Trazabilidad de IPs

¿Qué es la Trazabilidad de IPs?

La trazabilidad de IPs es el proceso de investigación que permite identificar el origen de una conexión a internet a partir de su dirección IP. En casos de ciberdelitos, fraudes online, amenazas o acoso digital, rastrear la IP puede llevar a identificar al responsable.

Clientes que reciben amenazas, empresas atacadas o víctimas de estafas llegan al peritaje con la misma pregunta: quién está detrás. La realidad es que la trazabilidad tiene posibilidades y limitaciones que conviene entender.

Qué Información Proporciona una IP

Datos Públicamente Accesibles

Sin necesidad de requerimientos legales, una IP revela:

No hay un porcentaje de acierto que valga para todos los casos, y conviene desconfiar de quien lo dé. La propia herramienta de comparación de MaxMind publica sus cifras por producto y país, y para España su base de ciudad sitúa un 58 % de las direcciones dentro de un radio de 50 km, un 23 % en una ciudad fuera de ese radio y un 19 % sin dato de ciudad — además de advertir de que no garantiza la precisión futura. La precisión depende de la base, de su fecha, del tipo de dirección y de cómo se mida el acierto: en un dictamen se cita la base concreta y su versión, nunca un porcentaje redondo.

Datos que Requieren Orden Judicial

Para identificar al usuario concreto:

Los datos de la tabla son los que enumeran los arts. 3 y siguientes de la Ley 25/2007: nombre y dirección del abonado, la IP asignada y el momento en que se asignó. No incluyen la dirección MAC del router del abonado, que el operador no tiene obligación de conservar y que en la práctica no forma parte de lo que se cede: pedirla en un requerimiento es una vía muerta que además delata desconocimiento del marco.

Proceso de Trazabilidad

Herramientas de Análisis Inicial

Consulta de Geolocalización

El bloque siguiente es una consulta real, reproducible ahora mismo: el rango es el que la base de datos de RIPE devuelve hoy para esa dirección. Conviene ejecutarla, no copiarla: las asignaciones cambian, y una salida transcrita de memoria en un dictamen es exactamente lo que la contraparte comprueba primero.

## Consulta directa a los registros regionales (RIPE NCC para Europa)
$ whois 83.45.0.0
% Information related to '83.44.0.0 - 83.45.255.255'
inetnum:        83.44.0.0 - 83.45.255.255
netname:        RIMA
descr:          Telefonica de Espana SAU
descr:          Red de servicios IP
country:        ES
status:         ASSIGNED PA

$ geoiplookup 83.44.0.0
GeoIP Country Edition: ES, Spain

## Y una advertencia sobre el enmascarado: una IP escrita 83.45.xxx.xxx NO es consultable.
## Para el dictamen se conserva la dirección completa en el anexo y se enmascara en el cuerpo;
## lo que nunca puede hacerse es publicar como salida de una consulta algo que no se ejecutó.

Bases de Datos y Servicios

Análisis de ASN

El ASN (Autonomous System Number) identifica la red a la que pertenece la IP:

IP: 83.44.0.0
ASN: AS3352
Nombre: Telefonica_de_EspaNa
País: España

El RFC 4271 define un sistema autónomo como un conjunto de routers bajo una administración técnica común. Eso es lo que el ASN identifica: la red y su operador.

Lo que el ASN no dice es si esa dirección concreta está detrás de una conexión doméstica, de una empresa, de un centro de datos o de una VPN. El registro no lo clasifica, y un mismo AS de un operador grande cubre a la vez abonados residenciales, empresas y servicios. Esa inferencia hay que sostenerla con otra cosa —el rango concreto, los registros del propio operador, el comportamiento observado— y decir en qué se apoya.

Obstáculos a la Trazabilidad

VPN Comerciales

Lo que determina si una VPN puede romperse en una investigación no admite una tabla de grados: depende de qué datos conserve realmente ese proveedor, de su política y de su jurisdicción, del cauce legal disponible y de qué otra evidencia haya en el caso —pagos, correo de registro, huella del navegador, un fallo de configuración—. La Comisión Federal de Comercio estadounidense lo resume en el punto que importa: una VPN no vuelve anónimo al usuario, traslada la confianza al proveedor, que puede recopilar o compartir información según su propia política.

