Investigación
forense informática
en Colombia
Cuando la prueba está dentro de un computador, un celular o un servidor. Adquirimos, preservamos y analizamos la evidencia digital con cadena de custodia, y entregamos un informe forense trazable, con el método explicado y cada hallazgo anclado a su fuente.
Bogotá concentra un tercio del ciberdelito del país
El delito se mudó a los dispositivos y la prueba también. En el primer trimestre de 2026 Colombia registró 19.182 denuncias por delitos informáticos, un 11,6 % más que en el mismo periodo de 2025, según cifras de la Policía Nacional divulgadas por el Ministerio de Defensa. De ellas, 6.222 se presentaron en Bogotá —eran 4.935 el año anterior—: más que Cali, Medellín, Barranquilla y Cartagena juntas. El delito que más creció fue el hurto por medios informáticos, con 10.328 denuncias y un alza del 27,2 %; le siguen el acceso abusivo a sistema informático (3.931), la violación de datos personales (2.538) y la transferencia no consentida de activos (1.047).
El impactoPor qué las primeras horas
deciden todo el caso
Ver los cuatro errores que arruinan la pruebaOcultar
deciden todo el caso
Un equipo que trabajó dentro de las
agencias federales de los Estados Unidos
Homeland Security
of State
FEXTOR es una firma de gestión de riesgo corporativo e investigación. Nuestro equipo trabajó dentro del U.S. Department of Homeland Security y del U.S. Department of State: no es formación recibida, es oficio ejercido en esas agencias. Eso es exactamente lo que traemos a cada caso de informática forense en Colombia —protocolo, disciplina de procedimiento y estándar internacional de manejo de evidencia—, aplicado al marco probatorio colombiano.
No es una credencial decorativa. Es la razón por la que un informe nuestro cita su fuente, distingue el dato comprobado de la inferencia y dice con claridad qué no se pudo verificar. Es la diferencia entre un documento que describe lo que se encontró y uno que resiste un contrainterrogatorio —el de un juez, el de la contraparte o el del técnico que ella contrate.
Tres formas de entrar al caso
No todos los casos empiezan igual: a veces hay que correr a preservar un equipo, a veces hay que analizar lo que ya está asegurado y a veces el incidente sigue ocurriendo mientras hablamos. Cada modalidad tiene un plazo comprometido por escrito.
Aseguramiento y copia forense
Identificamos qué contiene la prueba, la preservamos y hacemos una copia bit a bit del original. Se calcula el hash, se verifica que coincida y queda abierta la cadena de custodia.
- Equipos, celulares y servidores
- Adquisición en sitio
- El original no se toca
Análisis e informe forense
Sobre la copia forense: recuperación de lo eliminado, reconstrucción de la línea de tiempo, correlación entre dispositivos e informe con el método explicado y cada hallazgo con su fuente.
- Recuperación de información
- Línea de tiempo de los hechos
- Método explicado y repetible
Respuesta a incidente
Intrusión activa, ransomware o fuga en curso. Contenemos, preservamos la evidencia volátil antes de que desaparezca y determinamos el alcance real de lo comprometido.
- Contención y aislamiento
- Memoria y registros volátiles
- Alcance de la información expuesta
Qué analizamos en un caso
Ocho frentes de análisis. La evidencia casi nunca está en un solo lugar: lo que el equipo no dice suele decirlo el celular, el registro del servidor o la nube. Lo que no se puede determinar, se dice.
Equipos de cómputo
Windows, macOS y Linux. Copia bit a bit del disco, recuperación de archivos eliminados, historial de conexión de dispositivos USB, rastros de programas ejecutados, documentos abiertos y actividad de navegación, con la fecha y la sesión de usuario de cada hecho.
Teléfonos móviles
Android e iOS. Extracción del contenido disponible según el modelo y el tipo de bloqueo: mensajería, llamadas, contactos, fotografías con sus metadatos, ubicaciones y aplicaciones. Antes de prometer nada evaluamos la viabilidad técnica del equipo concreto.
Correo y nube
Buzones corporativos y servicios en la nube: registros de inicio de sesión, reglas de reenvío automático, descargas masivas y elementos eliminados.
Mensajería
Conversaciones, adjuntos y registros de aplicación, incluidos rastros de mensajes eliminados cuando el dispositivo los conserva.
Servidores y registros
Logs de acceso, autenticaciones fallidas, movimientos de archivos y correlación entre varios sistemas para ubicar el origen del hecho.
Medios extraíbles
Memorias USB, discos externos y respaldos: qué se copió, cuándo y hacia dónde salió la información.
