Suplantación de Identidad Digital

¿Qué es la Suplantación de Identidad Digital?

La suplantación de identidad digital (digital impersonation) es el acto malicioso de hacerse pasar por otra persona en entornos digitales, utilizando información personal, credenciales robadas, o técnicas de manipulación para actuar en nombre de la víctima sin su consentimiento.

A diferencia del robo de identidad tradicional, la suplantación digital se centra en usurpar la presencia online de la víctima para realizar acciones específicas: enviar mensajes, acceder a sistemas, realizar transacciones, o dañar la reputación digital.

Técnicas de Suplantación Digital

1. Credential Stuffing y Password Attacks

Ataques de Credenciales Masivos

Método: Usar credenciales filtradas en brechas de datos para acceder a otras cuentas de la víctima.

Fuentes comunes:

• Brechas de datos públicas (HaveIBeenPwned)
• Mercados underground (dark web)
• Ataques de diccionario personalizados
• Ingeniería social dirigida

Ejemplo forense típico:

Usuario víctima: ceo@empresa.invalid
Password reutilizada: Empresa123!

Timeline suplantación:
2025-10-15: Brecha LinkedIn (email + password)
2025-10-22: Login exitoso Office 365 desde Romania  
2025-10-23: Envío emails fraudulentos a empleados
2025-10-24: Transferencia 45.000€ autorizada "por CEO"

2. SIM Swapping y Phone Porting

Transferencia No Autorizada de Número

Proceso: El atacante convence a la operadora para transferir el número de teléfono de la víctima a su tarjeta SIM.

Vectores de ataque:

• Ingeniería social con operadoras
• Documentación falsificada
• Empleados internos comprometidos
• Vulnerabilidades en procesos de verificación

Cadena de suplantación:

Fase 1: Research de la víctima (OSINT)
Fase 2: SIM swap mediante social engineering
Fase 3: Reset passwords usando SMS
Fase 4: Acceso a cuentas críticas (banking, email, crypto)
Fase 5: Explotación financiera o chantaje

3. Account Takeover (ATO)

Toma de Control de Cuentas

4. Deepfakes y Synthetic Media

Suplantación Multimedia

Voice Cloning:

• Basta poco audio de muestra: sistemas de investigación declaran clonar con segundos de grabación. Cuánto hace falta y qué calidad se logra depende del sistema y del contexto; «poco audio» no garantiza que la salida engañe a un análisis forense
• Llamadas telefónicas falsas de directivos
• Mensajes de voz fraudulentos

Deepfake Video:

• Conversaciones falsas en videollamadas
• Contenido comprometedor fabricado
• Autorización visual de transacciones

Text Synthesis:

• IA que imita estilo de escritura
• Emails personalizados masivos
• Mensajes de texto convincentes

Vectores de Suplantación Más Comunes

Email Spoofing Avanzado

Display Name Spoofing

From: "CEO Juan García" <noreply@gmail.com>
Real CEO: CEO Juan García <ceo@empresa.invalid>

Victims ve: CEO Juan García
Pero viene de: Gmail anónimo

Domain Spoofing

Legítimo: ceo@empresa.invalid
Falso: ceo@ernpresa.com (n por m)
Falso: ceo@empresa.co (sin .com)
Falso: ceo@empressa.invalid (doble s)

Email Header Manipulation

Return-Path: <attacker@malicious.com>
From: "CEO Real" <ceo@empresa.invalid>
Reply-To: attacker@temporary-domain.com
X-Originating-IP: 203.0.113.42 (IP de documentación, RFC 5737: en un caso real, comprobar si es nodo de salida de Tor o VPN)

Redes Sociales y Perfiles Falsos

Profile Cloning

1. Recopilación: Fotos, información personal, conexiones
2. Recreación: Perfil idéntico con variaciones mínimas
3. Network Building: Conectar con contactos de la víctima
4. Exploitation: Phishing dirigido, estafas románticas, chantaje

Business Email Compromise (BEC)

