Insider threats: Investigación forense de empleados desleales

“Sabemos que fue él. Pero no tenemos pruebas.”

Es la frase que más escucho cuando una empresa me llama por un caso de empleado desleal. El director general está convencido, RRHH tiene sospechas, el abogado laboralista necesita evidencia sólida… y nadie sabe cómo conseguirla legalmente.

En torno al 18 % de las brechas analizadas tienen un actor interno detrás: el DBIR 2025 de Verizon registra 2.199 brechas con actor interno sobre las 12.063 analizadas —en torno al 18 %—, y dentro de ellas los errores no intencionados superan 2 a 1 al abuso deliberado de privilegios. (Las 12.063 no son un error de las 12.195 brechas confirmadas que el informe declara en su apertura: son las brechas con actor identificado, que es la base de la figura 18 y la única sobre la que ese 18 % significa algo. Las dos cifras están bien y miden cosas distintas.) No hablamos de hackers sofisticados: hablamos de empleados con acceso legítimo que abusan de su posición.

Esta guía está pensada para directores de RRHH, responsables de compliance y abogados laboralistas que necesitan investigar y documentar casos de empleados desleales con validez legal.

Qué es exactamente un insider threat

Un insider threat es cualquier amenaza que proviene de personas con acceso legítimo a los sistemas de la organización. No todos son iguales:

El empleado negligente

No tiene intención maliciosa, pero su descuido causa daños:

• Comparte credenciales con compañeros
• Usa servicios cloud no autorizados para trabajar
• Envía información sensible por email personal
• Pierde dispositivos con datos de la empresa

Es el perfil más frecuente de incidente interno —coherente con que en el DBIR los errores no intencionados superan al abuso deliberado—, aunque el daño suele ser limitado.

El empleado malicioso

Actúa deliberadamente contra los intereses de la empresa:

• Roba información para la competencia
• Sabotea sistemas antes de marcharse
• Filtra datos confidenciales por venganza
• Monta negocio paralelo con recursos de la empresa

Es menos frecuente, pero concentra el mayor daño económico y reputacional.

El empleado comprometido

Sus credenciales han sido robadas o manipuladas:

• Víctima de phishing dirigido
• Chantajeado por terceros externos
• Coaccionado por competidores o criminales

Es el menos frecuente y, a menudo, el más difícil de detectar.

Señales de alerta: cuándo sospechar

En mis investigaciones, estos patrones se repiten:

Indicadores de comportamiento

• Horarios inusuales: accesos a sistemas fuera de jornada laboral
• Volumen anómalo: descargas masivas de archivos
• Cambio de actitud: empleado antes comprometido que se vuelve distante
• Búsqueda de empleo: actividad en LinkedIn, entrevistas, etc.
• Resentimiento visible: conflictos con superiores, quejas sobre la empresa
• Situación económica: problemas financieros conocidos

Indicadores técnicos

• Uso de dispositivos USB no autorizados
• Envío de archivos a correos personales
• Acceso a carpetas fuera de su ámbito habitual
• Instalación de software de sincronización cloud
• Conexiones a VPN personales desde equipos corporativos
• Borrado selectivo de históricos o logs

Marco legal de la investigación interna

Antes de investigar a un empleado, necesitas conocer los límites legales. España tiene un marco específico:

Derechos fundamentales en juego

La investigación interna puede colisionar con:

• Derecho a la intimidad (art. 18.1 CE)
• Secreto de las comunicaciones (art. 18.3 CE)
• Protección de datos personales (RGPD y LOPDGDD)
• Derechos laborales (Estatuto de los Trabajadores)

La doctrina del Tribunal Supremo

El TS ha establecido criterios claros sobre monitorización de empleados:

STS 119/2018, de 8 de febrero (ROJ STS 594/2018 · ECLI:ES:TS:2018:594): la empresa puede monitorizar el uso de medios informáticos si:

• Existe política de uso conocida por el empleado
• Se ha informado de la posibilidad de control
• La monitorización es proporcional al fin legítimo

STS 489/2018, de 23 de octubre (Sala de lo Penal, ROJ STS 3754/2018, texto íntegro): el acceso al correo corporativo es válido si:

• El empleado sabía que el correo era para uso profesional
• Se le informó de que podía ser revisado
• Existen indicios previos de irregularidad

En aquel caso no se cumplían, y el Supremo anuló la sentencia pese a que la empresa había encargado la copia espejo a un perito y con presencia notarial. Dos lecciones para quien monta una investigación interna: el notario y el perito acreditan la integridad de la copia, no la licitud del acceso; y que el equipo sea propiedad de la empresa no basta — el tribunal lo declara «irrelevante», porque «lo importante no es la titularidad real, sino quién sea el usuario».

