El mito del código hash
Por Raymond Orta Martínez
Abogado y perito en informática forense
El denominado código hash, técnicamente llamado valor hash o resumen criptográfico, es el resultado de aplicar una función matemática a un conjunto de datos. Un algoritmo como SHA-256 produce una secuencia que permite comprobar si los datos examinados mantienen su identidad binaria respecto de una referencia previamente calculada. Al aplicar el mismo algoritmo a exactamente los mismos datos, se obtiene el mismo resultado; una modificación de estos genera, con altísima probabilidad, un valor diferente. Esta propiedad lo convierte en una herramienta fundamental para verificar la integridad de la evidencia digital. (NIST Publications)
Desde el punto de vista pericial, su importancia es indiscutible. Durante la adquisición y preservación de evidencia, el cálculo oportuno del hash permite establecer una referencia para posteriores verificaciones. Sin embargo, también debe protegerse el registro de ese valor: conservar un archivo junto con un hash que cualquiera pueda sustituir no constituye, por sí solo, un sistema confiable de preservación. El NIST recomienda calcularlo tan cerca de la recolección como sea posible y mantener sus registros bajo condiciones que permitan advertir modificaciones. (NIST Publications)
Las buenas prácticas de adquisición forense también contemplan identificar la fuente, documentar las herramientas utilizadas, registrar las circunstancias de la adquisición, examinar los errores y verificar los datos obtenidos. El hash forma parte de ese conjunto metodológico; no lo reemplaza. Así lo refleja, por ejemplo, la guía de adquisiciones forenses de computadoras del SWGDE, versión 2.1, de agosto de 2025. (SWGDE)
Precisamente porque su función es importante, debemos rechazar su deformación. El hash es esencial como herramienta de control pericial, pero no debe presentarse como una fórmula de validez judicial que el abogado tenga que generar personalmente para poder aportar cualquier evidencia.
El mito no está en la tecnología. Está en atribuirle consecuencias jurídicas que no se desprenden de su funcionamiento ni de las disposiciones procesales invocadas para justificarla.
Lo que demuestra un hash y lo que no demuestra
Un valor hash permite contrastar conjuntos de datos. No determina, por sí solo, quién creó un documento, si una conversación ocurrió realmente, si una fotografía representa un hecho verdadero o si el archivo fue obtenido lícitamente. Tampoco equivale, por sí mismo, a una firma electrónica o a un sello de tiempo. Su función de comprobación de integridad no debe confundirse con la acreditación de autoría, procedencia o veracidad. Esa distinción se deriva del alcance técnico de las funciones hash, destinadas a detectar cambios respecto de los datos tomados como referencia. (NIST)
Pensemos en un ejemplo sencillo. Una persona fabrica una conversación, la convierte en una imagen y calcula su hash. Posteriormente, ese archivo se conserva sin modificaciones. La comparación de valores puede acreditar que la imagen examinada coincide con aquella sobre la cual se realizó el cálculo inicial. Pero no demuestra que la conversación haya existido.
Una falsificación también puede tener un hash correctamente calculado.
Lo mismo sucede cuando la alteración precede al cálculo. El hash obtenido después no reconstruye el estado anterior ni identifica automáticamente lo sucedido antes de establecerse la referencia. El NIST advierte expresamente sobre este problema: la evidencia puede ser modificada antes de calcular su hash, o puede alterarse después y acompañarse de un nuevo valor que sustituya al anterior. (NIST Publications)
Esta limitación permite formular una conclusión práctica: no basta preguntar si un archivo «tiene hash». Debemos preguntar sobre qué objeto se calculó, en qué momento, quién lo hizo, cómo se obtuvo ese objeto y qué referencia confiable permite contrastarlo.
La secuencia de caracteres no explica por sí misma la historia de la evidencia.
