Thread by @PDuchement

Lola tiene 12 años, perfiles activos en las redes y una amenaza (plagada de fotos suyas) en el buzón de entrada de su correo:

“Esta eres tú desnuda, pXXa. Responde con un vídeo tocándote o lo publicaré”.

Tenemos nuevo #CasoDeInformáticaForense.

¿Cómo creéis que me llega este caso?

Pues tenéis razón. Privado pre-denuncia.
Quieren pruebas con las que sustentar diligencias.
La familia de Lola (su madre biológica y su padrastro) llevaban días notando a la pequeña diferente: menos trato, un aviso de los profes sobre bajo rendimiento, irritabilidad…

Finalmente, una conversación entre Carmen (su madre) y la peque arroja luz:

La chica ha recibido la amenaza y está aterrada porque el contenido que posee el agresor es real.

Es entonces cuando Carmen descubre que su hija lleva más de 2 años (¿desde los 10?) Practicando esporádicamente sexting con dos “relaciones” digitales que ha mantenido. Dos “buenos chavales”, uno hace más, el último, reciente y en vigor.

Carmen conoce la iniciativa #CiberProtecter y acude a mí sin pensárselo.

pduchement.org/ciberprotecter/

La iniciativa puede hacerse cargo de su caso por tratarse de una menor, por no disponer de suficientes recursos para contratar a un forense informático y gracias a mis mecenas, a quien Carmen y yo estaremos eternamente agradecidos 🥰

patreon.com/pduchement

Acepto el caso.

Antes de continuar, como hay mucho nuevo lector, voy a lanzar la advertencia habitual:
Los casos están novelados y algunos datos omitidos, agregados, alterados. Por dos motivos: 1º para evitar que se identifique al caso o a los poetas (no se llaman Carmen y Lola)

2º hay datos técnicos que las personas con alto nivel de conocimiento verán extraños o incoherentes. Cuando la divulgación requiere publicar métodos de investigación del gremio, los ofusco. Supongo que entenderéis que no es bueno tuitear ante los malos cómo los pillamos 😉

Si veis algo raro, es el fruto de una licencia de escritor que me tomo. Como dicen en los Simpsons: “eso lo hizo un mago”. Lo mejor es leer el hilo como una narración ficticia basada en hechos reales.

Fase de investigación:

Carmen y yo nos encontramos. Lleva su portátil y desde allí accede al correo de Lola.

Me muestra la amenaza. Terrible leer ese insulto a una niña y terrible la sensación de extorsión.

Carmen se dispone a hacer scroll para mostrarme las fotos.

Le pido que no.

De verdad… que no puedo. Ese día no.

Vengo de un caso peor (del que nunca obtendré consentimiento para hablar) y no me veo capaz.

Saco mi propio equipo. Nos logeamos desde él. Pillo la cabeceras del correo y los datos ocultos son registrados. Ya tengo mi guitas de pan que seguir.
A continuación, pido a Carmen

Que descargue todas las fotos de Lola en una carpeta que pongo bajo cadena de custodia con un timestamp procedente del Ministerio.
Paso los archivos por la aplicación de metadatos y registro los resultados.
Tranquilizó a Carmen: el 80% de los sextorsionadores no cumplen amenaza.

Vamos al laboratorio.

¿Qué hago primero?

Vamos entonces a los metadatos.

Lo que más me sorprende es que HAYAN datos originales.

Eso significa que podemos descartar docenas de métodos de envío de archivos que los trastocan o incluso borran.

Hay otro dato curioso:

Los metadatos indican que el móvil de Lola es iPhone.

Sobre la cantidad, calidad y ventana de tiempo de los archivos generados (que no son datos importantes para seguir el hilo, pero sí curiosos e interesantes), dejo la información solo para mis mecenas, para agradecerles que me permitan seguir ayudando🥰🥰

patreon.com/posts/expedien…

El caso es que ahora tengo dudas. ¿Cómo hizo llegar Lola sus nudes a sus supuestas ciberparejas?

