
ese despla!amiento es destruido en forma dolosa o culposa, la prueba se pierde. En cambio si la
documental inform)tica es res#uardada en el tribunal .por ejemplo en un '* o *@*/ y al perito se le
entre#a una copia de la misma, podr) reali!ar su tarea sin inconveniente y si su copia es destruida, en
nada afecta al ori#inal res#uardado en el %u!#ado.
4
Las posibilidades reales de ser en#a>ados al comprar un libro por +nternet, son mucho menores que sus
similares ante un vendedor ambulante, sin embar#o sentimos cierta aprensin al in#resar el cdi#o de
se#uridad de nuestra tarjeta de crdito para confirmar la compra, al#o que ocurre mucho menos con los
jvenes y los adolescentes, es un problema #eneracional que supon#o se superar) con el simple paso del
tiempo.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! ;
Protocolo para la Cadena de Custodia en la pericia de informtica
forense
La inform)tica forense como especialidad dentro de la criminalstica debe
incluir los requisitos #enerales establecidos en la +nspeccin %udicial en
'riminalstica. En esta especialidad los elementos dubitados pueden ser del
tipo fsico o virtual. En el caso de los elementos virtuales la deteccin,
identificacin y recoleccin deber) efectuarse en tiempo real, es decir en vivo,
con el equipo encendido. La informacin es un elemento intan#ible que se
encuentra almacenado en dispositivos que pueden ser vol)tiles o no. 'on el fin
de determinar la valide! de la informacin contenida en los mencionados
dispositivos ser) necesario efectuar la correspondiente certificacin
matem)tica por medio de un di#esto o hash. Esta comprobacin es la que
permitir) posteriormente determinar la inte#ridad de la prueba recolectada y
su correspondencia con el elemento ori#inal.
El objetivo principal es preservar la evidencia, por lo tanto al acceder al
lu#ar del hecho deber)6
- Identificar -
- Situar -
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! <
- Relacionar
1 travs de un accionar metdico, sistem)tico y se#uro, cuya consi#na
ser)6
- Rotular -
- Referenciar -
- Proteger -
En sntesis, se deber mantener la seguridad, procurar el resguardo
legal y aplicar una metodologa estricta
En el lu#ar del hecho se deber) se#uir una secuencia de pasos expresadas
en el si#uiente procedimiento que ser) considerado como la etapa preliminar a
la elaboracin del formulario de la cadena de custodia, el cual debe ser
considerado como informacin confidencial, clasificada y res#uardada en un
lu#ar se#uro6
1. !etecci"n, Identificaci"n y registro
En lo posible se deben identificar la totalidad de los elementos inform)ticos
dubitados, Dcomputadoras, red de computadoras, netbooE, notebooE, celular,
ipad, #ps, etc.F.- In#entario de $ard%are en la Inspecci"n y
Reconocimiento &udicial - 'ormulario Registro de E#idencia
a. 'olocarse #uantes
b. oto#rafiar el lu#ar del hecho o filmar todos los elementos que se
encuentran en el )rea de inspeccin, desde la periferia hacia el
)rea dubitada.
c. oto#rafiar los elementos inform)ticos, determinando en cu)l de
ellos efectuar macro foto#rafa6
i. $antallas del monitor del equipo dubitado.
ii. @istas frontal, lateral y posterior, se#n corresponda
iii. 8meros de series de los elementos inform)ticos, etiquetas
de #arantas.
iv. $erifricos, .teclados, mouse, monitor, impresoras, a#endas
$*1, videoc)maras, video #rabadora, $endrive, dispositivos
de almacenamiento en red, Gnidades de Hip o %a!!,
celulares, ipod, entre otros/
v. 0aterial impreso en la bandeja de la impresora o circundante
vi. 'ableados
vii. *ispositivos de conectividad, al)mbricos e inal)mbricos
viii. *ia#ramas de la red y topolo#as
d. +nventariar todos los elementos utili!ando una planilla de re#istro
del hardIare, identificando6 (ipo, 0arca, 8mero de serie,
Ae#istro de #aranta, Estado .normal, da>ado/, &bservaciones
$articulares. consultar In#entario del (ard%are de la
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! B
Inspecci"n &udicial y Reconocimiento &udicial ) 'ormulario
de Registro de e#idencia de la computadora
e. Efectuar un croquis del lu#ar del hecho, especificando el acceso al
lu#ar, la ubicacin del o los equipos inform)ticos y de cualquier
otro elemento, mobiliario, racEs, cableado, existentes en el )rea a
inspeccionar, para lue#o representarlo con cualquier herramienta
de dise>o.
