Correo web y cuentas en la nube en el equipo

Gran parte del correo electrónico, el intercambio de archivos y la mensajería actuales se realiza en una pestaña del navegador o en un cliente de escritorio ligero, y el contenido permanece en los servidores del proveedor. Esta lección muestra lo que un examinador puede averiguar sobre cuentas de correo web, almacenamiento en la nube, mensajería y redes sociales a partir únicamente de un equipo Windows: qué cuentas existen, quién las utilizó y cuándo, y fragmentos de contenido. También delimita dónde termina la información del equipo y deben tomar el relevo los datos del proveedor, obtenidos mediante un procedimiento legal o con el consentimiento del propietario.

Lo que el equipo puede y no puede mostrar

Con un cliente de correo local, el buzón está en el disco (Lección 4.4). Con el correo web no es así: el navegador descarga solo las partes del buzón que el usuario consulta, a menudo las conserva en memoria o en cachés de corta duración y las descarta. Por tanto, el equipo responde bien a tres preguntas: si se utilizó una cuenta en este equipo, con qué usuario de Windows y perfil del navegador, y cuándo. Responde a una cuarta, qué, solo parcialmente: asuntos, vistas previas, archivos adjuntos descargados y fragmentos almacenados en caché. Los buzones completos, los elementos eliminados en el proveedor, los inicios de sesión desde otros dispositivos y las direcciones IP están en poder del proveedor.

Identificación de las cuentas

Comience por enumerar todas las identidades de cuenta del sistema y, después, vincule cada una con un perfil de usuario de Windows.

Perfiles del navegador

Los navegadores basados en Chromium (Chrome, Edge, Brave y otros) mantienen una carpeta por perfil, como %LOCALAPPDATA%\Google\Chrome\User Data\Default o ...\Microsoft\Edge\User Data\Profile 1 (la Lección 4.1 aborda la estructura).

• Preferences (un archivo JSON en la carpeta del perfil) contiene una matriz account_info para la cuenta con la que se ha iniciado sesión en el perfil del navegador. En Chrome, cada entrada incluye email, gaia (el ID numérico de la cuenta de Google, que no cambia cuando cambia la dirección), full_name y campos relacionados.
• Local State (un nivel más arriba, en User Data) contiene profile.info_cache, que enumera cada carpeta de perfil con su nombre para mostrar y, en los perfiles con sesión iniciada, el nombre de usuario de la cuenta.
• Edge utiliza los mismos archivos. En sus perfiles se inicia sesión con una cuenta de Microsoft o una cuenta profesional o educativa (Entra ID). Una cuenta de Microsoft puede utilizar cualquier dirección de correo electrónico como nombre de usuario, incluida una de otro proveedor, por lo que una dirección en account_info de Edge identifica el inicio de sesión del navegador, no necesariamente un buzón utilizado en una pestaña.

Inicios de sesión guardados, autocompletado y cookies

• Inicios de sesión guardados. Login Data de Chromium (SQLite, tabla logins) almacena origin_url, username_value, date_created, date_last_used y times_used sin cifrar; solo password_value está cifrado (en Windows, con una clave protegida por DPAPI, la API de protección de datos que vincula los secretos con las credenciales de inicio de sesión del usuario). logins.json de Firefox mantiene hostname sin cifrar, pero cifra tanto el nombre de usuario como la contraseña con claves de key4.db. En ambos casos, la lista de sitios con inicios de sesión guardados se puede leer sin acceder a ninguna contraseña.
• Autocompletado e historial de formularios. Web Data de Chromium (tabla autofill: name, value, count, date_created, date_last_used) y formhistory.sqlite de Firefox (tabla moz_formhistory) registran valores introducidos en formularios, incluidas las direcciones de correo electrónico escritas en los campos de inicio de sesión.
• Cookies por host. Network\Cookies de Chromium y cookies.sqlite de Firefox muestran qué hosts establecieron cookies, los nombres de las cookies y sus horas de creación y de último acceso. Las cookies de autenticación (a menudo denominadas de manera imprecisa cookies de sesión, aunque la mayoría son persistentes) indican una sesión iniciada; Google, por ejemplo, establece cookies denominadas SID, HSID y SAPISID en .google.com para los usuarios que han iniciado sesión. Los nombres, los hosts y las horas son suficientes; no necesita los valores y no debe utilizarlos.

