Desde INDALICS se realizó dictamen contrapericial respecto a acusación de distribución de pornografía infantil a través de EMULE, al objeto de refutar atestado policial tras incautación de material informático en una entrada y registro. El informe fue ratificado el pasado mes de Noviembre por el perito informático titular del despacho, Pedro De La Torre Rodríguez, ante la Audiencia Provincial de Lugo.
Incautación de material pedófilo tras entrada y registro en Lugo
La unidad de Policía Científica de la Policía Nacional en Lugo procedió a operación de entrada y registro en un domicilio ubicado en esa provincia, incautándose de un ordenador tipo minitorre y de varios discos duros, encontrándose en uno de estos discos duros abundante cantidad de vídeos de índole pedófila, así como el programa EMULE instalado en el ordenador, si bien no se encontró vídeo alguno en dicho ordenador.
Fruto de esta operación contra la ciberdelincuencia se imputó tenencia y distribución de vídeos pedófilos a través de redes P2P. Si bien la tenencia del material no fue discutida por la defensa, sí fue objeto de controversa que efectivamente se estuvieran compartiendo dichos vídeos.
Funcionamiento de Emule respecto a la descarga y compartición de ficheros
Uno de los primeros aspectos aclarados al tribunal por el perito informático colegiado, Pedro De La Torre Rodríguez, fue cómo funcionaba exactamente el software EMULE respecto a la descarga y compartición de ficheros.
Así, EMULE es un programa que permite el intercambio de archivos entre ordenadores conectados a Internet. Está basado en el principio”peer to peer“(P2P) (intercambio de archivos entre iguales conectados a una misma red), y permite la comunicación con una red de usuarios a través de un conjunto de servidores. El programa permite Descargas (Downloads) y Envíos o Subidas (Uploads). Dichos envíos de información se realizan mediante fragmentos en los que se dividen los ficheros puestos a disposición, los cuales se “ensamblan” una vez que todos los fragmentos han alcanzado el destino.
Los archivos descargados y completos se encuentran por defecto en la carpeta Incoming dentro del directorio EMULE. Ya tienen su nombre real y su extensión correcta dependiendo del tipo de archivo (exe, avi, zip, rar, ace…). Se pueden ejecutar con descompresión previa caso de ser esta necesaria. La carpeta temp contiene información necesaria sobre los archivos en tránsito de descarga (temporales), de los cuales sólo se disponen fragmentos. EMULE va dando un nombre temporal a cada archivo que se está descargando.
Todos los ficheros que se encuentren dentro de la carpeta “Incoming” o de las carpetas designadas para compartir se estarán compartiendo con el resto de la red P2P, así como los ficheros temporales que se encuentren en la carpeta “temp”. No es posible no compartir los ficheros que se encuentren en dichas carpetas.
Así mismo se pueden compartir también otras carpetas con información si el usuario así lo configura en Emule. También se puede establecer como “amigos” a otros usuarios, con los que podrá chatear e intercambiar ficheros de forma preferente.
Emule dispone de una serie de ficheros electrónicos de interés para el perito informático forense:
- clients.met: En él figura información del número de bytes de información intercambiados entre distintos usuarios de Emule y la fecha del último intercambio llevado a cabo.
- known.met: Almacena información sobre los ficheros que se están descargando actualmente y sobre los que ya se ha concluido la descarga.
- adresses.dat: Contiene enlaces a listas de servidores desde donde descargar archivos.
- staticservers.dat: Contiene los servidores preferidos desde donde descargar archivos.
- emfriends.met: Fichero con la lista de “amigos”, con los que se puede chatear e intercambiar ficheros de forma preferente.
- Ac_searchstring.dat: Fichero en el que se lista un histórico de términos de búsqueda introducidos por el usuario.
- Preferences.ini: Fichero que contiene información sobre el programa Emule, siendo significativo si las únicas carpetas de descarga y compartición de ficheros son las señaladas por defecto por la aplicación.