* Recolecci"n de los elementos informticos dubitados )'sicos o
+irtuales-
El $erito +nform)tico orense deber) recolectar la evidencia procediendo
acorde al ori#en del requerimiento de la pericia inform)tico forense, a saber6
3. $or orden judicial, cuyo texto indica6
a. "ecuestrar la evidencia para su posterior an)lisis en el laboratorio,
el $erito +nform)tico orense proceder) a6
i. 'ertificar matem)ticamente la evidencia
ii. +dentificar y re#istrar la evidencia
iii. Elaborar un acta ante testi#os
iv. +niciar la cadena de custodia
v. (ransportar la evidencia al laboratorio
b. Efectuar la copia de la evidencia para su posterior an)lisis en el
laboratorio, el $erito +nform)tico orense proceder) a6
i. 'ertificar matem)ticamente la evidencia
ii. *uplicar la evidencia
iii. +dentificar y re#istrar la evidencia y la copia
iv. Elaborar un acta ante testi#os
v. (ransportar la copia o duplicacin de la evidencia al
laboratorio
7. $or solicitud particular de una persona especfica, de una consultora,
empresa, institucin, or#anismo o por otros profesionales, el $erito
+nform)tico orense proceder) a6
a. 'oncurrir al lu#ar del hecho con un escribano pblico.
b. 'ertificar matem)ticamente la evidencia ante el escribano pblico.
c. *uplicar la evidencia ante escribano pblico.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! ?
Procedimiento
d. "olicitar al escribano que deje constancia en el acta de los motivos
del secuestro, de los datos de la o las personas que solicitaron la
pericia, las ra!ones ar#umentadas y los fines pretendidos.
e. "olicitar una copia del acta reali!ada por el escribano.
f. (ransportar la copia de la evidencia para su posterior an)lisis en el
laboratorio
a Duplicacin y autenticacin de la prueba
En ciertas situaciones el $erito +nform)tico orense no podr) trasladar el
equipamiento que contiene la informacin dubitada, por lo tanto deber) en el
lu#ar del hecho efectuar la duplicacin de la informacin contenida en su
repositorio ori#inal. Esta tarea se deber) reali!ar de manera tal que la
duplicacin o copia #enerada preserve la valide! de su contenido ori#inal.
1 continuacin se enuncian los pasos para efectuar la autenticacin y
duplicacin de la prueba, el $erito +nform)tico orense llevar) en su maletn
los dispositivos de almacenamiento limpios y desinfectados y el dispositivo de
arranque .disco r#ido externo, '* A&0, *@*, disEette/ o inicio en vivo
prote#ido contra escritura, que contiene el softIare de base seleccionado para
la tarea y el softIare de autenticacin y duplicacin.
Las im)#enes de los discos se deben reali!ar bit a bit para capturar la
totalidad del disco r#ido los espacios libres, no asi#nados y los archivos de
intercambio, archivos eliminados y ocultos. 1corde a lo expresado por el ,IS-
.
.8ational +nstitute of "tandard and (echnlo#y/, la herramienta utili!ada para la
#eneracin de la ima#en debe reunir ciertas especificaciones, a saber6
3. La herramienta deber) efectuar una ima#en bit a bit de un disco ori#inal
o de una particin en un dispositivo fijo o removible
7. La herramienta debe ase#urar que no alterar) el disco ori#inal.
9. La herramienta podr) acceder tanto a discos "'"+ como +*E.
:. La herramienta deber) verificar la inte#ridad de la ima#en de disco
#enerada.
;. La herramienta deber) re#istrar errores tanto de entrada como de salida
e informar si el dispositivo de ori#en es m)s #rande que el de destino.
<. "e debe utili!ar un bloqueador de escritura, preferiblemente por
hardIare, para ase#urar la inalterabilidad del elemento de
almacenamiento accedido.
5
Fecha de consulta 04-11-2011, http://www.nist.gov/index.html
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! J
La documentacin de la herramienta deber) ser consistente para cada uno
de los procedimientos. Esta ima#en del disco se utili!ar) en la computadora del
laboratorio para efectuar el an)lisis correspondiente.
3. 1pa#ar el equipo desconectando el cable
de alimentacin elctrica.
