Fecha de publicación: 12/08/2026
Las actualizaciones de sistemas operativos, aplicaciones y software son esenciales para mejorar la seguridad, corregir vulnerabilidades y optimizar el rendimiento de los dispositivos. Sin embargo, cuando un equipo contiene información que podría convertirse en evidencia digital, surge una pregunta importante: ¿una actualización puede modificar información relevante?
La respuesta es sí. Aunque la finalidad de una actualización no es alterar archivos de forma intencional, este proceso puede generar cambios en datos, registros del sistema y metadatos que resultan de gran importancia durante una investigación. Desde la perspectiva de la informática forense, conocer estos efectos permite preservar adecuadamente la evidencia digital y evitar que se comprometa información valiosa.
Uno de los principales efectos de una actualización es la modificación de información asociada al funcionamiento del dispositivo. Durante este proceso pueden actualizarse registros del sistema, archivos temporales, configuraciones, bases de datos internas y otros elementos que documentan la actividad del equipo.
En una investigación de informática forense, estos registros pueden ser relevantes para reconstruir eventos, establecer cronologías o identificar actividades realizadas en un dispositivo. Si una actualización modifica parte de esta información, algunos datos podrían cambiar respecto al estado original del equipo.
Por ello, cuando existe la posibilidad de que un dispositivo contenga evidencia digital, es recomendable evitar acciones que alteren su contenido antes de realizar una adecuada preservación forense.
Muchas personas piensan únicamente en documentos, fotografías o correos electrónicos cuando hablan de información importante. Sin embargo, la evidencia digital incluye muchos otros elementos, como registros de actividad, historial de aplicaciones, archivos de configuración, información de autenticación y datos generados automáticamente por los sistemas.
Dependiendo del tipo de actualización, algunos de estos elementos pueden sobrescribirse, eliminarse, reorganizarse o modificarse como parte del proceso normal de instalación. Incluso
si los archivos principales permanecen intactos, el contexto técnico que ayuda a interpretar la evidencia podría verse afectado.
Por esta razón, en escenarios relacionados con investigaciones internas, incidentes de ciberseguridad, posibles fraudes o procesos judiciales, es recomendable preservar el dispositivo antes de instalar nuevas actualizaciones.
Cuando existe la posibilidad de que un equipo sea utilizado como fuente de evidencia, la prioridad debe ser conservar su estado de la manera más íntegra posible. Esto permite que la información pueda ser analizada posteriormente sin comprometer su autenticidad ni su valor probatorio.
La informática forense emplea metodologías especializadas para preservar, adquirir y analizar evidencia digital minimizando cualquier alteración sobre la información original. Estas buenas prácticas son fundamentales para garantizar la confiabilidad de los hallazgos y mantener la cadena de custodia cuando corresponda.
Actuar antes de realizar actualizaciones, reinstalaciones o cualquier otra modificación del sistema puede marcar una diferencia significativa en la calidad y utilidad de la evidencia digital obtenida.
Una actualización puede modificar información relevante para una investigación, especialmente metadatos, registros del sistema y otros elementos que forman parte de la evidencia digital. Por ello, cuando exista la posibilidad de que un dispositivo contenga información de interés, lo más recomendable es preservar la evidencia antes de intervenir el equipo. En LAFORSE-HG, contamos con el servicio de Preservación de Evidencia Digital, especializado en la preservación, análisis e investigación de evidencia digital, ayudando a organizaciones y profesionales a proteger la información crítica y obtener resultados técnicamente sustentados.