Escenario típico:
1. Investigación del organigrama empresarial
2. Compromiso cuenta email de ejecutivo
3. Suplantación para autorizar transferencias
4. Transferencias a cuentas controladas por atacantes
5. Lavado de dinero inmediato

Análisis Forense de Suplantación

Indicadores Técnicos de Suplantación

Análisis de IP y Geolocalización

Análisis de User Agent y Device Fingerprinting

// Login legítimo habitual
{
  "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 Chrome/119.0.0.0",
  "screen_resolution": "1920x1080",
  "timezone": "Europe/Madrid",
  "language": "es-ES",
  "device_fingerprint": "a1b2c3d4e5f6"
}

// Login suplantación detectada  
{
  "user_agent": "Mozilla/5.0 (X11; Linux x86_64) Chrome/91.0.4472.124",
  "screen_resolution": "1366x768",
  "timezone": "Europe/Bucharest", 
  "language": "en-US",
  "device_fingerprint": "x9y8z7w6v5u4"
}

Análisis de Patrones Conductuales

Behavioral Analytics

Typing Patterns (Keystroke Dynamics):

• Velocidad de escritura (WPM)
• Tiempo entre teclas (dwell time)
• Patrones de presión
• Errores tipográficos habituales

Navigation Patterns:

• Secuencia de clicks habitual
• Tiempo en páginas específicas
• Funcionalidades más utilizadas
• Workflows típicos del usuario

Communication Patterns:

• Vocabulario y expresiones típicas
• Estructura de frases características
• Frecuencia de comunicación
• Horarios habituales de actividad

Metodología Forense Completa

Casos Forenses Representativos

Caso 1 (escenario ilustrativo): CEO Fraud en una inmobiliaria

Situación: transferencia autorizada supuestamente por el CEO. Es un escenario construido sobre la tipología para mostrar qué indicios se cruzan; no relata un expediente concreto, y la atribución final (por ejemplo, a un empleado interno) no se deduce por sí sola de los indicadores.

Análisis forense revelado:

Timeline sospechosa:

15:30 - Login Office 365 desde Marbella (IP legítima)
15:45 - CEO sale de oficina (CCTV confirmado)
16:20 - Email enviado autorizando transferencia
16:22 - CEO en restaurante sin wifi (testigos + ubicación móvil)
16:25 - Login desde una IP externa distinta de la habitual
         (si resuelve a un nodo de salida de Tor o a una VPN, la
          geolocalización no dice desde dónde se conectó nadie)
16:30 - Descarga base datos contabilidad

Evidencia técnica:

• Geo-imposibilidad: Marbella → Bucarest en 50 minutos
• Device change: Windows 10 → Linux Ubuntu
• Keyboard layout: Español → Rumano
• Behavioral: Email formal vs. estilo habitual informal del CEO

Conclusión: Suplantación mediante credenciales comprometidas, posible empleado interno colaborando.

Caso 2: Suplantación en Proceso Judicial

Contexto: Abogado denuncia emails falsos enviados “por él” a cliente, comprometiendo estrategia legal.

Evidencia de suplantación:

Email headers analysis:

Received: from mail.temporary-domain.com ([198.51.100.23])
Message-ID: <fake123@temporary-domain.com>
From: "Abogado Real" <abogado@bufete.com>
Reply-To: attacker@protonmail.com
X-Mailer: Anonymous Mailer v2.3

Linguistic analysis:

Email suplantado:
- "Estimado cliente" (nunca usa "estimado")  
- "Le adjunto documentación" (siempre dice "adjunto")
- "Saludos cordiales" (siempre usa "un saludo")
- Ausencia de firma digital habitual

Technical evidence:

• Fallo SPF: el envío no vino de un servidor autorizado para el dominio del sobre (MAIL FROM) — ojo, SPF no valida por sí solo el From visible; hay que comprobar la alineación DMARC
• Sin DKIM: falta la firma del dominio; su ausencia es indicio, no prueba de autoría
• Horario: enviado a las 03:15 (el abogado nunca trabaja de madrugada)
• IP geolocation: Servidor proxy anónimo en Países Bajos

Qué acredita el análisis: que los correos no salieron del servidor autorizado (fallo SPF, con la salvedad de que SPF valida el MAIL FROM, no el From visible; hay que mirar la alineación DMARC), que faltaba la firma DKIM habitual y que el estilo y el horario no encajan. Con eso se sostiene la impugnación de la autenticidad; qué decida el tribunal o un colegio profesional depende del procedimiento.

