Quién está detrás de un perfil anónimo: qué se puede averiguar legalmente

«Necesito saber quién es.» Es probablemente la frase que más escucho en los primeros minutos de una consulta por acoso, difamación o suplantación. Es comprensible: el anonimato multiplica la sensación de indefensión. Y la respuesta honesta tiene dos partes. La primera, que en muchos casos sí es posible llegar a identificar al autor. La segunda, que hay una línea muy clara entre lo que puede hacer un particular o un perito y lo que solo puede ordenar un juez, y cruzarla te puede convertir a ti en investigado.

Esta guía explica qué técnicas son legítimas, cuáles requieren autorización judicial, qué dice la ley y por qué algunas «soluciones» que circulan por internet son una mala idea.

Primero, una aclaración: qué significa «identificar»

En un procedimiento no basta con tener una sospecha razonable de quién está detrás. Hay que poder vincular el perfil con una persona con un grado de certeza que el juez acepte. Eso se consigue normalmente combinando varias fuentes:

• Indicios técnicos: direcciones IP, datos de registro de la cuenta, dispositivos, correos o teléfonos asociados.
• Indicios de contenido: información que solo conoce un círculo reducido, estilo de escritura, horarios de actividad, fotos propias.
• Indicios de contexto: relaciones previas, conflictos, coincidencias en el tiempo.

Los primeros suelen estar en manos de las plataformas y los operadores, y solo se obtienen con una orden judicial. Los otros dos se pueden trabajar legalmente desde fuera, y muchas veces son los que permiten que el juez acuerde pedir los primeros.

Lo que se puede hacer legalmente: OSINT

La inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) consiste en analizar información pública, accesible sin engaño ni intrusión. Es legal siempre que se respeten la normativa de protección de datos y los límites del propio procedimiento. Algunas líneas de trabajo habituales:

Análisis del perfil

• Fecha de creación, si la plataforma la muestra, y cambios de nombre de usuario.
• Identificador interno permanente, que permite rastrear el perfil aunque cambie de nombre.
• Fotos de perfil y de publicaciones: búsqueda inversa de imágenes para ver si se han usado en otros sitios.
• Seguidores y seguidos: con frecuencia, una cuenta anónima recién creada sigue a muy pocas personas, y entre ellas suele estar su propio entorno.

Patrones de actividad

• Horarios de publicación y zona horaria implícita.
• Coincidencias con eventos concretos (una reunión, una discusión, una baja laboral).
• Vocabulario, faltas de ortografía recurrentes, expresiones locales, uso de signos de puntuación. El análisis de estilo no es una prueba por sí solo, pero puede orientar y reforzar otros indicios.

Correlación entre cuentas

• Mismo nombre de usuario o variantes en otras plataformas.
• Mismas fotos, mismas frases, mismos enlaces.
• Publicaciones simultáneas o en secuencia desde varias cuentas.

Todo esto debe documentarse con capturas forenses y fechas, porque un análisis OSINT sin pruebas preservadas no sirve en un juzgado. Lo explicamos en cómo certificar una web o un perfil como prueba.

Correos electrónicos: qué revelan las cabeceras

Si recibes correos anónimos, sus cabeceras completas (no lo que muestra el programa de correo, sino el código original del mensaje) contienen información técnica valiosa:

• Received: cada servidor por el que ha pasado el mensaje añade una línea con su nombre, su dirección IP y la hora. Leídas de abajo arriba, reconstruyen el recorrido.
• Message-ID: identificador único que asigna el servidor de origen. Puede indicar el proveedor o el programa usado.
• Resultados de autenticación (SPF, DKIM, DMARC): indican si el dominio del remitente autorizó el envío o si es un remitente falsificado.
• X-Mailer o User-Agent: a veces revelan el programa o el sistema del remitente.

Un matiz importante: los grandes proveedores de correo web no incluyen la IP del usuario que envía el mensaje, solo la de sus propios servidores. En esos casos las cabeceras sirven para identificar al proveedor, al que después habrá que pedirle los datos mediante una orden judicial. En cambio, algunos servidores propios o pequeños proveedores sí reflejan la IP de origen.

Nunca reenvíes el correo para analizarlo: el reenvío modifica las cabeceras. Exporta el mensaje original completo.

Direcciones IP: por qué no bastan por sí solas

Una dirección IP identifica una conexión, no a una persona. Para vincularla a alguien hay que saber a qué abonado la tenía asignada el operador en ese momento exacto. Y hay complicaciones técnicas frecuentes:

• CGNAT: muchos operadores comparten una misma IP pública entre muchos clientes a la vez. Sin el puerto de origen y la hora exacta, el operador no puede distinguir a quién corresponde.
• Redes compartidas: wifi de un bar, de una empresa, de una biblioteca o de una vivienda con varias personas.
• VPN y redes de anonimización: desplazan la IP visible a un tercero, a menudo en otro país.
• Conexiones móviles, con asignaciones dinámicas que cambian con frecuencia.

Además, el acceso a los datos que vinculan una IP con un abonado está muy protegido. En España, la Ley 25/2007, de conservación de datos relativos a las comunicaciones electrónicas, obliga a los operadores a conservar determinados datos durante un plazo, en general de doce meses, y a cederlos solo con autorización judicial para la investigación de delitos graves. La Ley de Enjuiciamiento Criminal regula en sus artículos 588 ter j y 588 ter k el acceso a datos conservados y la identificación del usuario a partir de una dirección IP. El tiempo juega en contra: si se tarda demasiado en denunciar, los datos pueden haberse borrado.