El papel de la AEPD

La Agencia Española de Protección de Datos ha multado a empresas por investigaciones mal ejecutadas:

• Acceso a correo personal del empleado: multas de hasta 100.000€
• Monitorización sin información previa: sanciones graves
• Conservación excesiva de datos de empleados: infracciones RGPD

Mi recomendación: consulta con abogado laboralista antes de iniciar cualquier investigación.

Cuándo SÍ necesitas investigación forense

No todos los casos de sospecha requieren perito, pero sí estos:

Sospecha de robo de información comercial

Si crees que un empleado está llevándose:

• Base de datos de clientes
• Información de precios y márgenes
• Documentación técnica o patentes
• Estrategias comerciales confidenciales

El análisis forense puede determinar:

• Qué archivos accedió y cuándo
• Si los copió a dispositivos externos
• A qué direcciones los envió
• El alcance exacto de la filtración

Preparación de despido disciplinario

Si vas a despedir por causa grave relacionada con uso indebido de sistemas:

• Necesitas prueba sólida que resista impugnación
• El empleado probablemente demande por despido improcedente
• Sin evidencia forense válida, perderás el juicio
• Si el caso implica fichajes o registros horarios, consulta cómo se utiliza la evidencia digital de fichaje en juicios laborales

Daño ya materializado

Si ya ha ocurrido:

• La competencia tiene información que solo podía salir de dentro
• Han aparecido documentos internos en internet
• Un ex empleado ha montado negocio con vuestros clientes
• Hay sabotaje evidente en sistemas

El peritaje permite:

• Reconstruir qué pasó exactamente
• Identificar al responsable con certeza
• Cuantificar el daño para reclamación
• Generar evidencia para denuncia penal

Cumplimiento normativo

Ciertos sectores tienen obligaciones específicas:

• Sector financiero: MiFID II, compliance bancario
• Sector sanitario: protección de historiales clínicos
• Infraestructuras críticas: NIS2, requisitos de seguridad

Un incidente interno puede requerir investigación forense para demostrar diligencia debida ante reguladores.

Metodología de investigación forense

Mi aproximación a casos de insider threats sigue un protocolo estricto:

Fase 1: Preservación silenciosa

Antes de que el empleado sepa que está siendo investigado:

Sistemas a preservar:

• Logs de acceso a servidores y aplicaciones
• Registros de correo electrónico corporativo
• Actividad en servicios cloud corporativos
• Histórico de conexiones VPN
• Registros de impresión
• Accesos físicos (tarjetas, cámaras)

Lo que NO debes hacer:

• Alertar al empleado de la investigación
• Acceder tú mismo a su equipo o correo
• Modificar configuraciones de sistemas
• Borrar nada “para proteger a la empresa”

Fase 2: Análisis del puesto de trabajo

Con autorización legal adecuada:

Equipo informático:

• Imagen forense del disco duro completo
• Análisis de archivos eliminados (recuperables)
• Histórico de navegación y descargas
• Dispositivos USB conectados
• Software instalado (incluyendo herramientas de limpieza)

Correo electrónico:

• Mensajes enviados y recibidos
• Archivos adjuntos
• Carpetas eliminadas
• Reglas de reenvío configuradas

Servicios cloud:

• Actividad en OneDrive, Google Drive, Dropbox
• Archivos sincronizados externamente
• Comparticiones con terceros

Fase 3: Reconstrucción de la exfiltración

El objetivo es responder:

• Qué: exactamente qué información salió
• Cuándo: fechas y horas precisas
• Cómo: por qué canal (USB, email, cloud, impresión)
• A quién: destino de la información

Escenarios ilustrativos: tipologías del insider

El comercial que se llevó la cartera de clientes

Situación: Comercial estrella dimite y monta empresa competidora. En semanas, varios clientes importantes se van con él.