Caso 3: Insider Trading mediante Suplantación

Situación: Director financiero acusado de filtrar información privilegiada.

Análisis forense:

Accused activities timeline:

2025-09-15 22:30 - Login cuenta corporativa desde casa
2025-09-15 22:33 - Acceso a informes financieros Q3
2025-09-15 22:45 - Email con datos privilegiados enviado
2025-09-16 09:00 - Operaciones bursátiles sospechosas

Defense evidence (suplantación demostrada):

Technical analysis:
- VPN usage: Primera vez usando VPN corporativa desde casa
- SSH keys: Diferentes claves SSH que las habituales
- File access patterns: Acceso directo vs. navegación habitual
- Email metadata: X-Mailer diferente del cliente habitual

Behavioral analysis:
- Working hours: Nunca trabaja después de 20:00
- File organization: Descarga masiva vs. consulta selectiva habitual
- Email style: Técnico frío vs. estilo conversacional típico

Coartada física:

• Location data: Móvil personal en ubicación diferente
• CCTV footage: Grabaciones de cámaras de seguridad vecindario
• Network logs: Su conexión doméstica inactiva durante horas críticas

Qué apunta el análisis: una suplantación mediante credenciales comprometidas, no la actuación del titular. El desenlace de un procedimiento penal lo decide el tribunal; este escenario ilustra qué evidencia orienta esa hipótesis, no relata una sentencia concreta.

Herramientas de Análisis Forense

Análisis de Logs y Metadatos

Microsoft 365 Audit Logs

## Buscar logins anómalos
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) -Operations UserLoggedIn | 
    Where-Object {$_.ClientIP -notlike "192.168.*"} |
    Select-Object CreationDate, UserIds, ClientIP, @{Name="Country";Expression={(Invoke-RestMethod "http://ip-api.com/json/$($_.ClientIP)").country}}

Google Workspace Security Center

## Export audit logs for analysis
gam print admin start 2026-01-01 end 2026-02-01 | 
    grep -E "(login|suspicious)" | 
    awk -F, '{print $1,$2,$15,$16}' > suspicious_logins.csv

Behavioral Analysis Tools

Keystroke Dynamics Analysis

import numpy as np
from scipy import stats

def analyze_typing_patterns(legitimate_samples, suspicious_sample):
    # Dwell time analysis (tiempo tecla presionada)
    legit_dwell = np.array([s.dwell_times for s in legitimate_samples])
    suspect_dwell = np.array(suspicious_sample.dwell_times)
    
    # Statistical test
    t_stat, p_value = stats.ttest_ind(legit_dwell.flatten(), suspect_dwell)
    
    # OJO: un t de Student NO es una similitud acotada, y p<0.05 solo
    # aporta evidencia contra la igualdad de medias bajo los supuestos del
    # test; NO calcula la probabilidad de suplantación ni atribuye autoría.
    # El p-valor es un insumo del análisis, no un veredicto.
    return {
        't_stat': t_stat,
        'p_value': p_value,
        'nota': 'p<0.05 sugiere diferencia de patrones; requiere validación e interpretación pericial'
    }

Linguistic Analysis

# textstat NO expone lexical_diversity; la diversidad léxica viene de otro
# paquete (from lexical_diversity import lex_div as ld). textstat sí ofrece
# flesch_reading_ease. Se usan como textstat.flesch_reading_ease(text).
import textstat
from lexical_diversity import lex_div as ld
import spacy

def analyze_writing_style(legitimate_texts, suspicious_text):
    nlp = spacy.load("es_core_news_sm")
    