7. Aetirar disEette, $en*irve, Hip.
9. *escar#ar la propia electricidad est)tica,
tocando al#una parte met)lica y abrir el #abinete.
:. *esconectar la interfa! o man#uera de
datos, puede ser +*E o "'"+.
;. *esconectar la alimentacin elctrica del
dispositivo de disco r#ido
<. +n#resar al '0&" .'omplementary 0etal
&xide "emiconductor/ o 'onfi#uracin del C+&" ."istema de entrada y
salida de la computadora/6
i. Encender la computadora
ii. &primir el conjunto de teclas que se muestra en el monitor
cuando se inicia la computadora para acceder al '0&"
iii. @erificar la fecha y hora del '0&" y re#istrarla en el
formulario de recoleccin de evidencia. y documentar todo tipo de
dato que el $erito +nform)tico orense considere relevante.
iv. 0odificar la unidad de inicio o arranque del sistema
operativo, es decir seleccionar la unidad de disEette, '*FA&0 4 *@* o
!ip.
v. 2uardar los cambios al salir
?. @erificar la existencia de discos '*FA&0 o *@*6
a. 1brir la lectora o #rabadora de '*FA&0 o de *@* y quitar el disco
pertinente
J. 'olocar la unidad de arranque, disEette, '*FA&04*@* o !ip en el
dispositivo de hardIare pertinente
3K. @erificar el inicio desde la unidad seleccionada.
33. 1pa#ar el equipo
37. 1se#urar el dispositivo de almacenamiento secundario ori#inal D
#eneralmente est) confi#urado en el '0&" como 0aster Dmaestro o
primarioF con proteccin de solo lectura, a travs de la confi#uracin de los
jumpers que indique el fabricante del disco o a travs de hardIare
bloqueador de lectura.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3K
39. 'onectar el cable plano al disco r#ido, puede ser +*E o "'"+
3:. 'onectar la alimentacin elctrica del dispositivo de disco r#ido master D
maestro o primarioF
3;. 'onectar el dispositivo que se utilice como destino para hacer la
duplicacin del disco r#ido dubitado como slave Desclavo o secundarioF, ya
sea una controladora "'"+, un disco +*E esclavo o una unidad de cinta, o
cualquier otro hardIare utili!ado para la duplicacin de tama>o superior al
disco ori#inal o dubitado. "i el almacenamiento secundario ori#inal es
demasiado #rande o es un arre#lo de discos, efectuar la copia en cintas.
3<. @erificar que en el dispositivo de arranque seleccionado se encuentren
los controladores del hardIare para la duplicacin, en caso de que sean
requeridos.
3B. Encender la computadora iniciando desde la unidad de arranque
confi#urada en el '0&".
3?. Efectuar la certificacin matem)tica del dispositivo dubitado.
3J. 2uardar el resultado en un dispositivo de almacenamiento
7K. Ae#istrar el resultado en el formulario verificacin de la evidencia
73. *uplicar el dispositivo de los datos con la herramienta de softIare y
hardIare seleccionada.
77. Efectuar, acorde al requerimiento de la pericia una o dos copias de la
evidencia. En el caso de reali!ar dos copias, una se deja en el lu#ar del
hecho, para permitir la continuidad de las actividades, otra copia se utili!a
para el an)lisis en el laboratorio del perito inform)tico forense y el ori#inal
se deja en depsito judicial o si la pericia ha sido solicitada por un
particular, re#istrarlo ante escribano pblico y #uardarlo, se#n lo indicado
por el solicitante de la pericia y el escribano pblico.
79. Efectuar la certificacin matem)tica de la o las copias del dispositivo
dubitado.
7:. 2uardar el resultado #enerado por las copias duplicadas en un dispositivo
de almacenamiento.
7;. Ae#istrar el resultado #enerado por las copias duplicadas en el formulario
de recoleccin de la evidencia.
7<. 1pa#ar el equipo
7B. Aetirar los tornillos de sujecin del dispositivo de disco r#ido
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 33
7?. Aetirar el disco r#ido con cuidado de no da>ar el circuito electrnico.
/ Recolecci"n y registro de e#idencia #irtual
a. Equipo encendido
En el caso de que se deba acceder a un equipo encendido, se debe
considerar la obtencin de los datos en tiempo real y de los dispositivos de
almacenamiento vol)til. Los dispositivos de almacenamiento vol)til de datos
pierden la informacin lue#o de interrumpirse la alimentacin elctrica, es
decir al apa#ar la computadora la informacin almacenada se pierde.