Investigación: Análisis forense de su equipo corporativo reveló:

• 3 semanas antes de dimitir, conectó USB personal
• Copió la base de datos completa de clientes (47.000 registros)
• Envió emails a su correo personal con información de pricing
• Borró el histórico de navegación (pero quedaban rastros forenses)

Lo que acredita el análisis: la copia de la base de datos a un USB personal y el reenvío del pricing al correo personal, con sus marcas de tiempo. Sobre esa evidencia se sostienen un despido disciplinario y, en su caso, una acción por competencia desleal (Ley 3/1991).

El administrador de sistemas resentido

Situación: Empresa despide a sysadmin por reducción de plantilla. Dos meses después, sufren caída de sistemas y pérdida de datos.

Investigación: El análisis reveló:

• Antes de marcharse, creó cuenta de administrador oculta
• Instaló script programado para ejecutarse 60 días después
• El script borró bases de datos y backups accesibles
• Usó credenciales de la cuenta oculta desde su casa

Lo que acredita el análisis: la cuenta de administrador oculta, el script programado y su ejecución desde una conexión externa. Es la base de una denuncia por daños informáticos (art. 264 CP), cuya pena es de seis meses a tres años.

La directora financiera con doble juego

Situación: Auditoría interna detecta pagos irregulares a proveedores ficticios.

Investigación: El peritaje de su equipo mostró:

• Creación de facturas falsas desde su ordenador
• Emails con terceros coordinando el esquema
• Transferencias desde cuentas que solo ella controlaba
• Intentos de borrado masivo justo antes de la auditoría

Lo que acredita el análisis: las facturas falsas creadas desde su equipo, los correos de coordinación y el intento de borrado previo a la auditoría — la base de un despido disciplinario y de una denuncia por apropiación indebida (art. 253 CP).

Errores que invalidan la investigación

Error 1: Investigar sin base legal

Problema: RRHH accede al correo del empleado “por si acaso”.

Consecuencia: La prueba es nula, la empresa puede ser sancionada por la AEPD, y el empleado gana el juicio por vulneración de derechos fundamentales.

Solución: Tener política de uso de medios informáticos firmada, indicios previos documentados, y asesoramiento legal antes de actuar.

Error 2: Contaminar la evidencia

Problema: El jefe directo “echa un vistazo” al ordenador del sospechoso.

Consecuencia: La defensa impugna la prueba alegando manipulación. Sin cadena de custodia, no hay garantía de integridad.

Solución: Nadie toca el equipo hasta que llegue el perito. Ninguna excepción.

Error 3: Alertar al sospechoso

Problema: Se comenta en la empresa que “están investigando a fulanito”.

Consecuencia: El empleado tiene tiempo de borrar evidencia, destruir dispositivos personales, y preparar su defensa.

Solución: Círculo de conocimiento mínimo. Solo quien necesita saber.

Error 4: Exceso en la investigación

Problema: Como están investigando, aprovechan para revisar a otros empleados “por si acaso”.

Consecuencia: Vulneración de derechos de trabajadores no sospechosos, posibles denuncias colectivas.

Solución: La investigación se limita al sospechoso y a lo estrictamente necesario.

Preparación del despido disciplinario

Si la investigación confirma las sospechas, hay que preparar el despido con cuidado:

Documentación necesaria

1. Informe pericial completo con metodología y conclusiones
2. Timeline de los hechos con fechas y evidencias
3. Cuantificación del daño si es posible
4. Política de uso de medios firmada por el empleado
5. Advertencias previas si las hubo

Carta de despido

Debe incluir:

• Descripción precisa de los hechos
• Calificación jurídica (transgresión buena fe, abuso confianza)
• Referencia a la evidencia obtenida
• Fecha de efectos

Anticipar la impugnación

El empleado probablemente demandará. Prepárate para:

• Ratificación del perito en acto de juicio
• Preguntas sobre la metodología de investigación
• Cuestionamiento de la proporcionalidad
• Alegaciones de vulneración de intimidad

Un buen informe pericial resiste estos embates.