    # Legitimate baseline
    baseline_metrics = []
    for text in legitimate_texts:
        doc = nlp(text)
        metrics = {
            'avg_sentence_length': len(text.split()) / len(text.split('.')),
            'lexical_diversity': ld.ttr(ld.flemmatize(text)),
            'readability': textstat.flesch_reading_ease(text),
            'pos_patterns': [(token.pos_, token.tag_) for token in doc]
        }
        baseline_metrics.append(metrics)
    
    # Suspicious text analysis
    suspicious_metrics = analyze_text(suspicious_text)
    
    # Compare patterns
    return compare_writing_patterns(baseline_metrics, suspicious_metrics)

Network Forensics

Packet Analysis for Session Hijacking

## Tshark analysis for suspicious sessions  
tshark -r network_capture.pcap -Y "http.request.method==POST" -T fields \
    -e frame.time -e ip.src -e http.host -e http.user_agent > suspicious_posts.csv

## Detect session token reuse
tshark -r capture.pcap -Y "http.cookie" -T fields \
    -e ip.src -e http.cookie | sort | uniq -c | sort -nr

Tor/VPN Detection

import requests
import json

def check_ip_reputation(ip_address):
    # Check multiple threat intelligence sources
    sources = [
        f"https://api.abuseipdb.com/api/v2/check?ipAddress={ip_address}",
        f"https://api.virustotal.com/vtapi/v2/ip-address/report?apikey=API_KEY&ip={ip_address}"
    ]
    
    reputation_data = {}
    for source in sources:
        response = requests.get(source, headers={'Key': 'API_KEY'})
        reputation_data[source] = response.json()
    
    return reputation_data

Prevención y Contramedidas

Zero Trust Architecture

Continuous Verification

Zero Trust Principles:
- Never trust, always verify
- Assume breach has occurred
- Verify explicitly every access
- Grant minimal access required
- Monitor and log everything

Implementation Example

class IdentityVerificationSystem:
    def verify_user_session(self, user_id, session_data):
        checks = []
        
        # Geographic consistency
        checks.append(self.geo_consistency_check(user_id, session_data.ip))
        
        # Device fingerprinting
        checks.append(self.device_consistency_check(user_id, session_data.fingerprint))
        
        # Behavioral patterns
        checks.append(self.behavioral_analysis(user_id, session_data.behavior))
        
        # Risk scoring
        risk_score = sum(check.risk_score for check in checks)
        
        if risk_score > self.threshold:
            return self.request_additional_verification(user_id)
        
        return True

Advanced Authentication

Adaptive MFA

{
  "adaptive_mfa_rules": [
    {
      "condition": "new_location",
      "action": "require_sms_token"
    },
    {
      "condition": "suspicious_device",
      "action": "require_authenticator_app"
    },
    {
      "condition": "high_risk_action",
      "action": "require_biometric_confirmation"
    }
  ]
}

FIDO2/WebAuthn Implementation

// Registration of security key
async function registerSecurityKey() {
    const publicKeyOptions = {
        // ⚠️ NO usar new Uint8Array(32): son 32 bytes a CERO, un desafío
        // predecible y reutilizable que anula la protección de WebAuthn.
        // El challenge lo genera ALEATORIAMENTE el servidor, lo guarda para
        // la ceremonia y lo verifica al recibir la credencial (W3C WebAuthn L3).
        challenge: challengeFromServer, // Uint8Array aleatorio, generado en el servidor
        rp: { name: "Empresa Segura" },
        user: { id: userId, name: userEmail, displayName: userName },
        pubKeyCredParams: [{ alg: -7, type: "public-key" }],
        authenticatorSelection: {
            authenticatorAttachment: "platform",
            userVerification: "required"
        }
    };
    
    const credential = await navigator.credentials.create({
        publicKey: publicKeyOptions
    });
    