La consigna «sin hash no hay prueba válida» es jurídicamente defectuosa
Cuando en redes sociales se presenta el hash como una exigencia universal que debe cumplir el abogado antes de consignar un archivo, se confunden planos distintos: la metodología de adquisición, la preservación, la incorporación procesal y la valoración de la prueba.
Esa confusión merece una crítica severa. No es una simplificación pedagógica inocente. Puede conducir al litigante a creer que basta descargar un archivo, pasarlo por una aplicación y copiar una secuencia de caracteres en su escrito para resolver los problemas de autenticidad, integridad y procedencia.
También puede producir el error inverso: convencerlo de que una evidencia carece necesariamente de utilidad porque llegó a sus manos sin un hash previo.
En nuestro criterio, quien afirme que existe semejante requisito general debe identificar su fundamento normativo y explicar su ámbito de aplicación. No basta mencionar «protocolos internacionales», exhibir una herramienta informática o repetir que la evidencia digital necesita integridad. Una exigencia metodológica dirigida a una actuación técnica no se transforma, sin más, en una carga procesal de ejecución personal para el abogado.
El debate no consiste en escoger entre utilizar o despreciar el hash. Consiste en colocar cada exigencia donde corresponde.
Qué establece el régimen probatorio venezolano
En materia penal, los artículos 181 y 182 del Código Orgánico Procesal Penal regulan la licitud, la incorporación conforme al procedimiento y la libertad de prueba. El artículo 187 impone a los funcionarios colectores el cumplimiento de la cadena de custodia para evitar alteraciones y contaminación. Estas disposiciones no establecen que el abogado deba generar personalmente un hash como condición general para aportar elementos de convicción.
Los artículos 223 y 224 contemplan la experticia cuando se requieren conocimientos especiales y regulan la idoneidad y designación de los peritos. El artículo 287 permite solicitar diligencias de investigación. De allí que, cuando se necesita una adquisición especializada, la respuesta procesal adecuada sea promover su práctica por el cauce correspondiente, no improvisarla desde el despacho profesional.
En materia civil, el artículo 395 del Código de Procedimiento Civil admite los medios previstos legalmente y otros no prohibidos que resulten conducentes, con las reglas correspondientes para su promoción y evacuación. Por su parte, los artículos 451 y 453 distinguen la promoción de la experticia de su ejecución por personas con conocimientos prácticos en la materia. (Suscerte)
El artículo 4 del Decreto con Fuerza de Ley sobre Mensajes de Datos y Firmas Electrónicas reconoce eficacia probatoria a los mensajes de datos y remite su promoción, control, contradicción y evacuación al régimen de las pruebas libres. También regula la eficacia de su reproducción impresa. No condiciona ese reconocimiento a que el abogado haya calculado un hash.
Los artículos 7 y 8 exigen, en los supuestos que regulan, integridad, disponibilidad y condiciones de conservación de la información. No identifican un hash calculado por el litigante como mecanismo único para satisfacer esas exigencias. La integridad es el extremo que debe preservarse y acreditarse; el hash es una herramienta para hacerlo, no la totalidad del régimen jurídico aplicable.
De estas disposiciones no puede extraerse una causal universal de inadmisibilidad consistente en «no acompañar un código hash». Tampoco puede deducirse que cualquier archivo deba aceptarse como auténtico. La incorporación y la valoración requieren examinar el medio concreto, su obtención, su contradicción y las garantías aplicables.
La tesis correcta, por tanto, no es «el hash nunca importa», sino otra mucho más precisa: su ausencia no equivale automáticamente a invalidez, y su presencia tampoco equivale automáticamente a autenticidad o suficiencia probatoria.
La adquisición forense no es una tarea que se adquiere por ser abogado
Debemos distinguir entre recibir un archivo, aportar un documento, identificar una fuente de información y realizar una adquisición forense.