Medidas preventivas: evitar el insider threat

La mejor investigación es la que no necesitas hacer:

Políticas claras

• Uso de medios informáticos: qué pueden y qué no pueden hacer
• Confidencialidad: firmada específicamente
• Propiedad intelectual: todo lo creado es de la empresa
• Información de control: saben que puede haber monitorización

Controles técnicos

• DLP (Data Loss Prevention): alerta de exfiltración de datos
• SIEM: monitorización de comportamientos anómalos
• Control de USB: restricción o registro de dispositivos
• Gestión de identidades: principio de mínimo privilegio

Proceso de offboarding

Cuando un empleado se va (voluntaria o involuntariamente):

• Revocación inmediata de accesos
• Copia forense del equipo antes de reasignar
• Revisión de actividad de las últimas semanas
• Entrevista de salida documentada

Coste vs. beneficio de la investigación forense

Seamos prácticos:

Coste de investigación forense:

• Análisis de un puesto de trabajo: 1.500-3.000€
• Investigación completa (varios sistemas): 3.000-8.000€
• Informe pericial para juicio: 2.000-4.000€
• Ratificación en juicio: 400-800€/sesión

Coste de no investigar correctamente:

• Despido declarado improcedente: indemnización legal + salarios tramitación
• Sanción AEPD por investigación ilegal: 10.000-100.000€
• Pérdida del juicio por falta de pruebas: legitimación del empleado
• Daño reputacional: incalculable

Coste del insider threat no detectado:

• Pérdida de clientes: variable (he visto casos de millones)
• Filtración a competencia: ventaja competitiva perdida
• Sabotaje de sistemas: costes de recuperación
• Responsabilidad ante terceros: si se filtran sus datos

La investigación forense profesional no es un gasto, es un seguro.

Conclusión: actuar con método y con derecho

Los insider threats son una realidad en todas las organizaciones. No es cuestión de si te pasará, sino de cuándo y cómo responderás.

Mi recomendación basada en años de experiencia:

Para RRHH:

• Ten políticas claras ANTES de que pase algo
• Forma a los mandos en detección de señales de alerta
• No actúes solo: coordina con legal y con expertos
• Documenta todo desde el primer indicio

Para compliance:

• El insider threat es un riesgo que debes tener mapeado
• Los controles técnicos deben estar en tu plan de seguridad
• La respuesta a incidentes debe incluir escenario interno
• La formación de empleados es tu primera línea de defensa

Para abogados laboralistas:

• Involucra al perito desde el principio, no al final
• No dejes que el cliente investigue por su cuenta
• La validez de la prueba se juega antes del despido
• Prepara la defensa de la investigación, no solo del despido

El empleado desleal cuenta con que no podrás demostrarlo. Demuéstrale que se equivoca.

Artículo actualizado el 3 febrero 2026 basado en jurisprudencia del Tribunal Supremo, criterios de la AEPD y mi experiencia en investigaciones corporativas.

Referencias y fuentes

• STS 119/2018, de 8 de febrero (ROJ STS 594/2018 · ECLI:ES:TS:2018:594) — Criterios sobre monitorización de medios informáticos de empleados
• STS 489/2018, de 23 de octubre, Sala de lo Penal (ponente Antonio del Moral García, rec. 1674/2017 — ROJ STS 3754/2018 · ECLI:ES:TS:2018:3754) — facultades de supervisión del empresario y nulidad de pruebas personales
• AEPD — Agencia Española de Protección de Datos — Criterios y sanciones sobre investigaciones internas en el ámbito laboral
• Reglamento General de Protección de Datos (UE) 2016/679 (RGPD) y LOPDGDD — Marco de protección de datos personales en investigaciones internas
• Constitución Española — Artículos 18.1 (intimidad) y 18.3 (secreto de comunicaciones)
• Estatuto de los Trabajadores — Derechos laborales y régimen disciplinario
• Directiva NIS2 (UE) 2022/2555 — Requisitos de seguridad para infraestructuras críticas
• Directiva MiFID II — Obligaciones de compliance en el sector financiero