Los datos que se encuentran en el almacenamiento vol)til muestran la
actividad actual del sistema operativo y de las aplicaciones, como por ejemplo6
procesos en el estado de ejecucin, en el estado de listo o bloqueado,
actividad de la impresora .estado, cola de impresin/, conexiones de red
activas, puertos abiertos, .puerto es una estructura a la que los procesos
pueden enviar mensajes o de la que pueden extraer mensajes, para
comunicarse entre s, siempre est) asociado a un proceso o aplicacin, por
consi#uiente slo puede recibir de un puerto un proceso, recursos
compartidos, estado de los dispositivos como discos r#idos, disqueteras,
cintas, unidades pticas.
Los datos vol)tiles est)n presentes en los re#istros de la unidad central
de procesamiento del microprocesador, en la memoria cach, en la memoria
A10 o en la memoria virtual.
'onjunto de tareas a reali!ar en el acceso a los dispositivos de
almacenamiento vol)til6
3. Ejecutar un intrprete de comandos confiable o verificado
matem)ticamente.
7. Ae#istrar la fecha, hora del sistema, !ona horaria.
9. *eterminar quin o quienes se encuentran con una sesin abierta, ya
sea usuarios locales o remotos.
:. Ae#istrar los tiempos de creacin, modificacin y acceso de todos los
archivos.
;. @erificar y re#istrar todos los puertos de comunicacin abiertos.
<. Ae#istrar las aplicaciones relacionadas con los puertos abiertos.
B. Ae#istrar todos los procesos activos.
?. @erificar y re#istrar las conexiones de redes actuales y recientes.
J. Ae#istrar la fecha y hora del sistema
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 37
Procedimiento
3K. @erificar la inte#ridad de los datos.
33. *ocumentar todas las tareas y comandos efectuados durante la
recoleccin.
$osteriormente, en lo posible, se debe reali!ar una recoleccin m)s
detallada de los datos existentes en el almacenamiento vol)til, efectuando las
si#uientes tareas6
3. Examinar y extraer los re#istros de eventos
7. Examinar la base de datos o los mdulos del ncleo del sistema
operativo
9. @erificar la le#itimidad de los comandos del sistema operativo
:. Examinar y extraer los archivos de claves del sistema operativo
;. &btener y examinar los archivos de confi#uracin relevantes del
sistema operativo
<. &btener y examinar la informacin contenida en la memoria A10 del
sistema
En la computadora, con el equipo encendido, acceder al recurso acorde al
orden de volatilidad de la informacin, con las herramientas forenses
almacenadas en disEette o cdFrom y de acceso de solo lectura6
3. Ejecutar un intrprete de comandos le#timo
7. &btener y transferir el listado de comandos utili!ados en la computadora,
antes de la recoleccin de datos.
9. Ae#istrar fecha y hora del sistema
:. Aecolectar, transferir a la estacin forense o medio de recoleccin forense y
documentar
a. echa y hora del sistema
b. 0emoria $rincipal
c. Gsuarios conectados al sistema
d. Ae#istro de modificacin, creacin y tiempos de acceso de todos los
archivos.
e. Listado de puertos abiertos y de aplicaciones escuchando en dichos
puertos.
f. Listado de las aplicaciones asociadas con los puertos abiertos
#. (abla de procesos activos
h. 'onexiones de red actuales o recientes
i. Aecursos compartidos
j. (ablas de ruteo
E. (abla de 1A$
l. Ae#istros de eventos de se#uridad, del sistema, de las aplicaciones,
servicios activos
m. 'onfi#uracin de las polticas de auditoria del sistema operativo
n. Estadsticas del ncleo del sistema operativo
o. 1rchivos de usuarios y contrase>as del sistema operativo
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 39
Procedimiento
p. 1rchivos de confi#uracin relevantes del sistema operativo
q. 1rchivos temporales
r. Enlaces rotos
s. 1rchivos de correo electrnico
t. 1rchivos de nave#acin en +nternet
u. 'ertificacin matem)tica de la inte#ridad de los datos.
v. Listado de los comandos utili!ados en la computadora, durante la
recoleccin de datos.