La adquisición forense exige competencia técnica para seleccionar y ejecutar un procedimiento adecuado. La guía de recolección de evidencia digital del SWGDE se refiere a personal designado y capacitado para esa labor; no considera suficiente la mera disponibilidad de una herramienta. Además, advierte que sus recomendaciones no constituyen un manual de formación ni sustituyen los procedimientos de la organización. (SWGDE)
Por ello, la adquisición forense debe encomendarse a peritos o personal técnico especializado y competente, con las autorizaciones y controles que correspondan. No debe asumirla el jurista por su sola condición de abogado.
La precisión es necesaria: esto no significa que un abogado tenga prohibido comprender, calcular o verificar un hash. Tampoco significa que no pueda recibir documentos o poner fuentes de evidencia a disposición de la autoridad. Significa que esas actuaciones no deben confundirse con una adquisición pericial ni presentarse como equivalentes a ella.
El abogado que, además, posea formación y experiencia forenses tendrá que distinguir las funciones que desempeña y observar las reglas de intervención aplicables. Su competencia técnica no procede del título de abogado, sino de una capacitación distinta. En sede civil, precisamente, el artículo 453 exige conocimientos prácticos relativos a la materia de la experticia. (Suscerte)
Saber ejecutar una orden informática no equivale a saber diseñar, documentar y defender una adquisición.
Del mismo modo que conocer la existencia del análisis de ADN no habilita al litigante para recoger y procesar muestras biológicas sin preparación, conocer la función del hash no lo convierte en perito informático.
El peligro de alterar la evidencia al intentar «prepararla»
La manipulación de una fuente digital puede producir cambios que el usuario no advierte. El acceso mediante determinadas herramientas puede modificar registros temporales; una copia ordinaria puede no conservar todos los datos relevantes; y la información útil puede encontrarse en el sistema de archivos, en registros del sistema o en otros elementos distintos del contenido visible. La guía NIST SP 800-86 explica estas diferencias y la necesidad de controlar y documentar las operaciones. (NIST Publications)
Por eso resulta peligrosa la idea de que el abogado debe «preparar» personalmente la evidencia mediante una sucesión de operaciones informáticas aprendidas en una explicación breve.
La intención de ayudar no elimina el riesgo técnico.
Supongamos que el cliente entrega un soporte y el abogado comienza a abrir carpetas, ejecutar programas o reorganizar archivos para localizar lo que considera importante. El problema no se limita a la eventual modificación de un documento: también puede perderse claridad sobre qué recibió, qué operaciones realizó y qué entregó finalmente al experto.
En nuestro criterio, una buena estrategia probatoria debe reducir esas zonas de incertidumbre, no multiplicarlas.
Tampoco existen instrucciones universales de adquisición válidas para cualquier dispositivo. Las guías especializadas distinguen sistemas apagados, sistemas activos, datos volátiles y otras circunstancias. En una adquisición en vivo pueden producirse cambios que deben documentarse; no siempre es técnicamente correcto exigir que todo el sistema conserve un único hash invariable. (SWGDE)
Esta es una razón adicional para no reducir la informática forense a una receta: «copie, calcule y consigne».
El hash de una evidencia incompleta sigue siendo insuficiente
Además de la alteración, existe otro riesgo que debe preocupar al abogado: entregar una representación incompleta creyendo que ha preservado la fuente probatoria.
Imaginemos una controversia contractual en la que se seleccionan tres capturas de una conversación extensa. Se calcula un hash para cada imagen y se conservan cuidadosamente. Sin embargo, las capturas excluyen mensajes anteriores que condicionaban la propuesta y mensajes posteriores que la rectificaban.
La conservación de esas tres imágenes no resuelve la omisión. Los hashes no incorporan lo que quedó fuera ni explican por qué se seleccionaron determinados fragmentos.
En un correo electrónico, el contenido visible tampoco agota necesariamente la información relevante. Los encabezados, los adjuntos y los registros relacionados pueden aportar elementos distintos de lo mostrado en una impresión o captura. La necesidad de examinar varias fuentes y los datos propios de las aplicaciones forma parte del análisis técnico descrito por el NIST. (NIST Publications)
El problema, por tanto, no es únicamente preservar lo que se tiene. Es determinar qué debía obtenerse para responder a la cuestión investigada.