Red Tor

Tor enruta el tráfico por múltiples nodos, ocultando la IP de origen:

Usuario → Nodo entrada → Nodo medio → Nodo salida → Destino
          (Conocido)      (Oculto)      (Visible)

La trazabilidad directa es extremadamente difícil. Sin embargo:

• Errores del usuario (revelar IP real accidentalmente)
• Correlación temporal de tráfico
• Análisis de patrones de comportamiento

IP Dinámica

Los ISP residenciales en España usan mayoritariamente IP dinámica:

• La IP cambia periódicamente (reinicio de router, renovación DHCP)
• El ISP registra qué IP tenía cada cliente en cada momento
• Fundamental especificar fecha y hora exacta en el requerimiento

CG-NAT (Carrier-Grade NAT)

Muchas conexiones móviles y algunas fijas comparten IP pública:

Usuario A ─┐
Usuario B ─┼── NAT del operador ─── IP pública compartida
Usuario C ─┘

Esto dificulta la identificación porque múltiples usuarios tienen la misma IP pública. El operador debe proporcionar registros adicionales (puerto de origen, timestamp preciso).

Caso Práctico: Amenazas por Email

Análisis de Cabeceras

Extraje la IP de las cabeceras del email:

Received: from mail-oi1-f172.google.com (mail-oi1-f172.google.com [209.85.167.172])
Received: from [83.45.xxx.xxx] by smtp.gmail.com

Esa es la IP que el servidor de Google observó en ese salto. El RFC 5321 obliga al servidor SMTP que recibe una conexión a insertar la línea Received con el host o la IP que ve, y eso es exactamente lo que acredita: un salto. No acredita quién estaba delante del teclado, ni descarta que sea un proxy, una VPN, una máquina comprometida o una cabecera insertada aguas arriba, que son las cuatro hipótesis que hay que ir cerrando antes de atribuir nada.

Trazabilidad Inicial

IP: 83.45.xxx.xxx
País: España
ISP: Telefónica (Movistar)
Tipo: Conexión residencial
Geolocalización: Valencia (±50km)

Requerimiento Judicial

Con la denuncia interpuesta, se solicitó a Movistar:

• Titular de la línea con esa IP el día y hora específicos
• Dirección postal de la instalación
• Datos de facturación

Qué se puede concluir, y qué no

Si el operador atiende el requerimiento, lo que entrega es el titular del contrato al que esa IP estaba asignada en ese momento. Eso no es todavía el autor: en una conexión doméstica o en una red wifi compartida, entre el titular de la línea y quien escribió el correo hay un salto que la trazabilidad no cubre. El TJUE lo dejó dicho en el asunto Breyer desde el otro lado: una IP dinámica no revela por sí sola la identidad, y solo es dato personal cuando existen medios legales para llegar a ella.

Cerrar esa distancia es trabajo aparte —quién tenía acceso al equipo y a la red, qué otros artefactos apuntan en la misma dirección— y es la parte que un dictamen honesto declara como límite en vez de dar por resuelta.

Marco Legal en España

Obtención de Datos del ISP

Para que un ISP proporcione datos del titular:

1. Proceso penal: los arts. 588 ter j y k LECrim prevén la autorización judicial y el requerimiento al prestador de los datos identificativos vinculados a una IP.
2. Proceso civil: las diligencias preliminares del art. 256 LEC no son una vía general para cualquier litigio. Los supuestos que permiten pedir datos a un prestador están tasados y ligados, entre otros, a infracciones de propiedad industrial e intelectual, con límites propios. Fuera de ellos no hay atajo civil.
3. Investigación policial: con la autorización judicial que exija la medida.

Retención de Datos

Lo que hay es el plazo legal. Cuánto conserva de hecho cada operador, y de qué, no es un dato publicado de forma uniforme y mezcla categorías con bases jurídicas distintas: no conviene dar por seguro ningún «período típico».

De ahí la única recomendación que se sostiene: preservar y solicitar los datos sin demora, porque su disponibilidad depende del dato concreto, del plazo legal y de las políticas aplicables, y ninguna de las tres se conoce hasta que se pregunta.

Validez Probatoria

Un dictamen de trazabilidad se aporta al proceso y el tribunal lo valora conforme a las reglas de la sana crítica (art. 348 LEC). Ninguna metodología, por cuidada que sea, compra una «plena validez»: lo que estos cuatro elementos hacen es que el dictamen aguante que lo comprueben.

