Cómo detectar una firma falsa o un documento manipulado en Perú

Introducción

Una firma cuestionada y un documento manipulado no son el mismo problema. En una revisión técnica conviene separar la identidad o el método de firma, la integridad del archivo y la decisión de aceptación. Un resultado anómalo puede justificar una investigación adicional, pero no demuestra por sí solo que haya existido fraude.

En Perú, la Ley 27269 regula las firmas y certificados digitales y define la firma digital dentro del marco de la criptografía asimétrica. Para un documento peruano con una firma cuestionada, esa referencia ayuda a identificar el método que se está revisando; la conclusión jurídica sobre un caso concreto sigue dependiendo del documento, las partes y las reglas aplicables al acto.

Un proceso de detección útil debería responder cinco preguntas:

1. ¿La copia revisada es exactamente la que se recibió?
2. ¿El firmante, el certificado y el método coinciden con el registro esperado?
3. ¿La firma puede validarse técnicamente y el documento conserva su integridad?
4. ¿Existen diferencias que puedan explicarse sin asumir falsificación o manipulación?
5. ¿Qué evidencia respalda la decisión de aceptar, rechazar o escalar el documento?

El objetivo no es etiquetar automáticamente una firma como “falsa”, sino documentar señales verificables y conservar la evidencia suficiente para que el área legal, de cumplimiento o de seguridad pueda decidir qué hacer.

Nota Sign respalda la firma digital en Perú dentro de flujos locales y transfronterizos. Los equipos pueden reunir el documento, el participante, los eventos y la evidencia técnica en un expediente exportable para su investigación de seguridad, cumplimiento o legal.

Conservar la copia exacta antes de investigar

La revisión debe comenzar con el archivo recibido, sin editarlo, convertirlo ni volverlo a guardar. Si el documento cambia durante la investigación, se pierde una referencia fiable para comparar firmas, certificados e integridad.

Conviene asociar la copia a un identificador interno, la fecha de recepción y, cuando el proceso lo permita, un hash criptográfico. El hash ayuda a demostrar que el archivo analizado posteriormente corresponde a los mismos bytes que se recibieron; no prueba por sí solo quién firmó ni si existió fraude.

El registro del flujo debe conservarse por separado. Si existe información sobre el firmante esperado, el método utilizado, la fecha de firma o el identificador de la transacción, esos datos sirven como referencia para la comparación.

Cuando no exista registro suficiente, el documento no debería clasificarse automáticamente como fraudulento. La falta de evidencia es un motivo para ampliar la revisión, no una prueba de falsificación.

Comparar identidad, certificado y contexto de la firma

El siguiente paso es verificar si la información asociada a la firma coincide con lo que el proceso esperaba. La comparación puede incluir el nombre del firmante, el certificado utilizado, el emisor, el momento de la firma y el identificador del documento o de la transacción.

Una divergencia es una señal que debe explicarse. Por ejemplo, un nombre distinto, un certificado inesperado o una fecha fuera del flujo previsto pueden justificar una revisión adicional. Sin embargo, una diferencia aislada puede deberse a un error de registro, una renovación de certificado, una copia equivocada o una configuración distinta.

Para evitar conclusiones precipitadas, registre cada comprobación como coincidente, divergente o indeterminada y anote la evidencia disponible. La clasificación final debería basarse en el conjunto de señales, no en un único campo.

En el caso de una firma digital peruana, también es importante confirmar que el método analizado corresponde efectivamente a una firma digital y no tratar cualquier imagen de una rúbrica, marca visual o firma electrónica de otro tipo como si fuera el mismo mecanismo técnico.

Verificar la integridad y el estado técnico de la firma

La validación técnica permite comprobar si la firma criptográfica corresponde al contenido protegido y si el archivo presenta cambios posteriores relevantes para el resultado de la firma.

La herramienta utilizada puede mostrar, según su alcance:

• si la firma criptográfica se valida sobre el documento;
• qué certificado está asociado a la firma;
• qué información de vigencia o revocación puede determinarse;
• si existe una cadena de confianza que la herramienta pueda evaluar;
• si se detectan modificaciones posteriores a la firma;
• si existe un sello de tiempo y cuál es su estado, cuando corresponda.

Un cambio de integridad después de la firma es un hallazgo técnico importante, pero debe interpretarse con precisión. Algunas modificaciones pueden invalidar la firma; otras herramientas pueden distinguir cambios permitidos, incrementales o posteriores. Por eso, la evidencia debe conservar el resultado completo de la herramienta, no solo una captura con un mensaje genérico.

Del mismo modo, una firma que no puede validarse no equivale automáticamente a una firma falsificada. El problema también puede estar en el certificado, la cadena de confianza, la disponibilidad de información de revocación, el archivo recibido o la configuración de la herramienta.

Clasificar el hallazgo sin confundir anomalía con fraude

Una lista de detección es más útil cuando clasifica lo observado antes de atribuir una causa. En lugar de reducir todo a “firma falsa” o “documento manipulado”, el revisor puede separar al menos estas categorías:

Esta clasificación evita convertir una anomalía técnica en una acusación de fraude. La expresión “firma falsa” debería reservarse para una conclusión respaldada por evidencia suficiente y por el procedimiento de investigación correspondiente.

Si existen indicios de suplantación, uso indebido de credenciales o alteración intencional, el expediente debe escalarse conforme al proceso interno de seguridad, cumplimiento o asesoría legal.

Registrar la evidencia y decidir por separado

El hallazgo técnico y la decisión del negocio son dos objetos distintos. La lista de detección debería conservar qué se observó; la decisión posterior debería indicar qué hizo la organización con ese resultado.

Un expediente reproducible puede incluir:

• el documento exacto recibido;
• su identificador y, cuando corresponda, su hash;
• el registro del flujo usado para la comparación;
• la herramienta y la fecha de validación;
• los resultados de identidad, certificado e integridad;
• las advertencias o elementos indeterminados;
• la clasificación del hallazgo;
• la evidencia que respalda esa clasificación;
• la decisión de aceptar, rechazar, solicitar una nueva copia o escalar;
• la persona responsable y la fecha de la decisión.

La aceptación no debería depender únicamente de una etiqueta automática de la herramienta. La regla del proceso debe indicar qué resultados son suficientes, cuáles requieren revisión y cuáles impiden aceptar el documento.

De esta manera, una investigación posterior puede reconstruir qué se detectó, qué evidencia existía y por qué se tomó una determinada decisión, sin mezclar la comprobación técnica con una conclusión jurídica o de fraude.

Siguiente paso: define en Nota Sign el conjunto de evidencia que tu equipo necesita exportar cuando una firma deba escalarse.