Inexistencia de evidencias de que se estuvieran compartiendo ficheros a través de Emule
Tal y como indicó en su Oficio, la Fuerza Instructora no encontró información de especial relevancia tras el estudio del ordenador intervenido, en el que estaba instalado el programa EMULE, según reportaje fotográfico realizado durante la entrada y registro efectuada.
Por ello el perito informático indicó que cabe inferir que la Fuerza Instructora no encontró ninguna información de interés derivada del estudio de los ficheros electrónicos de EMULE que figuraban en la CPU intervenida.
Así pues, no constan pruebas indubitadas de ficheros que estuvieran siendo compartidos en el momento de la incautación del ordneador ni con anterioridad a dicha incautación.
Sobre la compartición consciente y premetidada de ficheros mediante Emule
Tras estudiar el atestado policial, el perito informático no observó prueba alguna de que el usuario hubiera compartido contenidos desde carpetas distintas a las que Emule usa por defecto, esto es, “Incoming” y “Temp”. Ni siquiera se observó que el usuario ubiera compartido ficheros de índole pedófila desde las carpetas anteriormente citadas.
Tampoco observó el perito que el usuario hubiera incluido como “amigos” a otros usuarios, lo que habría supuesto un intercambio preferente de contenidos entre ellos e incluso la posibilidad de comunicarse a través de chat.
Todo ello, junto la nula constatación de que algún fichero de los intervenidos por la Fuerza Instructora hubiera estado disponible para compartir, permitieron inferir que los ficheros de vídeo no fueron compartidos y distribuidos por el acusado de forma consciente y premeditada, sino, en todo caso, como consecuencia de la propia naturaleza del programa Emule.
Error de apreciación de la Policía Científica
La Policía Científica expresó lo siguiente:
“Que en relación con la verificación de si los archivos pedófilos fueron compartidos, comunicar a la Autoridad Judicial que con un análisis de un disco duro resulta imposible determinar con certeza si se compartieron archivos, pero sí existen indicios que hacen suponer a esta Brigada que es altamente probable que se compartieran los mismos […]”
La hipótesis utilizada por la Policía Nacional fue la siguiente:
“Que es fácil determinar que si al investigado se le hubiesen incautado un pequeño número de archivos, existiría la posibilidad de que los hubiera bajado a través de la red eDonkey o Emule, no hubiese compartido y se tratara sólo de un consumidor, pero la cantidad de archivos localizados e intervenidos son prácticamente imposibles de obtener sin pertenecer a la comunidad pedófila en la cual se producen constantemente intercambios de archivos del material investigado”
El perito informático Pedro De La Torre demostró que, con el material intervenido por la Fuerza Instructora, se podía estudiar y concluir sin lugar a dudas si el acusado compartió o no ficheros de forma consciente y premeditada, mediante los ficheros electrónicos asociados a Emule presentes en el ordenador intervenido, señalando por contra la Policía Científica que no figuraba nada concluyente.
Así mismo, el perito expresó que la cantidad de material intervenido sería en todo caso indiciaria, nunca concluyente, de una posible conducta de intercambio de ficheros; conducta que no ha sido demostrada por la Fuerza Instructora pudiendo haberlo hecho mediante el estudio de los ficheros de EMULE presentes en el ordenador intervenido.
Ratificación ante la Audiencia Provincial de Lugo
El pasado mes de Noviembre se produjo la ratificación del informe pericial ante la Audiencia Provincial de Lugo. En dicho acto, el perito Pedro De La Torre ilustró pormenorizadamente a los magistrados sobre el exacto funcionamiento de EMULE a la hora de descargar y compartir ficheros, dónde se encuentra la información para comprobar si efectivamente unos determinados ficheros se descargaron y compartieron, así como la total ausencia de prueba de que el acusado hubiera efectivamente compartido a través de EMULE vídeos de índole pedófila, qué vídeos en concreto, a quiénes y en qué momento.
Tras la vista oral el juicio quedó visto para sentencia.