Mi empleado ha sido acusado de hackear los sistemas de la empresa

¿Tienes razón?

Que un empleado sea señalado como autor de un hackeo no significa que sea culpable ni que usted pueda despedirlo o denunciarlo sin riesgos. Las tres o cuatro cosas que determinan si la acusación tiene fundamento son:

1. Evidencia técnica clara. Los registros (logs) del servidor, firewall, VPN, y backups deben mostrar la actividad atribuible a una cuenta o dirección IP. Sin esos rastros, la acusación es débil.
2. Acceso y permisos. Si el empleado tenía permisos legítimos para entrar en los sistemas, hay que distinguir entre uso indebido de acceso y acceso no autorizado. El contexto importa: cambiar una base de datos usando una cuenta propia no siempre es delito, puede ser falta disciplinaria.
3. Intención o daño. Un delito informático exige —según el tipo penal aplicable— demostrar el ánimo de causar daño o lucro. Errores, pruebas mal ejecutadas o experimentos sin mala fe pueden ser faltas administrativas o laborales, no delitos penales.
4. Actuación de la empresa tras el hecho. Si la empresa alteró sistemas, no preservó logs o no documentó la cadena de custodia, la prueba técnica pierde valor ante la Fiscalía y un juez.

Si al revisar esos puntos la evidencia apunta al trabajador, la Fiscalía o la Policía pueden abrir investigación. Si no, la acusación puede ser desestimada o limitarse a sanciones internas.

Cómo se soluciona

1. Preservar evidencia técnica (qué hace la empresa hoy).

• No apague servidores ni formatee dispositivos. Hágalo constar por escrito y registre quién dio la orden.
• Copie logs y snapshots del sistema; exporte la configuración del firewall, registros de VPN y accesos a directorios. Exporte chats y correos que muestren instrucciones o autorizaciones.
• Realice un inventario de cuentas con privilegios y cuándo se les asignaron.

1. Separar funciones: actuación interna vs. asistencia forense.

• El área de TI documenta lo ocurrido y deja una bitácora de las acciones internas.
• Contrate perito informático externo (no el administrador de la red) para hacer análisis forense que preserve cadena de custodia. Esa pericia es la que tendrá más valor ante Fiscalía o en un proceso laboral.

1. Comunicación y medidas cautelares.

• Valide si procede suspender con goce o sin goce de salario según el contrato y normativa laboral, siempre con fundamento escrito. No haga despido fulminante sin pruebas robustas.
• Si la empresa va a presentar denuncia penal, prepare un paquete de evidencias: pericia inicial, inventario de accesos y declaraciones internas.

1. Actuación ante autoridades.

• Entregue la evidencia preservada a la autoridad competente si va a denunciar. Si la investigación llega por parte de Fiscalía, coopere entregando copia de pericia externa.

1. Qué puede hacer el empleado.

• Pida una copia de la imputación y de las pruebas. Puede designar abogado y perito propio. La defensa frecuentemente cuestiona la cadena de custodia y la atribución técnica del acceso.

Qué puede pasar

1) Se arregla con una carta y medidas internas. Muchas situaciones se resuelven sin proceso penal: la empresa regulariza permisos, aplica sanción disciplinaria y restituye sistemas. Una carta que reconozca errores técnicos puede terminar el conflicto.

2) Conciliación o acuerdo. En el ámbito laboral puede negociarse una salida pactada (acta de término ante el Ministerio del Trabajo si corresponde) que evite una denuncia penal; en lo penal, la parte afectada puede ofrecer colaboración o acuerdo en ciertos supuestos dependiendo de la gravedad.

3) Investigación penal y juicio. Si Fiscalía encuentra indicios suficientes abrirá proceso. Si la empresa promovió la investigación y pierde la prueba, podría enfrentar reclamaciones del trabajador por despido injustificado o daños y perjuicios. Si la empresa pierde en la vía penal (es decir que el acusado resulta absuelto), la empresa puede quedar con costos de peritajes y un daño reputacional.

Y si gana, ¿cobra? En lo penal la condena puede incluir reparación, pero si el trabajador no tiene bienes o recursos líquidos, una sentencia favorable no garantiza cobro efectivo; la ejecución depende de activos identificables.

Errores que arruinan el caso

• Apagar o reiniciar sistemas sin hacer backup forense: destruye prueba.
• Dejar que el administrador interno haga pericia sin controlar la cadena de custodia: genera sospecha de manipulación.
• Tomar represalias disciplinarias sin documentación: puede dar pie a demandas laborales.
• No separar claramente las acciones internas de las comunicaciones externas: filtrar datos a otros empleados o clientes por nerviosismo complica la defensa.
• Firmar acuerdos o despidos rápidos sin asesoría que evalúe riesgos penales y laborales.