En este caso, las cabeceras de correo de un procedimiento penal en Marchena resultaron más elocuentes que cualquier testimonio. Concretamente, un hombre investigado por acoso negaba haber enviado una serie de mensajes intimidatorios. Además, aseguraba que el día del último envío estaba fuera de la provincia. Sin embargo, el análisis técnico permitió contrastar esa versión con datos objetivos.
Los datos de este caso están anonimizados y modificados para proteger la confidencialidad de los clientes y de las partes.
Contexto: las cabeceras de correo del caso de Marchena
La víctima, una profesional autónoma de la comarca, había roto una relación comercial con un antiguo socio. A partir de entonces, empezó a recibir correos desde direcciones distintas. Además, los mensajes eran insistentes, contenían referencias a su domicilio y aludían a sus rutinas diarias.
Tras varias semanas, la clienta presentó denuncia por un posible delito de acoso del artículo 172 ter del Código Penal. Mientras tanto, los mensajes continuaban. Después, el juzgado de instrucción abrió diligencias y citó al investigado, que negó cualquier relación con los envíos.
El encargo de la acusación particular
Con ese panorama, el abogado de la víctima nos pidió analizar los mensajes recibidos. En concreto, quería saber si existían elementos técnicos comunes entre ellos. También necesitaba conocer si las cabeceras de correo de Marchena podían ubicar el origen de los envíos.
Por su parte, el investigado había declarado que, el día del último mensaje, se encontraba en Málaga por trabajo. Por tanto, la coartada dependía de una cuestión técnica: desde dónde se había enviado ese correo concreto.
Retos técnicos
En total, los mensajes procedían de cuatro cuentas distintas, todas creadas con nombres falsos. A primera vista, no había nada que las uniera. Además, tres de ellas pertenecían a un proveedor de correo gratuito que no incluye la IP del usuario en las cabeceras.
La cuarta cuenta, en cambio, era de un proveedor más pequeño. Además, este servicio sí registraba la dirección IP del cliente que entregaba el mensaje al servidor. Por eso, ahí estaba la oportunidad del análisis.
Aun así, una dirección IP no identifica a una persona. En realidad, solo apunta a una conexión en un momento determinado. Para vincularla con un abonado hace falta una resolución judicial dirigida al operador, conforme a la LECrim. Por consiguiente, el perito no puede ni debe dar ese paso por su cuenta.
Metodología aplicada a las cabeceras de correo en Marchena
- Primero, adquirimos los mensajes desde el buzón de la clienta y exportamos cada uno en formato .eml.
- Después, calculamos su hash SHA-256 y documentamos la cadena de custodia.
- A continuación, extrajimos las cabeceras Received, Date, Message-ID y User-Agent de todos los correos.
- Luego, normalizamos todas las horas a UTC para evitar errores por zona horaria o cambio de horario.
- Finalmente, comparamos patrones de redacción técnica, cliente de correo y franjas de envío entre cuentas.
Además, seguimos las pautas de la norma ISO/IEC 27037 en la adquisición. Asimismo, el informe se redactó con la estructura recomendada por la UNE 197010:2015.
Hallazgos: lo que revelaron las cabeceras de correo
En primer lugar, destacaba el cliente de correo. Las cuatro cuentas usaban la misma aplicación de escritorio, con idéntica versión y el mismo idioma configurado. Así, el patrón resultaba poco habitual para cuatro supuestos remitentes independientes.
El segundo hallazgo afectaba al formato del Message-ID. Además, todos los mensajes compartían la misma estructura de identificador, generada por esa aplicación. Por otro lado, las franjas horarias de envío coincidían: casi siempre entre las once y la una de la noche.
Sin embargo, el hallazgo decisivo llegó con la cuarta cuenta. Su primera cabecera Received mostraba la IP pública desde la que se entregó el mensaje. Al consultar los registros públicos de asignación, esa dirección correspondía a un operador de banda ancha fija, no a una red móvil.
Por ello, el informe recomendó solicitar al operador la identidad del abonado de esa IP en la fecha y hora exactas, expresadas en UTC. Así, el abogado lo pidió y el juzgado acordó la diligencia.
Resultado procesal
La respuesta del operador situó la conexión en una vivienda de Marchena vinculada al investigado. Por tanto, la coartada de que estaba en Málaga perdía consistencia, aunque no corresponde al perito decidir quién estaba frente al teclado.
Posteriormente, el perito ratificó el informe ante el juzgado. Además, explicó la normalización horaria y los límites de la atribución por IP. Finalmente, la causa continuó su tramitación con este elemento incorporado al acervo probatorio.
Lecciones de las cabeceras de correo en Marchena para abogados
- No todas las cabeceras de correo contienen la IP del remitente. Todo depende del proveedor y del método de envío.
- Convierta siempre las horas a UTC antes de pedir datos a un operador. De hecho, un error de una hora invalida la respuesta.
- Los patrones técnicos compartidos ayudan a vincular cuentas aparentemente independientes.
- La identificación del abonado exige resolución judicial. Por tanto, el informe pericial prepara y justifica esa petición.
Puede conocer nuestro servicio de peritaje de correo electrónico en Sevilla y el caso del correo falso de un proveedor en Sevilla. El artículo 172 ter puede consultarse en el Código Penal publicado en el BOE.
Preguntas frecuentes sobre cabeceras de correo y el caso de Marchena
¿Las cabeceras de correo de Marchena identificaron directamente al autor?
No. En realidad, las cabeceras aportaron una IP y unos patrones técnicos. Después, la identificación del abonado llegó por orden judicial al operador, como exige la ley.
¿Se pueden falsificar las cabeceras de un correo?
Algunas sí, sobre todo las añadidas por el propio remitente. Sin embargo, las cabeceras Received que añaden los servidores intermedios son mucho más difíciles de alterar. Por eso, el perito distingue unas de otras.
¿Qué hago si recibo correos anónimos como en el caso de las cabeceras de correo de Marchena?
No los borre ni los reenvíe. Conserve el buzón intacto y consulte cuanto antes con un perito, porque los registros de los proveedores tienen plazos limitados de conservación.
Si su despacho necesita analizar cabeceras de correo en Marchena o en otro partido judicial, llámenos al 954 309 240 o escríbanos desde nuestra página de contacto.
