Cómo saber si un documento es falso: verificación de documentos en la empresa

Cómo saber si un documento es falso se reduce a tres preguntas. ¿Lo emitió o lo firmó de verdad la parte que aparece en él? ¿Ha cambiado desde entonces? ¿Y tiene derecho a enviarlo quien lo envía? Una factura de proveedor, un contrato que vuelve firmado, un certificado ISO dentro de un paquete de licitación, el título de un candidato, la copia del pasaporte de un nuevo administrador: papeles distintos, las mismas tres preguntas.

Las páginas que se posicionan con esta búsqueda hablan sobre todo de documentos de identidad y de herramientas de detección. Eso es una fila de la tabla de más abajo. La mayoría de los documentos que llegan a una empresa no pasan nunca por un proceso KYC, y justo en ellos se decide si se paga o no.

Un aviso desde el principio: verificar da pruebas, no certeza. Un informe de validación puede demostrar que un PDF no ha cambiado desde que lo firmó un certificado. No demuestra que la factura de dentro sea honesta. Se apilan comprobaciones hasta que el riesgo que queda es uno que puedes asumir. Con un PDF firmado, la primera lleva dos minutos: comprobar una firma digital en línea y guardar el informe.

La apostilla es otra comprobación

Para un documento público que debe surtir efectos en otro país se habla de apostilla. Entre los Estados parte del Convenio de La Haya sustituye a la cadena de legalizaciones: certifica quién firmó, en qué calidad y bajo qué sello. No dice nada de si el contenido es cierto.

Los tipos de verificación se distinguen menos por la técnica que por el lugar donde está la verdad. En un PDF firmado, la prueba va dentro del archivo. En una factura, está en tu propia ficha de proveedor. En un título o un certificado, la tiene el emisor, y solo cuenta preguntarle a él.

El documento de identidad es el caso aparte. El documento es un pasaporte o un DNI, y la pregunta es si la persona que tienes delante coincide. Hace falta una herramienta especializada que lea la zona de lectura mecánica (MRZ) y el chip y haga una prueba de vida. Por eso muchas empresas solo la activan para quien firma un contrato de gran valor.

Un validador responde a una sola pregunta: ¿se sostiene esta firma, y con qué reglas? Para las firmas cualificadas en la UE, el artículo 32 del reglamento eIDAS fija la lista. La validación debe confirmar que el certificado era cualificado, lo expidió un prestador cualificado de servicios de confianza y era válido en el momento de la firma; que un dispositivo cualificado de creación de firma generó la firma; que los datos firmados no se han visto comprometidos; y que los datos del firmante te llegan correctamente, con el seudónimo señalado si lo hay.

Los validadores europeos, la biblioteca DSS de la Comisión Europea incluida, siguen la norma ETSI EN 319 102-1. Un solo procedimiento cubre PAdES (firmas dentro de PDF), XAdES (XML), CAdES (archivos .p7m y .p7s) y los contenedores ASiC, y termina en uno de tres veredictos. Cada herramienta los redacta a su manera; por debajo, siempre es uno de ellos.

En España, VALIDe, el validador de firmas y certificados de la Administración, comprueba documentos firmados en varios formatos. Y los documentos públicos con código seguro de verificación (CSV) se comprueban en la sede electrónica que los emitió: la Ley 40/2015 define el CSV como un sistema que permite verificar la integridad del documento accediendo a esa sede. En México, verificar CFDI recibidos con el servicio del SAT es lo mínimo antes de pagar: pide el folio fiscal, los RFC de emisor y receptor y el total, e indica si el comprobante está vigente o cancelado. Guarda la captura.

Válida no es lo mismo que cualificada

Un informe puede decir TOTAL-PASSED de una firma avanzada que no es cualificada. Que lo sea se averigua consultando una lista: ¿figura el emisor como prestador cualificado en la lista de confianza de la UE? La propia nota de ETSI advierte de que un resultado favorable no significa necesariamente que la firma sirva para un fin concreto. Lee entonces dos líneas: si validó y a qué nivel. Si tu contrato exige firma cualificada, además de PDF puedes contrastar archivos XAdES, CAdES y ASiC con la lista de confianza de la UE.