¿Qué hago?

Sé que os parece lo más lógico hablar con Lola, pero es delicado:
Lo está pasando muy mal, tiene miedo, ha sido chantajeada (probablemente por alguien en quien confía)… aparecer y hablar con ella va a ser psicológicamente duro para ella. Si lo hago, debo procurar ir

con toda la información posible para no necesitar segundas entrevistas. Mejor… sigamos las cabeceras primero.

Analizo, trazo… obtengo IP de origen.

¿Qué hago con ella?

Y, mientras esperamos la respuestas de la encuesta, voy a recomendaros este libro, cuyos beneficios se destinan a ayudar a peques como Lola 😊

amzn.to/30Y9V2j

Aquí habéis dado en el clavo: no puedo solicitar orden porque no hay Juez de por medio. La búsqueda por mi cuenta puede viciar (y poner en tela de juicio) pruebas válidas del caso. Así que certifico el dato (muy importante para la Policía Judicial una vez se denuncie) y…

Llega el momento de hablar con Lola.

Preparamos mucho la charla su madre y yo.
Debe ser un ambiente aséptico, que no haya ni asomo de reproche, con confianza y centrado SOLO en conseguir datos de las fotos.
El padrastro decide no estar presente por miedo a perder los nervios con la niña.

La madre insiste en que veamos juntos las imágenes.
Creo que puede ser contraproducente para Lola, pero es cierto que puede aportar mucho.
Me pliego a su voluntad.

¿Qué opináis?

Llega el momento. Me presento y dirijo mucho la reunión. La madre está a su lado, con su portátil y las fotos de Lola preparadas. Le digo que, de lo que ahora mismo es prioritario (que es el chantaje) ella no tiene culpa, que buscamos localizar al tipo y no responsabilizarla

(De la parte didáctica de aprender del escarmiento, es algo de lo que encargarse cuando no hayan otras prioridades). Dejamos claro que vamos a ver juntos el material no para culparla, sino para descubrir pistas. Que le voy a hacer unas preguntas y que debe decirme

la verdad aunque le de vergüenza, porque a mí sólo me interesa encontrar al agresor y a su madre solo le preocupa, ahora mismo, lo mismo.

Empiezo a preguntarle por sus ciberparejas y los medios por los que los contactaba.
Nunca recibe reproche ni reacción, así que la niña va confiando poco a poco.
La madre, debidamente asesorada, no dice ni mú salvo para precisar datos de fechas. Eso ayuda mucho.

Lo que Lola me está contando vale oro, porque…

Pues resulta que, como era de esperar, de las conversaciones con sus “rollos” (así los llama) detecto multitud de técnicas grooming que encienden las alarmas. Tienen pinta de ser adultos de la peor clase.
Pero no solo eso: las redes de contacto que usa machacan metadatos 🤷🏼‍♂️

Entonces…

¿Cómo es posible que el agresor disponga de archivos originales?

Intervenir un iPhone está mucho más allá del típico groomer.
Empiezo a temblar.
Aquí es donde se va a demostrar que el instinto de Carmen fue buena idea.
Accedemos al material con el que la chantajean.
Las vemos juntos (Carmen le dice que soy “como un médico”, que no debe darle

vergüenza que vea esas imágenes porque soy un profesional y que yo solo busco pruebas, unos y ceros. Ojalá todas las madres fueran así de certeras ante estas situaciones).

Pido a la chica que me señale cuáles ha mandado al primer groomer (ya está Cleo que no podemos hablar de “su primer noviete online) y cuáles al segundo. Ella las va catalogando.
Es una estrategia:

Busco…

*está claro. Disculpen el autocorrector y la mala vista.

Hay 5 fotos que Lola asegura no haber mandado. De hecho, no es que no recuerde haberlo hecho, si no que está convencida de haberlas descartado.
Visualizar el contenido ha sido un acierto: hay fotos hechas consecutivas, y las hay con poses y gestos más trabajados que otras.

