Cómo guardar pruebas de accesos no autorizados a tus cuentas

¿Guardo las pruebas antes de cambiar la contraseña?

Si puedes obtener unas capturas en unos instantes y sin aumentar el riesgo, hazlo antes de cerrar las sesiones. Pero si alguien está utilizando la cuenta, hay dinero en peligro o se están difundiendo datos, no retrases la protección para completar un expediente perfecto. Utiliza, si es posible, otro dispositivo de confianza.

Después registra lo que hiciste: «A las 18:42 cambié la contraseña; a las 18:45 cerré las sesiones que no reconocía». Esas actuaciones pueden explicar por qué una sesión ya no aparece cuando la policía examine el caso. No restablezcas de fábrica el teléfono ni reinstales aplicaciones para “limpiarlo” antes de valorar si contienen evidencias necesarias. Si sospechas software espía o acceso al dispositivo, pide asistencia especializada.

Cómo guardar los dispositivos y sesiones de una cuenta de Google

1. Accede a tu cuenta desde una dirección oficial que conozcas, no desde un enlace del aviso sospechoso.
2. Entra en Seguridad e inicio de sesión. Busca Tus dispositivos y abre Gestionar todos los dispositivos.
3. Guarda una captura de la lista general. Abre después cada dispositivo o sesión que no reconozcas y captura los detalles disponibles.
4. Anota la cuenta consultada, el nombre que muestra el dispositivo, las fechas y cualquier ubicación o dato de actividad visible. No completes datos que la pantalla no ofrece.

La ayuda oficial de Google sobre dispositivos con acceso explica esta consulta. Un mismo equipo puede generar varias sesiones; la actividad reciente también puede responder a sincronización automática. La ubicación es orientativa y no identifica al autor.

Guarda por separado la captura general y las de detalle. En un documento de registro puedes llamarlas «captura 1: listado» y «captura 2: detalle de sesión», conservando los nombres originales de los archivos en el inventario. Si necesitas marcar la sesión con un círculo, hazlo únicamente sobre una copia identificada como anotada.

Cómo conservar la actividad reciente de Microsoft

En una cuenta personal de Microsoft, abre el área de seguridad y la página de actividad reciente. Despliega el acontecimiento que quieras documentar antes de capturarlo: la vista resumida puede omitir información relevante.

Microsoft explica que esta página permite revisar actividad de los últimos 30 días y consultar detalles de los acontecimientos mostrados. Consulta sus indicaciones sobre actividad reciente. No presupongas que la pantalla contiene un historial exhaustivo de todo lo sucedido.

Si se trata de una cuenta de trabajo o de un centro educativo, las opciones pueden ser distintas. Comunica la incidencia al administrador y pide que conserve los registros relacionados con tu cuenta y el período concreto. No necesitas permisos de administración ni debes intentar acceder a registros de otras personas.

Qué guardar si han cambiado el correo o teléfono de recuperación

Conserva el mensaje que avisa del cambio, su fecha y la dirección o número que muestre, aunque esté parcialmente oculto. Descarga el correo original siguiendo nuestra guía de correos y chats. Una fotografía del aviso es un apoyo, pero puede omitir los datos técnicos del mensaje.

Captura también la configuración actual de recuperación de tu propia cuenta, si todavía puedes entrar. Distingue lo que sabías antes del incidente de lo que has visto después. No escribas «el atacante puso este número» si solo conoces unos últimos dígitos que no reconoces.

No guardes en el expediente contraseñas, códigos de un solo uso ni claves de recuperación vigentes. Si aparecen junto a un dato importante, limita su exposición y solicita asesoramiento sobre cómo separar una copia de trabajo del archivo reservado. Cambia las credenciales comprometidas por los canales oficiales.

¿Y los dispositivos vinculados a aplicaciones de mensajería?

Dentro de la configuración de seguridad de la aplicación, localiza la lista de dispositivos o sesiones vinculados. Conserva la pantalla general y el detalle disponible de la sesión que no reconoces: tipo de dispositivo, última actividad y cualquier otra información mostrada. Después desvincúlala si procede.

No identifiques un ordenador únicamente por el nombre comercial de su navegador. Dos equipos pueden aparecer con descripciones iguales. Si no encuentras la opción en tu versión, consulta la ayuda oficial de la aplicación: no instales herramientas que prometan revelar quién ha abierto tu cuenta.

Si la sesión ya ha desaparecido, deja constancia de ello. Aporta los avisos conservados y explica la secuencia de acontecimientos. Una ausencia posterior no demuestra que nunca hubiera existido acceso.

Cómo hacer un registro sencillo de lo que has conservado

Crea una carpeta para el incidente, con subcarpetas de archivos conservados, copias de trabajo y registro. Guarda una segunda copia en un soporte o cuenta que no esté comprometido. No utilices como único archivo de seguridad la nube controlada por la cuenta afectada.

Para cada elemento, anota:

• Nombre del archivo y servicio del que procede.
• Cuenta afectada y pantalla concreta consultada.
• Fecha y hora que muestra el servicio.
• Fecha, hora y zona horaria de tu recogida; por ejemplo, hora de Barcelona. Si un registro indica UTC, conserva esa indicación.
• Cómo lo guardaste y quién lo hizo.
• Medidas posteriores: cambio de contraseña, cierre de sesión, bloqueo o aviso al soporte.

No confundas la hora de recepción del aviso con la hora del acceso. Si desconoces una zona horaria, indícalo. Una conversión equivocada puede hacer que dos registros del mismo hecho parezcan corresponder a acontecimientos distintos.

¿Estas pruebas identifican a quien entró en mi cuenta?

No necesariamente. Una dirección IP puede orientar una investigación, pero puede estar compartida o corresponder a un servicio intermediario. Una ubicación aproximada tampoco permite acusar a una persona. Lo relevante es conservar los datos tal como aparecen y explicar qué reconoces y qué no.

Un perito informático puede ayudar a relacionar registros, examinar el dispositivo y valorar limitaciones. No es obligatorio contratarlo antes de denunciar. Si los registros están en poder del proveedor, informa pronto a la policía o al juzgado para que valoren las diligencias necesarias; una petición particular de conservación no garantiza que todo quede retenido.

Lista final antes de entregar la documentación

• He conservado el aviso original y las capturas generales y de detalle disponibles.
• He explicado de qué cuenta proceden y cuándo los guardé.
• He diferenciado hechos observados de sospechas.
• He anotado mis propias actuaciones de seguridad.
• Tengo otra copia protegida y no he publicado datos sensibles.

Si has perdido el acceso, denuncia con lo que tengas y explica qué información falta. La falta de un registro técnico completo no impide comunicar los hechos. En Tot Dret Advocats podemos valorar qué conviene aportar y qué diligencias solicitar en tu caso.