Un hábito que compensa: guarda el informe el día en que lo generas. Los datos de revocación de las firmas que no los incrustan pueden desaparecer más adelante, y el informe de hoy vale más que repetir la comprobación dentro de dos años.

Una huella (hash) es una marca breve calculada a partir de cada byte de un archivo. El Secure Hash Standard del NIST dice para qué sirve sin rodeos: los resúmenes detectan si un mensaje ha cambiado desde que se calcularon. Cambia una coma y el valor SHA-256 es completamente distinto.

Por eso comparar huellas es la forma más barata de verificar la autenticidad de un documento entre dos copias. Pide al remitente que te lea por teléfono la huella del archivo que envió y compárala con la del paso dos. Mismo valor, mismo archivo. Los tribunales de EE. UU. siguen la misma lógica: las notas de 2017 del comité sobre las Federal Rules of Evidence dicen que huellas idénticas muestran de forma fiable que una copia y un original son duplicados exactos.

El límite es igual de claro. Una huella idéntica demuestra que la copia es idéntica. No demuestra que el original fuera honesto.

Las dos marcas que hay detrás de la mayoría de los PDF firmados se pueden comprobar sin cuenta en ninguna de ellas.

DocuSign. Primero asegúrate de que el sobre viene de DocuSign de verdad. Las propias pautas de seguridad de DocuSign dicen que hay que confirmar que el correo procede de un dominio oficial como @docusign.net, y abrir el documento en el sitio de DocuSign con el código de seguridad del correo en lugar de usar un enlace. Después mira qué te han enviado:

• El PDF final, que se abre en cualquier validador como cualquier otro PDF firmado.
• El Certificate of Completion: el registro de DocuSign sobre el sobre, con el ID del sobre, cada firmante y los eventos con marca de tiempo de la firma. Es un registro de auditoría, no la firma digital del PDF; trata los dos como pruebas distintas.
• El ID del sobre impreso en las páginas, una referencia que puedes citar al pedir el certificado al remitente.

Adobe Acrobat. Abre el panel de firmas, elige la firma y valídala. Acrobat decide la confianza con sus propios ajustes, que no coinciden con los de un validador europeo: una firma puede pasar en Acrobat y salir como no cualificada en otro sitio, o al revés. Si te ha salido un aviso amarillo, aquí tienes qué significan los avisos amarillos de Acrobat.

Con franqueza: el fallo más común aquí no es un fraude. Es un documento que alguien retocó después de firmarlo.

El KYB (Know Your Business) es el KYC aplicado a la empresa. Para los sujetos obligados por la normativa antiblanqueo es un deber legal. Desde el 10 de julio de 2027 tendrán en la UE un reglamento único, el Reglamento (UE) 2024/1624. Para todos los demás, el KYB es prudencia normal, y cuesta menos de lo que parece:

1. 1.
   Busca tú mismo la empresa en el registro oficial. En España, el Registro Mercantil: ojo, solo la certificación acredita de forma fehaciente lo que consta en los asientos (artículo 77.2 del Reglamento del Registro Mercantil); la nota simple informa y nada más. En México, el Registro Público de Comercio, cuya consulta pública se hace en el sistema SIGER con el folio, la razón social o el nombre de un socio. Los registros mercantiles de todos los países de la UE se pueden consultar a la vez en el portal e-Justice desde junio de 2017.
2. 2.
   Compara la razón social, el número de registro o el RFC y el domicilio del documento con los del registro. Un nombre comercial en la factura y otra persona jurídica en el contrato merecen una pregunta.
3. 3.
   Comprueba quién puede firmar. Los administradores y apoderados constan en el registro; un «head of partnerships», normalmente no.
4. 4.
   En México, consulta la lista del artículo 69-B del Código Fiscal de la Federación: el SAT publica a los contribuyentes que emiten comprobantes sin activos ni capacidad para lo que facturan, y para los definitivos esas operaciones no producen efecto fiscal. Comprarle a uno de ellos sale caro.
5. 5.
   Si la empresa tiene un identificador de entidad jurídica (LEI), búscalo como segundo registro, que mantiene otro.