La pequeña habría seleccionado solo “las mejores” antes de mandar las otras más parecidas, pero en las que salía mirando a otro lado o con la cámara torcida.
No.
Esta “colección” es… obsesiva. El coleccionista no quiere “lo mejor”. Lo quiere todo.
Entonces, una frase me taladra.

[Jorge es la identidad de su primer groomer]

“Esta, en la que me olvidé de quitarme el lacito del pelo, no solo no la mandé. La borré según me la hice, porque me daba vergüenza que me lo viera Jorge”.

-Acceso a archivos originales.
-Acceso a la papelera.
-Un iPhone.

Las palabras de la pregunta que le hice a Carmen salieron de mi boca presas del pánico:

-¿De quién es la cuenta de apple que tiene tu hija configurada en el móvil para poder utilizarlo?

-No lo sé. Su padrastro es el que entiende de esas cosas y él fue quien se encargó de ponerlo a funcionar cuando se lo compramos.

Reconozco que la mano me tembló cuando le pedí el teléfono y entré en sus opciones de configuración. La cuenta de iCloud era la del marido de Carmen.
Toda foto o vídeo que se tomaba desde aquel dispositivo, se duplicaba en su biblioteca.

Incluso las borradas.

Carmen y Lola no durmieron aquella noche en su casa.

Y ninguna de las noches siguientes durante lo que duró un juicio largo y asqueroso.

El móvil de Lola fue entregado como evidencia, junto a mi informe pericial.
Quedaba demostrado que el material que Lola había difundido, estaba en manos de dos depredadores sexuales infantiles que, a saber qué habrían hecho con él. Pero también era evidente que el sextorsionador

había tenido acceso al carrete de Lola con archivos originales. La IP que les entregué, junto con estas indicaciones, confirmaron la peor de las posibilidades:

El padrastro de Lola tenía una colección propia de todos las fotos y vídeos sexuales que generaba la niña por propia voluntad, las compartiese o no, las enviase o no.
Pero quería más y, utilizando un correo abierto solo para esto, decidió chantajearla para aumentar la “colección”

Por desgracia para él, al crearse el correo fake lo vinculó con el suyo real por un paso automatizado (no daré más datos, que sigan cometiendo ese error y los seguiremos pillando).

Incluso si no hubiera sido así, el informe ya había llevado a la Policía Judicial frente al portátil del padrastro, en donde encontraron, no solo las fotos intervenidas, sino más material.

Lo cual incluía fotos echas a la niña mientras dormía.

Afortunadamente, nunca le puso un dedo encima (aunque Carmen hoy en día sigue fustigándose al recordar la cantidad de veces que la ayudó a vestirla o a bañarla).

Si quieres echarme una mano para poder afrontar más casos como este, te ruego que te hagas mecenas, o compres el libro, o… si no te lo puedes permitir, hagas un donativo puntual por pequeño que sea aquí:
pduchement.org/donaciones/

Por otro lado, si necesitas ayuda, no dejes de pedírmela:

pduchement.org/ciberprotecter/

Ciber Protecter: primero, conoce; después, defiende.

Moraleja: cuidado de en quién depositáis la custodia de los controles paténtales, a ver si vais a acabar poniendo al zorro a cuidar de las gallinas.

⚠️Evidencias localizadas
⚠️Pruebas certificadas
⚠️informe pericial concluido
⚠️¡Caso cerrado!

Después hay gente que se sorprende cuando digo que hago terapia psicológica preventiva…

En nuestra primera reunión, le di la mano a ese tipo mientras nos presentaba una Carmen con lágrimas en los ojos, que me daba las gracias por ir a ayudar a su pequeña.

LE DI LA MANO.

Intenté tranquilizarle durante media hora porque entendí que su nerviosismo se debía a que alguien había atentado contra su niña.

¿Es o no es como para necesitar ayuda? ¿Cómo lidiar con eso?

¡Que lo estuve consolando!

*hechas