I. Aecolectar la topolo#a de la red
:. "i es factible, apa#ar el equipo.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3:
b E0uipo apagado
En el caso que el $erito +nform)tico orense efecte la recoleccin de la
evidencia a partir del equipo apa#ado, deber) previamente ase#urarse que el
dispositivo de inicio del equipo no se realice a travs del disco r#ido o
dispositivo de almacenamiento secundario dubitado.
*eber) utili!ar dispositivos de arranque en el modo solo lectura, con
herramientas inform)ticas forenses para reali!ar la deteccin, recoleccin y
re#istro de indicios probatorios.
3. 1pa#ar el equipo desconectando el cable
de alimentacin elctrica
7. Aetirar disEettes, $en*irve, Hip.
9. *escar#ar la propia electricidad est)tica,
tocando al#una parte met)lica y abrir el #abinete
:. *esconectar la interfa! o man#uera de
datos, puede ser +*E o "'"+
;. *esconectar la alimentacin elctrica del
dispositivo de disco r#ido
<. +n#resar al '0&" .'omplementary 0etal
&xide "emiconductor/ o 'onfi#uracin del C+&" ."istema de entrada y
salida de la computadora/6
a. Encender la computadora
b. &primir el conjunto de teclas que se muestra en el monitor cuando se
inicia la computadora para acceder al '0&"
c. @erificar la fecha y hora del '0&" y re#istrarla en el formulario de
recoleccin de evidencia. y documentar todo tipo de dato que el $erito
+nform)tico orense considere relevante y documentarlo con foto#rafa,
filmadora o en la lista de control.
d. 0odificar la unidad de inicio o arranque del sistema operativo, es
decir seleccionar la unidad de disEette, cdFrom4dvd o !ip de solo lectura
con las herramientas inform)ticas forenses.
e. 2uardar los cambios al salir
?. 'olocar la unidad de arranque, disEette, cdFrom4dvd o !ip en el
dispositivo de hardIare pertinente
J. @erificar el inicio desde la unidad seleccionada.
3K. 1pa#ar el equipo
33. 1corde a la decisin del perito inform)tico forense o a lo
solicitado en la requisitoria pericial, se podr) reali!ar el Procedimiento de
duplicaci"n y autenticaci"n de la prueba, explicado anteriormente o
continuar con la lectura del dispositivo ori#inal, confi#urando el mismo con
los jumpers que el fabricante indique como solo lectura o colocando un
dispositivo de hardIare de bloqueo de escritura.
37. 'onectar el cable plano al disco r#ido, puede ser +*E o "'"+
39. 'onectar la alimentacin elctrica del dispositivo de disco r#ido
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3;
Procedimiento
3:. Encender la computadora iniciando desde la unidad de arranque
confi#urada en el '0&".
3;. 'olocar el dispositivo de almacenamiento forense.
3<. Efectuar la certificacin matem)tica del dispositivo dubitado.
3B. 2uardar el resultado en un dispositivo de almacenamiento
forense.
3?. Ae#istrar el resultado en el formulario de recoleccin de la
evidencia.
3J. $or medio del conjunto de herramientas inform)tico forense,
obtener la si#uiente informacin del disco dubitado, documentarla y
almacenarla en dispositivos de almacenamiento forense, para su posterior
an)lisis, ya sea en el lu#ar del hecho o en el laboratorio6
a/ (ipo de "istema &perativo
b/ echa, hora y !ona horaria del "istema &perativo
c/ @ersin del "istema &perativo
d/ 8mero de particiones
e/ (ipo de particiones
f/ Esquema de la tabla de particiones
#/ Listado de todos los nombre de archivos, fecha y hora
h/ Ae#istro del espacio descuidado o desperdiciado.
i. +ncluido el 0CA
ii. +ncluida la tabla de particiones
iii. +ncluida la particin de inicio del sistema y los archivos de comandos
i/ Ae#istro del espacio no asi#nado
j/ Ae#istro del espacio de intercambio
E/ Aecuperacin de archivos eliminados
l/ Csqueda de archivos ocultos con las palabras claves en el6
i. espacio desperdiciado
ii. espacio no asi#nado
iii. espacio de intercambio
iv. 0CA y tabla de particiones
m/Listado de todas las aplicaciones existentes en el sistema
n/ Csqueda de pro#ramas ejecutables sospechosos
o/ +dentificacin de extensiones de archivos sospechosas.
p/ Listado de todos los archivos prote#idos con claves.
q/ Listado del contenido de los archivos de cada usuario en el directorio ra!
y si existen, en los subdirectorios
r/ @erificacin del comportamiento del sistema operativo6
i. +nte#ridad de los comandos
ii. +nte#ridad de los mdulos
iii. 'aptura de pantallas
7K. 2enerar la autenticacin matem)tica de los datos a travs del
al#oritmo de hash al finali!ar la deteccin, recoleccin y re#istro.