Lo que requiere un juez

Las plataformas (redes sociales, proveedores de correo, alojamientos) tienen los datos más útiles: correo y teléfono de registro, IP de creación y de acceso, dispositivos, a veces datos de pago. No los entregan a particulares, y hacen bien. Para obtenerlos, lo normal es una investigación penal en la que el juez, a petición de la policía, el fiscal o la acusación, acuerda requerirlos. Las medidas de investigación tecnológica están reguladas en los artículos 588 bis a y siguientes de la LECrim, con principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad: el juez valora si la gravedad de los hechos justifica la intromisión.

Cuando la plataforma está en otro país, la vía tradicional era la cooperación judicial internacional, lenta y no siempre eficaz. Dentro de la Unión Europea, el Reglamento (UE) 2023/1543, sobre órdenes europeas de producción y conservación de pruebas electrónicas, que se aplica desde agosto de 2026, permite a las autoridades judiciales dirigirse directamente a los proveedores que ofrecen servicios en la UE, con plazos tasados. Es una herramienta reciente cuya práctica habrá que ver, pero cambia el panorama para muchos casos.

En la vía civil (por ejemplo, una demanda por intromisión en el honor de la Ley Orgánica 1/1982), las posibilidades de identificar al autor antes de demandar son mucho más limitadas, y por eso muchos casos de difamación grave empiezan por una denuncia penal.

Lo que no se debe hacer

Hay prácticas que circulan como trucos y que pueden ser delito o, como mínimo, invalidar todo el trabajo:

• Enviar enlaces trampa para capturar la IP del autor sin su conocimiento. Además de los problemas de protección de datos, una prueba obtenida así puede ser declarada ilícita y contaminar el resto.
• Acceder a la cuenta del sospechoso adivinando su contraseña, usando una que conoces de antes o mediante su móvil. Es acceso ilícito a sistemas (artículo 197 bis del Código Penal) y descubrimiento de secretos (artículo 197).
• Crear perfiles falsos para infiltrarte en su círculo y obtener información privada.
• Contratar a supuestos hackers que prometen identificar a cualquiera. En el mejor de los casos es una estafa; en el peor, te implican en un delito.
• Publicar tu sospecha con nombre y apellidos. Si te equivocas, o si no lo puedes probar, el que acaba demandado eres tú.

El artículo 11.1 de la Ley Orgánica del Poder Judicial establece que no surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales. Un atajo ilegal puede tirar por tierra un caso que, bien llevado, se habría ganado.

Qué hacer mientras tanto

Identificar al autor no es siempre imprescindible para resolver el problema. Muchas veces lo urgente es otra cosa:

1. Preservar las pruebas con garantías antes de que desaparezcan.
2. Pedir la retirada del contenido a la plataforma. Bajo el Reglamento de Servicios Digitales (DSA), las plataformas deben tener mecanismos de notificación de contenido ilícito y responder de forma motivada. Lo explicamos en el DSA para retirar contenido.
3. Desindexar los resultados que aparecen en Google al buscar tu nombre.
4. Denunciar si los hechos pueden ser delito: amenazas, acoso (artículo 172 ter del Código Penal), calumnias e injurias, revelación de secretos o suplantación.
5. Valorar la vía civil cuando se conozca al autor.

Si alguien está usando tu identidad, tienes la guía práctica en suplantación de identidad en Instagram.

Qué aporta un perito en estos casos

Un perito informático no tiene acceso a los datos de las plataformas, pero puede hacer tres cosas muy útiles. Primero, preservar las pruebas de forma que sirvan en un procedimiento. Segundo, hacer un análisis técnico y de fuentes abiertas que permita a la policía y al juez ver indicios suficientes para acordar diligencias. Y tercero, cuando la plataforma u operador entrega los datos, analizarlos e interpretarlos: cruzar IP, horas y puertos, detectar el uso de VPN, vincular dispositivos o descartar falsos positivos.

Muchos casos se atascan porque la denuncia llega sin pruebas técnicas ordenadas y nadie sabe por dónde empezar. Un buen informe inicial cambia eso.

Preguntas frecuentes

¿La policía investiga cualquier perfil anónimo?

Investiga cuando hay indicios de delito. La gravedad de los hechos influye en las medidas que el juez está dispuesto a autorizar. Insultos aislados no suelen justificar el acceso a datos de comunicaciones; amenazas, acoso continuado, extorsión o difusión de imágenes íntimas, con más probabilidad sí.

¿Instagram o X me darán los datos si se los pido?

No a un particular. Pueden retirar el contenido o la cuenta si incumple sus normas o la ley, pero los datos del usuario solo los entregan a autoridades, con los requisitos legales que correspondan.

¿Cuánto tiempo tengo?

Lo antes posible. Los datos de conexión se conservan un tiempo limitado, las plataformas borran registros y el autor puede eliminar la cuenta. Además, los delitos leves y algunas acciones civiles tienen plazos de prescripción cortos.

¿Y si el perfil anónimo es de un compañero de trabajo o un excliente?

Es frecuente. Los indicios de contexto pesan mucho, pero no publiques ni comuniques tu sospecha sin pruebas. Documenta, consulta y deja que la identificación se haga por la vía adecuada.

¿Se puede identificar a alguien que usa VPN?

A veces sí, por errores del propio autor (una conexión sin VPN, un correo de registro, una foto, un dato personal), o por los registros del proveedor de VPN si están en una jurisdicción que colabora. Otras veces no. Hay que ser realista.

Te ayudamos a hacerlo bien

Cuando alguien te ataca desde el anonimato, combinamos preservación forense de pruebas, análisis técnico de fuentes abiertas, retirada del contenido y, cuando procede, la vía penal con abogados especializados. Lo encontrarás en peritaje informático y en acciones legales.

Cuéntanos qué está pasando en el diagnóstico gratuito. Te diremos con franqueza qué se puede averiguar, qué no y por dónde empezar.