Identidades a nivel de Windows

• Cuenta de Microsoft vinculada a Windows. El valor InternetUserName del subárbol SAM proporciona la dirección de correo electrónico (Lección 2.2).
• Unión a Entra ID. En un sistema en ejecución, dsregcmd /status informa de AzureAdJoined, el nombre del inquilino y el ID del dispositivo. En un análisis sin conexión, el subárbol SYSTEM conserva información de unión en ControlSet001\Control\CloudDomainJoin, donde subclaves como JoinInfo y TenantInfo contienen valores que incluyen el ID del inquilino y, en muchos sistemas, la dirección de correo electrónico del usuario que unió el dispositivo.
• Claves de identidad de Microsoft. HKCU\Software\Microsoft\IdentityCRL, utilizada por los componentes de inicio de sesión de cuentas de Microsoft, suele contener subclaves cuyos nombres corresponden a la dirección de la cuenta. Office almacena las identidades con sesión iniciada en HKCU\Software\Microsoft\Office\16.0\Common\Identity\Identities, con una subclave por identidad y valores como EmailAddress y ProviderId, que distingue una cuenta personal de Microsoft de una cuenta profesional o educativa.
• Administrador de credenciales. Las credenciales de Windows y web guardadas se encuentran en %LOCALAPPDATA%\Microsoft\Credentials y %APPDATA%\Microsoft\Credentials (un archivo protegido por DPAPI por entrada) y en %LOCALAPPDATA%\Microsoft\Vault\<GUID>\ (Policy.vpol más archivos .vcrd). En un análisis sin conexión, se puede ver que las entradas existen, cuándo se escribieron los archivos y qué clave maestra de DPAPI protege cada una; los nombres de destino y los secretos están dentro de los datos protegidos. Durante un triaje autorizado en un sistema en ejecución, cmdkey /list muestra los nombres de destino. Descifrar material de DPAPI requiere la contraseña del usuario (o material de clave derivado de ella) o la clave de respaldo de DPAPI del dominio, y debe estar expresamente contemplado en su autorización.

Rastros de correo web

URL y títulos de página

Las URL del historial revelan acciones. Gmail incluye la vista en el fragmento de la URL: mail.google.com/mail/u/0/#inbox, #sent, #inbox/<thread id> y ?compose=new cuando se abre una ventana de redacción. El segmento u/N es la posición de la cuenta en la sesión multicuenta de ese navegador (0 es la primera cuenta con la que se inició sesión), no una propiedad fija de la cuenta. Outlook en la web utiliza rutas bajo /mail/ que identifican la carpeta (por ejemplo, inbox o sentitems) y /mail/deeplink/compose para un mensaje nuevo, en outlook.live.com (personal) u outlook.office.com (profesional o educativa). Los títulos de página de la base de datos del historial suelen indicar la carpeta o el asunto de un mensaje abierto, y los títulos de Gmail habitualmente han incluido la dirección de la cuenta. Los proveedores cambian estos formatos sin previo aviso: trate las URL y los títulos como indicios que deben corroborarse, no como pruebas. Una visita a la carpeta Enviados demuestra que se consultó la carpeta, no que se envió un mensaje.