Incluso la verificación mediante hash tiene un alcance delimitado. La guía del SWGDE advierte que verificar los datos adquiridos no significa necesariamente haber leído todos los datos existentes en el soporte: pueden intervenir sectores dañados, áreas inaccesibles u otras limitaciones. Por eso exige revisar los resultados y los errores de adquisición. (SWGDE)
No obstante, tampoco debe confundirse una adquisición suficiente con una extracción indiscriminada. Puede ser técnicamente adecuado realizar una adquisición dirigida, siempre que su alcance resulte justificado y respete la autorización aplicable. Lo reprochable no es toda selección, sino la selección no explicada, insuficiente para el objeto del examen o presentada engañosamente como completa. (SWGDE)
Un archivo puede estar íntegro respecto de sí mismo y ser insuficiente para representar el hecho que se pretende probar.
Lo que debe hacer el abogado
La función del abogado no es competir con el perito en el manejo de herramientas. Es construir una estrategia probatoria que permita formular las preguntas correctas, identificar las fuentes pertinentes y someter los resultados al control correspondiente.
En nuestro criterio, ante una posible evidencia digital, el litigante debe comenzar por aclarar qué recibió, de quién procede, dónde se encuentra la fuente y qué hecho pretende demostrar. A partir de allí podrá determinar qué actuaciones jurídicas y técnicas necesita, en vez de asumir que todo se resuelve con un cálculo criptográfico.
La recomendación profesional es evitar intervenciones innecesarias sobre la fuente y procurar asistencia especializada temprana. Cuando exista riesgo inmediato de pérdida, la preservación preliminar debe documentarse y sus limitaciones deben explicarse. La urgencia no convierte una captura provisional en adquisición forense completa, pero tampoco justifica permanecer inactivo hasta que desaparezca la información.
Al examinar un informe, las preguntas útiles no terminan en «¿cuál es el hash?». Deben alcanzar la fuente, el alcance de la adquisición, las herramientas, las incidencias y la posibilidad de contrastar los resultados. Esos elementos forman parte de la documentación y verificación que contemplan las buenas prácticas periciales. (SWGDE)
La alfabetización tecnológica del abogado es necesaria precisamente para reconocer estas diferencias. No para atribuirse una competencia que no posee.
Menos ritual informático y más rigor probatorio
Debemos rechazar dos simplificaciones igualmente perjudiciales: que el hash lo resuelve todo y que, por no ser un requisito universal de aportación personal del abogado, carece de importancia.
Su función pericial es relevante. Su conversión en un supuesto requisito automático de validez judicial es otra cosa.
La crítica a la divulgación en redes debe centrarse en ese desplazamiento: presentar una operación técnica como si fuera una certificación de autenticidad, trasladar al abogado tareas de adquisición para las cuales puede no estar preparado y ofrecer una seguridad que el procedimiento realizado no permite sostener.
No se protege la prueba enseñando únicamente a obtener una secuencia de caracteres. Se la protege comprendiendo qué debe conservarse, quién está capacitado para intervenir y cómo deben justificarse las conclusiones.
El abogado debe saber qué exigir al perito, no convertirse en perito por haber aprendido a calcular un hash.
En definitiva, el mito del código hash consiste en creer que la integridad de un archivo agota el problema probatorio y que su cálculo sustituye la adquisición especializada. Frente a esa idea, la respuesta debe ser clara: ni el rigor procesal se reemplaza con una aplicación informática ni la competencia pericial se adquiere mediante una receta divulgativa.
La tarea del jurista es aportar y defender la prueba con conocimiento de sus exigencias; no ponerla en riesgo al intentar producir, por su cuenta, una apariencia de validación técnica.