73. 'onservar las copias del softIare utili!ado
77. 1pa#ar o dejar funcionando el equipo, esto depender) de la
requisitoria pericial.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3<
4. Procedimiento para el resguardo de la prueba y preparaci"n para su
traslado
3. *isponer, se#n sea el caso, las pruebas obtenidas en una !ona despejada,
para su posterior rotulado y re#istro.
7. Ae#istrar en el formulario de re#istro de la evidencia cada uno de los
elementos dubitados, acorde a lo especificado en dicho formulario y
a#re#ando cualquier otra informacin que considere pertinente el perito
inform)tico forense.
9. $rote#er6
a. en bolsas antiest)ticas los elementos inform)ticos de
almacenamiento secundario, re#istrando6 echa y hora del secuestro,
(ipo, 8ro de serie del elemento si se puede obtener, 'apacidad de
almacenamiento, 1pellido, 8ombre y *8+ del $erito +nform)tico
orense, irma del $erito +nform)tico orense.) R"tulos de E#idencia
b. en bolsas manufacturadas con filamentos de cobre y nquel para
prevenir la interferencia de se>ales inal)mbricas Dcelulares, #ps, etc.F
:. $rote#er con pl)stico y4o con bolsas estriles cualquier otro elemento que
considere relevante el $erito +nform)tico orense y rotularlos con los datos
pertinentes al elemento, 1pellido, 8ombre y *8+ del $erito +nform)tico
orense, irma del $erito +nform)tico orense.
;. Elaborar el acta de secuestro acorde al formulario del Recibo de Efectos
<. 'olocar los elementos identificados y re#istrados en una caja o recipiente
de traslado que ase#ure la suficiente ri#ide!, aislamiento trmico,
electroma#ntico y proteccin para evitar da>os accidentales en el traslado
de los elementos probatorios.
B. (rasladar, en lo posible, los elementos secuestrados reunidos en un nico
recipiente, evitando la confusin, separacin o prdida durante su
almacenamiento posterior.) 'ormulario Cadena de Custodia
. -raslado de la e#idencia de informtica forense
El traslado de la evidencia tendr) como destino el Laboratorio de
+nform)tica orense correspondiente al or#anismo establecido en la
requisitoria pericial. La permanencia en este laboratorio puede ser temporal,
pero ser) necesario mantener la cadena de custodia mientras la prueba sea
anali!ada por las entidades involucradas. 'ormulario de responsables de la
cadena de custodia
1corde a la evolucin del proceso judicial en donde se encuentra
involucrada la prueba de inform)tica forense, la prueba podr) ser
posteriormente entre#ada y res#uardada en un lu#ar o destino especfico para
su res#uardo y depsito final o definitivo.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3B
Procedimiento
In#entario de $ard%are en la Inspecci"n y Reconocimiento &udicial
Id -ipo
,ro de Serie12arca12odelo
Capacidad1+elocidad
Estado 3bser#aciones
3 0onitor
7 (eclado
9 0ouse
: 2abinete
; +mpresora
< Gnidad de Hip
B Gnidad de %a!!
? $en*rive
J ')mara
3K $arlantes
33 *iscos Externos
37 *isco A#ido
39 *isEettes
3: '*FA&0
3; *@*
3< 5ub
3B "Iitch
3? Aouter
3J
'omputadora
$ort)til
7K 0odem
73 $laca de red
77 'elular
79 (elfono
7: G$"
7; +pod
7<
&tros no
especificados
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3?