    // Send to server for verification
    return credential;
}

Monitoring and Detection

Real-time Anomaly Detection

class AnomalyDetector:
    def __init__(self):
        self.user_profiles = {}
        self.ml_model = load_trained_model()
    
    def analyze_session(self, user_id, session_data):
        profile = self.user_profiles.get(user_id, self.create_baseline(user_id))
        
        anomalies = []
        
        # Check for geographical anomalies
        if self.geo_distance(profile.typical_locations, session_data.location) > 1000:
            anomalies.append({"type": "geo_anomaly", "severity": "high"})
        
        # Check for timing anomalies  
        if session_data.timestamp not in profile.typical_hours:
            anomalies.append({"type": "time_anomaly", "severity": "medium"})
        
        # ML-based behavioral analysis
        behavior_score = self.ml_model.predict([session_data.behavior_vector])[0]
        if behavior_score < 0.3:
            anomalies.append({"type": "behavior_anomaly", "severity": "high"})
        
        return anomalies

Aspectos Legales y Regulatorios

Tipificación Penal en España

Código Penal - Artículos Aplicables

Art. 401: Usurpación del estado civil

• “El que usurpare el estado civil de otro…” (exige suplantar la identidad de forma global, no un uso puntual del nombre ajeno)
• Pena: 6 meses a 3 años prisión

Art. 197.1: Descubrimiento y revelación de secretos

• “El que para descubrir los secretos o vulnerar la intimidad de otro…”
• Pena: 1 a 4 años prisión + multa

Art. 248: Estafa

• “Cometen estafa los que con ánimo de lucro…”
• Pena: 6 meses a 3 años prisión

Art. 264: Daños informáticos

• El tenor vigente castiga a quien, «sin autorización y de manera grave, borrase, dañase, deteriorase, alterase, suprimiese o hiciese inaccesibles datos informáticos, programas o documentos electrónicos ajenos», cuando «el resultado producido fuera grave».
• Pena: 6 meses a 3 años de prisión

Marco Civil y Administrativo

RGPD y Protección de Datos

• ¿Es una brecha de datos?: solo si encaja en la definición del art. 4.12 RGPD (violación de seguridad que afecta a datos personales). No toda suplantación lo es.
• Notificación a la AEPD: sin dilación indebida y, de ser posible, en 72 horas —salvo que sea improbable que constituya un riesgo (art. 33.1)—.
• Multas: las infracciones de seguridad y notificación (arts. 32-34) están, en general, en el tramo de hasta 10 M€ o el 2 % (art. 83.4), no automáticamente en el de 20 M€/4 %.
• Derechos afectados: imagen, honor, privacidad y protección de datos

Ley de Servicios de Sociedad de la Información (LSSI)

• Responsabilidad de los prestadores: régimen de responsabilidad de la LSSI. Ojo: su antiguo deber de retención de datos (art. 12) está derogado.
• Conservación de datos de tráfico: el plazo de 12 meses lo fija la Ley 25/2007, y solo alcanza a los operadores y a las categorías de datos que ella define, no a cualquier prestador ni a unos «logs de conexión» genéricos.

Jurisprudencia Relevante

El marco aplicable es el precepto: la usurpación del estado civil del art. 401 CP —«El que usurpare el estado civil de otro será castigado con la pena de prisión de seis meses a tres años»— exige suplantar la identidad de forma global, no un uso puntual del nombre ajeno; el uso de credenciales ajenas para operar en su nombre encaja además en el art. 249.1.a) CP cuando produce una transferencia patrimonial, y en el art. 197.1 si supone apoderarse de sus comunicaciones.