• Se documenta la metodología empleada
• Se preservan las evidencias originales (logs, cabeceras)
• Se mantiene la cadena de custodia
• Se explica claramente qué se puede y qué no se puede afirmar

Referencias y fuentes

1. Jefatura del Estado — Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Enumera los datos conservables —nombre y dirección del abonado, dirección IP asignada y momento de la asignación—, las reglas de cesión y el art. 5, que fija cuándo cesa la obligación (doce meses, modificables por reglamento entre seis meses y dos años).
2. Ministerio de Gracia y Justicia — Ley de Enjuiciamiento Criminal. Arts. 588 ter j y 588 ter k: autorización judicial y requerimiento al prestador de los datos identificativos vinculados a una dirección IP.
3. Jefatura del Estado — Ley 1/2000, de Enjuiciamiento Civil. Art. 256 (diligencias preliminares, con supuestos tasados) y art. 348 (valoración del dictamen por sana crítica).
4. Tribunal de Justicia de la Unión Europea — Digital Rights Ireland, asuntos acumulados C-293/12 y C-594/12. Declara inválida la Directiva 2006/24 sobre conservación de datos.
5. Tribunal de Justicia de la Unión Europea — La Quadrature du Net, asuntos acumulados C-511/18, C-512/18 y C-520/18. Se opone como regla a la conservación generalizada de datos de tráfico y localización, pero admite bajo condiciones la conservación generalizada de las direcciones IP atribuidas al origen de una conexión.
6. Tribunal de Justicia de la Unión Europea — Patrick Breyer, asunto C-582/14. Una IP dinámica no revela por sí sola la identidad: es dato personal cuando existen medios legales razonables para llegar a ella con información adicional.
7. RIPE NCC — Base de datos RIPE, consulta REST. Registro de asignaciones: rango, netname, operador y país. Es la fuente de la que sale una salida de whois, y se consulta en el momento porque las asignaciones cambian.
8. IETF — RFC 4271: A Border Gateway Protocol 4 (BGP-4). Define el sistema autónomo como conjunto de routers bajo una administración técnica común.
9. IETF — RFC 2131: Dynamic Host Configuration Protocol. Asignación de direcciones por un período limitado y su reutilización posterior.
10. IETF — RFC 6888: Common Requirements for Carrier-Grade NATs. Una dirección pública compartida entre numerosos abonados: identificar a uno exige dirección externa, puerto y marca temporal.
11. IETF — RFC 5321: Simple Mail Transfer Protocol. Obliga al servidor que recibe una conexión a insertar una línea Received con el host o la IP observados en ese salto.
12. MaxMind — GeoIP accuracy comparison tool y GeoIP and GeoLite database documentation. Precisión publicada por producto y país, y clasificación estimada del tipo de conexión.
13. Tor Project — A short introduction to Tor y ¿Qué ataques se pueden dar contra el enrutamiento cebolla?. Circuito de tres relés con visibilidad limitada, y el modelo de adversario capaz de observar ambos extremos.
14. Federal Trade Commission — In the market for a VPN app?. Una VPN no vuelve anónimo al usuario: traslada la confianza al proveedor.
15. NIST — Guide to Integrating Forensic Techniques into Incident Response (SP 800-86). Fases de recogida, examen, análisis e informe, con preservación de la integridad y cadena de custodia.

Limitaciones del Perito

Como perito, puedo:

• ✅ Identificar el ISP y geolocalización aproximada
• ✅ Analizar si hay indicios de anonimización (VPN, Tor)
• ✅ Documentar la IP para el requerimiento judicial
• ✅ Interpretar los datos proporcionados por el ISP

No puedo:

• ❌ Obtener datos del titular sin orden judicial
• ❌ Garantizar identificación si se usó anonimización efectiva
• ❌ Acceder a sistemas del ISP directamente

Técnicas Complementarias

Cuando la IP directa no es concluyente, utilizo técnicas adicionales:

Análisis de Patrones

• Horarios de actividad (franja horaria probable)
• Idioma y estilo de escritura
• Errores tipográficos consistentes

Correlación con Otros Datos

• Cuentas de email y redes sociales vinculadas
• Metadatos de archivos adjuntos
• Historial de publicaciones con datos identificativos

OSINT (Inteligencia de Fuentes Abiertas)

• Búsqueda del email/usuario en brechas de datos
• Perfiles públicos vinculados
• Registros de dominio si aplica

Conclusión

La trazabilidad de IPs es una herramienta poderosa pero no mágica. Puede llevar a identificar al responsable de un ciberdelito, pero requiere conocer sus posibilidades y limitaciones, actuar dentro del marco legal y complementarla con otras técnicas de investigación.

Como perito informático, mi labor es extraer la máxima información técnicamente posible de una IP y documentarla de forma que sea útil para el procedimiento judicial, siendo siempre honesto sobre lo que se puede y no se puede afirmar.

¿Necesitas rastrear el origen de amenazas, ataques o fraudes online? Contacta con Digital Perito para un análisis de trazabilidad profesional con informe pericial.

Última actualización: 29 de agosto de 2026 Categoría: Forense de Red Código: TIP-001