Con una contraparte extranjera, las reglas cambian. Companies House (Reino Unido) exige desde el 18 de noviembre de 2025 verificar la identidad de administradores y personas con control significativo. En EE. UU., los bancos identifican según 31 CFR 1010.230 a los titulares reales desde el 25 % y a una persona de control, y las sociedades creadas allí están exentas desde marzo de 2025 de declararlos a FinCEN: no busques una declaración federal.

Después, la persona. En un negocio grande, añade un control KYC del firmante: documento de identidad, prueba de vida y cribado de sanciones y PEP. Cómo comprobar la identidad de quien firma está en la página del servicio. Nuestra guía sobre verificar a un cliente antes de firmar explica quién está obligado por ley y quién debería hacerlo simplemente.

El papel falsificado se lleva la atención, pero las mayores pérdidas documentadas vienen de documentos reales, o de conversaciones reales, a los que se les cambió un detalle. El Informe sobre delitos en Internet 2024 del FBI contabilizó 21.442 denuncias de compromiso del correo empresarial y 2.770 millones de dólares de pérdidas, de 16.600 millones declarados ese año. Dentro de las empresas, el fraude dura: el informe 2026 de la ACFE, con 2.402 casos de todo el mundo, sitúa la pérdida mediana en 104.000 dólares y el plazo típico hasta detectarlo en 12 meses.

Patrones que conviene enseñar a tu equipo:

• Datos bancarios cambiados. Una conversación real con un proveedor, una factura creíble, una cuenta nueva. Con un correo falso de la dirección se llama fraude del CEO. Es el patrón más caro y el más fácil de frenar, con una llamada.
• Un PDF editado que aún muestra una firma. Un PDF puede llevar revisiones añadidas después de firmar, así que una firma puede ser válida para una versión anterior mientras que la página que lees es posterior. Los validadores indican qué revisión cubre cada firma. Lee esa línea.
• Una imagen de firma pegada: parece una firma y no lleva criptografía.
• Un dominio parecido: una letra cambiada en la dirección del remitente, a menudo en una conversación que empezó legítima.
• Un certificado real que no es suyo, retocado para mostrar otro nombre de empresa u otro alcance. El registro del emisor lo detecta.
• Facturas de empresas que no existen. Cómo saber si una factura es falsa en México no se resuelve con un CFDI vigente: puede venir de una empresa fantasma. La lista del 69-B y el verificador del SAT se complementan.
• Documentos de identidad y nóminas generados. Detectarlos es trabajo de herramientas especializadas, y hemos tratado aparte qué buscan los modelos de IA en un documento de identidad falso.

Una duda frecuente: un documento falso se fabrica entero; uno falsificado es un original alterado. Para quien lo recibe da igual, las comprobaciones son las mismas, y ambos son falsedad documental, un delito.

Ninguno de estos patrones sobrevive a una rutina que compruebe el canal y una fuente independiente. Sobreviven a las personas con prisa.

Un informe de validación es una prueba sobre una firma. Cuánto pesa depende de dónde lo vayas a usar y de lo que le pasara al archivo antes de que lo comprobaras.

En la UE, el artículo 25, apartado 1, del reglamento eIDAS impide negar a una firma electrónica efectos jurídicos y admisibilidad como prueba solo porque sea electrónica o no cumpla los requisitos de la cualificada. Eso abre la puerta. El artículo 33 añade un nivel: solo un prestador cualificado de servicios de confianza puede ofrecer un servicio de validación cualificado de firmas cualificadas, validando conforme al artículo 32 y entregando el resultado de forma automatizada con su propia firma o sello avanzado. Un informe así es más difícil de discutir que la captura de una marca verde.