'ormulario de Registro de e#idencia
3rganismo 'ormulario de registro de e#idencia de la computadora I'-,ro
Caso ,ro &u4gado Lugar y fec(a
Especificaciones de la computadora
2arca
2odelo
,ro de Serie
5aranta
Placa 2adre
2arca12odelo
2icroprocesador
2arca12odelo1+elocidad
2emoria Ram
2emoria Cac(e
6lmacenamiento Secundario, 'i7o y 1o Remo#ible
Cantid
ad
-ipo
!is8etera-C!-R32-
!+!-!isco Rgido-
I!E-SCSI-9S:-;ip-
&a44-Pen!ri#e
2arca12odel
o
+elocidad1
Capacidad
,ro de Serie
6ccesorios y Perif<ricos
Cantid
ad
-ipo
Placa de red,
modem, cmara,
tar7eta de acceso,
impresora, etc
2arca12odel
o
+elocidad1
Capacidad
,ro de Serie
3bser#aciones
Perito Informtico 'orense Lugar 'ec(a
6pellido:
,ombre:
Lega7o ,ro:
!,I:
'irma
6claraci"n6
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 3J
'ormulario de Registro de e#idencia celulares
3rganismo 'ormulario de registro de e#idencia celulares I'-,ro
Caso ,ro &u4gado Lugar y fec(a
Especificaciones del celular
2arca
2odelo
,ro de Serie
5aranta
I2EI
,ro tel<fono
Pro#eedor de enlace
3tro
6lmacenamiento
Cantid
ad
-ipo
2emoria
2arca12odel
o
+elocidad1
Capacidad
,ro de Serie
6ccesorios y Perif<ricos
Cantid
ad
-ipo
2arca12odelo
+elocidad1
Capacidad
,ro de Serie
3bser#aciones
Perito Informtico 'orense Lugar 'ec(a
6pellido:
,ombre:
Lega7o ,ro:
!,I:
'irma
6claraci"n6
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 7K
R"tulos para las e#idencias
,ro
Caso
'ec(a
-ipo
3bser#aciones
'irma
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 73
'ormulario ) Recibo de Efectos =
'ec(a 3rganismo Caso ,ro
!irecci"n Ciudad1Pro#incia -el<fono
Re0uiere Consentimiento
SI ,3
'irma del responsable del
consentimiento
R"tulo
!escripci"n del elemento
,>mero 9nico de
Identificaci"n
2odelo
P1,
S1,
Entrega Conforme
'irma
Recibe Conforme
'irma
*Adjuntar con el formulario de cadena de custodia
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 77
'ormulario para la cadena de custodia
Cadena de Custodia de la E#idencia
,ro Identificaci"n de Caso:
,ro
9nico de
Identificaci"n
9bicaci"n
6ctual
'ec(a
Ra4"n de
traslado
Sitio a
donde se
traslada
3bser#aciones
Entregado por:
'irma y 6claraci"n
Recibido por: 'irma y 6claraci"n
Lugar de dep"sito final de la e#idencia: 'ec(a:
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 79
ormulario de 'adena de 'ustodia de responsables
8ro de +denficacin Gnica del 'aso6
Aesponsable irma y 1claracin echa 5ora
Entre#ado por6
Aecibido por6
Aa!n de traslado6
Aesponsable irma y 1claracin echa 5ora
Entre#ado por6
Aecibido por6
Aa!n de traslado6
Aesponsable irma y 1claracin echa 5ora
Entre#ado por6
Aecibido por6
Aa!n de traslado6
Aesponsable irma y 1claracin echa 5ora
Entre#ado por6
Aecibido por6
Aa!n de traslado6
Aesponsable irma y 1claracin echa 5ora
Entre#ado por6
Aecibido por6
Aa!n de traslado6
Aesponsable irma y 1claracin echa 5ora
Entre#ado por6
Aecibido por6
Aa!n de traslado6
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 7:
6cta de Inspecci"n o secuestro
En la 'iudad 1utnoma de Cuenos 1ires, a los trece das del mes de %unio de 7K39,
el funcionario que suscribe, +nspector 8elson (orres, %efe de la Gnidad de *elitos
+nform)ticos de la $olica 0etropolitana, en cumplimiento de la &rden de
1llanamiento 8L 397439, emitida por el "r. %ue! 8acional de $rimera +nstancia en lo
'riminal de +nstruccin *r. $edro 1chaval, por ante la "ecretara 8L 7, del *r. 1ndrs
1menabar y en relacin con los autos caratulados ,1ndrea 'astaneta, s4+nfraccin a
la Ley 33.B79-, hace constar, que en este acto se constituye en el inmueble sito en la
calle @irrey Loreto ?.<37, piso 9;, *pto 9K;, donde en presencia de los testi#os6