Autenticidad documental
Metadatos de archivos y documentos: autor, fechas reales de creación y edición, y señales de alteración posterior.
Línea de tiempo
Todo lo anterior ordenado en una sola secuencia de hechos, hora a hora, que es lo que finalmente se lee en audiencia.
El laboratorio de informática forense
más moderno de la región
La diferencia entre un hallazgo y una prueba está en el equipo con el que se trabaja. Operamos un laboratorio propio con tecnología de punta: estaciones de adquisición y análisis dedicadas, bloqueadores de escritura por hardware, herramientas de extracción para dispositivos móviles y un entorno de custodia con acceso controlado. Nada sale del laboratorio sin su registro.
Cómo trabajamos un caso, paso a paso
El valor de un informe forense no está en el software que se usa, sino en la trazabilidad: que cada afirmación del informe se pueda seguir hasta el artefacto del que salió, y que ese artefacto se pueda demostrar íntegro desde que se recogió.
Aseguramiento
Se identifica qué contiene la prueba, se aísla y se abre el registro de cadena de custodia.
Adquisición
Copia bit a bit del original con bloqueador de escritura y hash de verificación al cerrar.
Análisis
Se trabaja sobre la copia: recuperación de lo eliminado, artefactos del sistema y correlación.
Informe
Hallazgos, método, herramientas y límites, con la línea de tiempo de los hechos.
Entrega
Explicamos el informe con su equipo y acompañamos técnicamente si el caso avanza.
Qué recibe cuando terminamos
Un informe pensado para dos lectores a la vez: quien tiene que tomar una decisión dentro de la empresa y quien tendrá que sostener esa prueba después, fuera de ella.
Caso FI-2026-0187
9f2c4e7b…a1d38f609f2c4e7b…a1d38f60El hash es la huella digital del dispositivo. Si la del original y la de la copia coinciden, está demostrado que se analizó exactamente lo que se recogió y que nadie lo alteró en el camino.
Así se ve un caso cuando la evidencia se ordena por hora
Caso ilustrativo. Cada hecho del informe se sostiene en un artefacto concreto y en su fuente, y lo que no se puede determinar con esa evidencia se dice.
Qué exige la norma colombiana
La evidencia digital no vale por ser técnica, sino por cómo se obtuvo y cómo se presenta. Estas son las cinco piezas que sostienen un informe forense informático en Colombia.
Un delito con nombre
y una prueba con reglas
La Ley 1273 de 2009 creó en el Código Penal el título de los delitos informáticos: acceso abusivo a sistema informático, interceptación de datos, daño informático, violación de datos personales, hurto por medios informáticos y transferencia no consentida de activos, con penas que llegan a 120 meses de prisión. Denunciar es un paso; poder probarlo es otro, y ahí entra el trabajo forense.
Evaluar la viabilidad de mi casoLaboratorio en Bogotá, adquisición donde esté el equipo
El análisis se hace en el laboratorio, pero la copia forense se toma donde esté el dispositivo: en su oficina, en la planta o en la ciudad donde quedó el equipo. Cuando el caso lo permite, adquirimos en sitio y nos llevamos la copia, no el original, para que la operación no se detenga.
Edificio Torre DC · Spaces Chicó 94
Bogotá, Colombia
Antes de tocar el equipo, llámenos
Cuéntenos qué pasó y qué dispositivos hay de por medio. Le decimos qué se puede recuperar, qué no y qué hay que hacer en las próximas horas para que la prueba no se pierda. Esa primera conversación no se cobra.
Lo que preguntan cuando acaba de pasar
Las dudas que más se repiten en la primera llamada, respondidas sin rodeos y sin prometer lo que no se puede cumplir.
¿Qué es la informática forense y en qué se diferencia de soporte técnico?
¿El informe sirve en un proceso judicial en Colombia?
¿Pueden recuperar archivos, correos o conversaciones borradas?
Es un equipo de la empresa. ¿Puedo revisarlo sin permiso del empleado?
Acabo de detectar el incidente. ¿Qué hago en las primeras horas?
¿Cuánto demora un análisis forense?
¿Se puede analizar un celular bloqueado o con contraseña?
¿Qué es la cadena de custodia y por qué se insiste tanto en ella?
¿Trabajan solo para procesos judiciales o también para casos internos?
El equipo está en otra ciudad. ¿Pueden ir?
Cuando el archivo ya no basta
La evidencia digital rara vez llega sola. Estas son las otras piezas del mismo expediente.