Caché, descargas y notificaciones

• Caché. En la caché del navegador pueden permanecer fragmentos del JSON y del HTML que obtuvo la aplicación web (Lección 4.3): asuntos, direcciones de remitentes, extractos.
• Archivos adjuntos descargados. Los archivos adjuntos guardados en Descargas conservan un flujo Zone.Identifier cuyos campos ReferrerUrl y HostUrl registran la procedencia del archivo (Lección 1.4). Los archivos adjuntos de Gmail se sirven desde mail-attachment.googleusercontent.com, y la propia URL contiene un segmento u/N. La tabla de descargas del navegador añade las horas de inicio y finalización.
• Notificaciones. Si el usuario permitió las notificaciones de escritorio, las notificaciones emergentes de correo nuevo se almacenan en wpndatabase.db (Lección 2.8), donde el campo XML Payload suele contener el remitente, el asunto y la primera línea, con ArrivalTime como FILETIME.

Almacenamiento de aplicaciones web

Las aplicaciones web conservan datos sin conexión en el perfil: IndexedDB (Chromium: IndexedDB\https_mail.google.com_0.indexeddb.leveldb; Firefox: storage\default\https+++mail.google.com\idb\, SQLite), Local Storage (Local Storage\leveldb) y Service Worker CacheStorage (Service Worker\CacheStorage). IndexedDB y Local Storage de Chromium utilizan LevelDB, un almacén de clave-valor formado por archivos .log y .ldb en el que los registros reemplazados pueden sobrevivir hasta la compactación. La estructura de los datos es específica de cada aplicación y cambia entre versiones, por lo que debe utilizar un analizador compatible con LevelDB (por ejemplo, la biblioteca gratuita ccl_chromium_reader) y leer los registros en lugar de esperar encontrar un buzón. El correo sin conexión, cuando está habilitado, puede dejar aquí muchos cuerpos de mensajes.

Aplicaciones de escritorio de mensajería y colaboración

La mayoría de los clientes de mensajería de escritorio son aplicaciones web dentro de un contenedor (Electron o WebView2) y dejan los mismos tipos de almacenamiento. Slack mantiene un perfil de tipo Chromium en %APPDATA%\Slack con IndexedDB, Local Storage (LevelDB) y una caché. El nuevo cliente de Microsoft Teams es una aplicación empaquetada cuyos datos se encuentran en %LOCALAPPDATA%\Packages\MSTeams_8wekyb3d8bbwe, incluido un perfil de WebView2 cuyo IndexedDB es LevelDB; el cliente clásico utilizaba %APPDATA%\Microsoft\Teams. WhatsApp Desktop también es ahora una aplicación empaquetada en %LOCALAPPDATA%\Packages con bases de datos locales y cachés multimedia; sus formatos cambian entre versiones y pueden estar cifrados. En todos los casos, cabe esperar un historial parcial almacenado en caché, no un archivo completo.

El límite legal y ético

Las contraseñas, cookies y tokens guardados pueden dar acceso a una cuenta activa. Utilizarlos para iniciar sesión, o reutilizar una cookie en otro navegador, está fuera del alcance de un examen del equipo, salvo que su autorización lo contemple expresamente. Esto accede a datos alojados en servidores ajenos, puede modificar esos datos (marcas de lectura, registros del último inicio de sesión, alertas de seguridad) y puede hacer que su evidencia sea inadmisible. En su lugar:

• Documente lo que muestra el equipo: identidades, hosts, horas, rutas de archivos, hashes y capturas de pantalla de registros analizados, de acuerdo con los requisitos de documentación de ISO/IEC 27037.
• Envíe una solicitud de preservación al proveedor cuanto antes, para que se conserven los datos de la cuenta mientras se prepara el procedimiento formal.
• Obtenga la entrega de datos del proveedor mediante un procedimiento legal: registros del suscriptor y de la cuenta, direcciones IP y horas de inicio de sesión, dispositivos y contenido.
• Con el consentimiento del propietario, pídale que realice una exportación de Google Takeout o de su cuenta de Microsoft en su presencia; registre los pasos y, después, calcule el hash del archivo y consérvelo.

Ejemplo resuelto: el correo web personal de ana

Una recopilación de triaje incluye C:\Users\ana\AppData\Local\Microsoft\Edge\User Data\Default.