%or#e &mar elman, *8+ M, (EM, EmailM, ddo. en 'ampillay 379, Llavallol, $cia de
Cuenos 1ires y 'armelo 1revalo, *8+M, (EM, EmailM, ddo. en $edro Luro :;3, "an
$edro, $cia de Cuenos 1ires y de la titular del inmueble, 1ndrea 'astaneta, *8+ M, y
procede al secuestro
<
, a fin de ser trasladado a la *ependencia $olicial antes citada,
de un equipo de computacin, compuesto de Gn 2abinete de color ne#ro, identificado
con el 8L de "erie 379:9:;<77F33, cuyo re#istro foto#r)fico se acompa>a a la
presente, un monitor marca @ieI "onic, de 3B pul#adas, color, "erie 33<;<;:, con
su correspondiente teclado marca 0icrosoft "erie ????J???J79: y mouse de tres
botones, de color ne#ro, marca Lo#itech, sin nmero de serie. Nue se procedi a la
apertura del 2abinete precitado y a la desconexin fsica del cable de alimentacin y
del cable de datos del disco r#ido marca "ea#ate, 8L 79:?JKB<;:97, con capacidad
de ?K 2i#abytes, cerr)ndose nuevamente el #abinete, que fue envuelto en film y
precintado con dos franjas de clausura transversales, acorde con la foto#rafa que se
anexa, la que fue firmada por la totalidad de los presentes en el acto. "e inicia en el
mismo acto el correspondiente formulario de cadena de custodia, referido con el
nmero G*+F$0'1C1 37:;439, el que forma parte inte#ral de la presente,
conjuntamente con los referidos re#istros foto#r)ficos. "e deja constancia que la
mencionada 1ndrea 'astaneta, mostr en todo momento una actitud colaborativa
con la comisin policial, facilitando el todo la labor de la misma. (erminado el acto y
leda que fue la presente en alta vo! a los participantes del acto, se ratifican del
contenido de la misma, firmando al pi de la presente para constancia de que
'EA(++'&.

!n "e#e"encia a estos actos tenga en cuenta el co""ecto empleo de los siguientes voca$los:
Expropiar %pa"as. de p"opio&
1. 'esposee" legalmente %de una cosa& a su p"opieta"io po" "a()n de *nte"+s p,$lico.
2. t". -uita" una cosa a su p"opieta"io po" motivos de utilidad p,$lica . a cam$io o#"ece"le gene"almente una indemni(aci)n:
le han exp"opiado una #inca pa"a const"ui" una autopista.
Confiscar
1. /t"i$ui" al #isco %los $ienes de una pe"sona&
2. t". 0"iva" a alguien de sus $ienes . aplica"los a la 1acienda 0,$lica o al Fisco.
3. /p"opia"se las auto"idades competentes de lo implicado en alg,n delito: confiscar mercadera de contrabando.
4. /p"opia"se de algo %po" la #ue"(a, con o sin violencia&.
Secuestrar
1. t". 'etene" . "etene" po" la #ue"(a a una o a va"ias pe"sonas pa"a exigi" dine"o u ot"a cont"ap"estaci)n a cam$io de su
li$e"aci)n: amenazaron con asesinar a los secuestrados, si no liberaban a sus compaeros encarcelados.
2. 2oma" el mando de un veh3culo o nave po" la #ue"(a, "eteniendo a sus pasa4e"os o a su t"ipulaci)n, con el #in de o$tene" un
$ene#icio a cam$io de su "escate: secuestrar un avin.
3. 5"dena" el 4ue( el em$a"go o "eti"ada de la ci"culaci)n de una cosa: secuestrar la edicin de un peridico.
Decomisar t". *ncauta"se el !stado como pena de las me"canc3as p"ocedentes de come"cio ilegal o los inst"umentos del delito:
se ha decomisado un kilo de herona
Incautar(se) %no existe el ve"$o incauta"&: %de in . cautum, multa& Fo"ma p"onominal.
1. 'icho de una auto"idad 4udicial o administ"ativa. 0"iva" a alguien de sus $ienes como consecuencia de la "elaci)n de estos
con un delito, #alta o in#"acci)n administ"ativa. 6uando ha. condena #i"ma se sustitu.e po" la pena acceso"ia de comiso.
2. /pode"a"se a"$it"a"iamente de algo.
Fuente: www."ae.es.
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 7;
$rof.s/ +n#.s/ 0ara Elena *arahu#e y Luis Enrique 1rellano 2on!)le! 7<