En España, la Ley 6/2020 (artículo 3) remite a la Ley de Enjuiciamiento Civil. Si el documento se firmó con un servicio de confianza no cualificado y se impugna, se procede por la vía del artículo 326.2 (cotejo pericial o cualquier otra prueba útil). Si se usó un servicio cualificado que figuraba en la lista de confianza en el momento relevante, el artículo 326.4 presume que el documento reúne la característica cuestionada, y la carga de hacer la comprobación recae en quien lo impugna.

En México, el Código de Comercio no niega efectos jurídicos a la información por estar en un mensaje de datos (artículo 89 bis) y da por cumplida la forma escrita si se mantiene íntegra y accesible (artículo 93). La firma electrónica es avanzada o fiable si, entre otros requisitos, permite detectar cualquier alteración posterior (artículo 97). Y como prueba, el mensaje de datos se valora sobre todo por la fiabilidad del método con que se generó, archivó, comunicó o conservó (artículo 1298-A). La NOM-151-SCFI-2016 añade la constancia de conservación, que emite un prestador de servicios de certificación y acredita cuándo existía un mensaje y si cambió.

En EE. UU., la regla 901(a) de las Federal Rules of Evidence pide lo necesario para sostener que un elemento es lo que su proponente dice. Desde diciembre de 2017, los apartados 902(13) y 902(14) de la regla 902 permiten que la prueba electrónica se autentique con la certificación de una persona cualificada; las notas citan la huella como método habitual.

Dos reservas, y las dos importan. Auténtico no significa verdadero: un informe prueba el archivo y la firma, no los hechos que contienen, y la otra parte aún puede discutir el contenido. Y nada de esto es asesoramiento jurídico para tu litigio; es el marco del que parte un abogado. Aviso franco: si el original se editó antes de que nadie calculara su huella, ninguna norma lo arregla, y por eso la verificación empieza en el momento en que llega el archivo.

Chaindoc está en los dos lados de la verificación de documentos, así que conviene ser exactos con cada uno.

Con los archivos que recibes, el servicio de verificación de Chaindoc hace las comprobaciones de la sección del informe sobre firmas PDF, XML, CAdES y ASiC. Antes de la primera comprobación confirmas tu correo con un código de un solo uso. La validación se apoya en la biblioteca DSS de la Comisión Europea, la confianza se ancla en la lista de confianza de la UE y en las grandes autoridades de certificación comerciales, y la integridad y la confianza vuelven como resultados separados, de modo que un emisor no reconocido no pasa por un documento manipulado. Para una validación cualificada en el sentido del artículo 33 tendrías que acudir a un prestador cualificado de servicios de confianza que la ofrezca.

Cuando envías un documento por Chaindoc, el servidor calcula la huella del archivo al subirlo. Al publicarlo para firma, la huella de esa versión se escribe en una cadena de bloques pública, y la prueba de cada firmante se registra allí cuando termina. Los controles de identidad de los firmantes son opcionales y van con los planes de pago, así que puedes activarlos para los documentos que lo justifiquen.

Lo que Chaindoc no hace es la llamada del paso tres ni la consulta al registro del paso cinco. Eso sigue siendo tuyo. Si comparas servicios de verificación, es una prueba justa para cualquiera: qué pasos cubre la herramienta y cuáles deja en silencio a tu equipo.

Imprímela, fíjala en el canal de finanzas, adáptala. Una rutina para verificar documentos solo funciona si se aplica también a la aburrida factura del martes, no solo al contrato grande.

• Original guardado intacto, huella anotada
• Remitente, dominio y petición normales para esa contraparte, o confirmados por un contacto conocido
• Firma validada, informe guardado, nivel comparado con lo que necesita el negocio
• Contenido contrastado con una fuente independiente: registro del emisor, registro oficial, ficha de proveedor
• Empresa localizada en su registro oficial y firmante con poder para firmar
• Control de identidad del firmante donde el valor del negocio lo justifique
• Todo archivado junto, con la nota de quién confirmó qué y cuándo

Si un paso no se puede hacer, anota por qué. Un hueco registrado es una decisión. Un hueco que nadie notó es el comienzo de los casos caros.