1. Identidad. Preferences → account_info[0].email = ana.costa.personal@gmail.example. Como se trata de Edge, ese es el nombre de inicio de sesión del navegador; sugiere, pero no demuestra, el uso de la cuenta de correo web con la misma dirección.
2. Historial. Las tablas urls y visits muestran https://mail.google.com/mail/u/1/#inbox?compose=new con visit_time 13417797340000000 y https://mail.google.com/mail/u/1/#sent con visit_time 13417797487000000, con el título "Correo enviado - ana.costa.personal@gmail.example - Gmail". Los tiempos de Chromium son microsegundos transcurridos desde 1601-01-01 UTC: 13417797487000000 ÷ 1.000.000 = 13.417.797.487 s; menos 11.644.473.600 = 1.773.323.887 segundos Unix = 2026-03-12T13:58:07Z. La visita de redacción se convierte del mismo modo a 13:55:40Z, 2 min 27 s antes. El título vincula u/1 con la dirección en esta sesión.
3. Descarga. C:\Users\ana\Downloads\price-list-2026.xlsx contiene ZoneId=3, ReferrerUrl=https://mail.google.com/ y HostUrl=https://mail-attachment.googleusercontent.com/attachment/u/1/?…. La tabla de descargas indica una hora de finalización de 14:02:13Z, 4 min 6 s después de la consulta de Enviados. El segmento u/1 coincide con la misma posición de cuenta.
4. Notificación. wpndatabase.db contiene una notificación emergente de Edge cuya carga útil dice "Marco Ruiz · Re: lista de precios · Gracias, recibido". ArrivalTime = 134177980110000000 (unidades de 100 ns desde 1601): ÷ 10.000.000 = 13.417.798.011 s; menos 11.644.473.600 = 1.773.324.411 = 2026-03-12T14:06:51Z.

Panorama de la cuenta. El usuario de Windows ana, con el perfil de Edge Default, utilizó la cuenta de Gmail ana.costa.personal@gmail.example (segunda cuenta de la sesión) entre 13:55:40Z y, como mínimo, 14:06:51Z del 12 de marzo de 2026: se abrió una ventana de redacción, se consultó la carpeta Enviados, se descargó un archivo adjunto y llegó una notificación que parece ser una respuesta. Del proveedor necesita el propio mensaje enviado (destinatarios, contenido, archivo adjunto, encabezados), el hilo completo con Marco Ruiz, las direcciones IP y los dispositivos de inicio de sesión de ese día, los datos del suscriptor y de recuperación que demuestren quién controla la cuenta, y la identidad de la cuenta u/0.

Enfoque del examen: Prepárese para nombrar el archivo y el campo que identifican una cuenta con sesión iniciada en el navegador (account_info en Preferences), convertir un valor de Chromium o FILETIME a UTC e interpretar un HostUrl de Zone.Identifier para indicar que un archivo adjunto procede del correo web. Sepa qué preguntas solo puede responder el proveedor, especialmente las relativas a las direcciones IP de inicio de sesión y al contenido completo, y que iniciar sesión con credenciales o cookies recuperadas queda fuera de un examen del equipo, salvo autorización expresa.

Puntos clave

• El equipo muestra que se utilizó una cuenta, con qué perfil de Windows y del navegador, y cuándo; el contenido es parcial y los datos del proveedor permanecen en poder del proveedor.
• Identifique las cuentas mediante account_info de Preferences, Local State, los orígenes de los inicios de sesión guardados, el autocompletado, los hosts de las cookies, InternetUserName de SAM, CloudDomainJoin y las claves de identidad de Office.
• Las URL de correo web, las posiciones u/N y los títulos de página son indicios que deben corroborarse con descargas, Zone.Identifier y notificaciones emergentes; los formatos cambian sin previo aviso.
• IndexedDB y Local Storage en los navegadores basados en Chromium y en las aplicaciones Electron o WebView2 son LevelDB con estructuras específicas de cada aplicación.
• Nunca utilice credenciales o cookies guardadas para acceder a una cuenta activa sin autorización expresa; preserve, documente y solicite los datos al proveedor.