Tendencias y Evolución 2026

Nuevas Técnicas de Suplantación

AI-Powered Impersonation

• GPT personalizados: Entrenados con comunicaciones de la víctima
• Behavioral cloning: IA que imita patrones de comportamiento
• Real-time adaptation: Sistemas que aprenden durante la suplantación

Quantum-Safe Impersonation

• Post-quantum cryptography: Preparación para era post-cuántica
• Quantum key distribution: Detección de interceptación cuántica
• Quantum-resistant authentication: Nuevos protocolos seguros

Defensas Emergentes

Continuous Authentication

class ContinuousAuthSystem:
    def monitor_user_session(self, user_id, session_id):
        while session_active(session_id):
            # Biometric verification every 5 minutes
            if time() % 300 == 0:
                biometric_check = self.verify_biometrics(user_id)
                if not biometric_check.valid:
                    self.terminate_session(session_id, "biometric_failure")
            
            # Behavioral monitoring continuous
            behavior = self.capture_behavior(session_id)
            if self.is_anomalous(behavior, user_id):
                self.request_reauth(session_id)
            
            sleep(1)

Blockchain-based Identity

• Self-sovereign identity: Usuario controla su identidad
• Immutable audit trail: Registro inmutable de accesos
• Decentralized verification: Verificación sin punto único de fallo

Herramientas Comerciales Especializadas

Enterprise Solutions

Microsoft Defender for Identity

## El módulo DefenderForIdentity NO tiene Get-MDISecurityAlert. Las alertas
## se consultan por Advanced Hunting: la tabla AlertInfo (unida a AlertEvidence
## por AlertId) en Microsoft Defender XDR. Ejemplo (KQL):
##   AlertInfo | where Category == "IdentityTheft"
##   | join AlertEvidence on AlertId

SailPoint IdentityIQ

-- Detect orphaned accounts (possible impersonation)
SELECT u.name, u.lastLogin, u.manager 
FROM identities u 
WHERE u.lastLogin < DATEADD(month, -6, GETDATE()) 
AND u.correlated = 0;

Open Source Tools

TheHive + Cortex (Threat Intelligence)

{
  "observable_type": "ip",
  "observable_value": "203.0.113.42",
  "analyzers": ["VirusTotal", "AbuseIPDB"],
  "case_template": "Digital_Identity_Impersonation"
}

MISP (Malware Information Sharing Platform)

from pymisp import PyMISP

misp = PyMISP(misp_url, misp_key)

## La API vigente usa MISPEvent + add_event (no misp.new_event, que no está
## documentada). Conviene fijar una versión de PyMISP en el proyecto.
from pymisp import MISPEvent
event = MISPEvent()
event.info = "Digital Identity Impersonation - Case 2026-001"
event.distribution = 0
event.threat_level_id = 2
event.analysis = 1
event = misp.add_event(event)

## Los objetos se añaden con MISPObject + add_object sobre el evento
## (no existen add_email_object / add_ip_object de conveniencia).
## Ver la documentación de PyMISP para construir los objetos "email" e "ip".

Conclusión

La suplantación de identidad digital representa una evolución sofisticada del cibercrimen que explota la confianza inherente en las comunicaciones digitales modernas. Su análisis forense requiere una aproximación multidisciplinar que combine:

• Análisis técnico: Logs, metadatos, patrones de red
• Análisis conductual: Biometría, lingüística, timing patterns
• Correlación temporal: Timeline reconstruction preciso
• Evidencia física: Coartadas, ubicaciones, testigos

Para abogados especializados en derecho digital, dominar estos conceptos es esencial para casos de:

• Disputas laborales: Empleados acusados falsamente
• Competencia desleal: Suplantación para obtener ventajas
• Violaciones de datos: Determinar si hubo compromiso interno
• Fraude empresarial: CEO fraud y BEC attacks
• Daños reputacionales: Comunicaciones falsas dañinas

La evidencia forense de suplantación digital, cuando se obtiene y presenta correctamente, puede ser relevante y a veces determinante en un litigio. Su valoración corresponde al órgano judicial junto con el resto de la prueba (art. 348 LEC): no adquiere «valor probatorio pleno» de forma automática.

El futuro del análisis forense de identidad pasa por la integración de inteligencia artificial, biometría avanzada y sistemas de verificación continua que permitan detectar suplantaciones en tiempo real.

Última actualización: 5 de septiembre de 2026 Categoría: Técnico Código: SID-001