Análisis de nivel de error (ELA): detectar imágenes falsificadas en documentos

El análisis de nivel de error (ELA, del inglés Error Level Analysis) identifica zonas de una imagen JPEG que han sido alteradas digitalmente midiendo inconsistencias de compresión a nivel de píxel. Cuando un defraudador retoca una nómina, un extracto bancario o un documento de identidad y guarda el resultado como JPEG, las zonas modificadas conservan una firma de compresión diferente del resto de la imagen original — y el ELA hace visible esa diferencia en cuestión de segundos.

Según el informe ACFE 2024 Report to the Nations, solo el 37 % de los fraudes documentales se detectan mediante controles manuales. El análisis forense de imágenes, incluido el ELA, cubre el punto ciego que la inspección visual no puede cerrar.

Qué es el análisis de nivel de error

ELA es una técnica forense que revela manipulaciones en imágenes JPEG aprovechando el algoritmo de compresión con pérdida del formato. Cuando un archivo JPEG se guarda a un nivel de calidad determinado, el codificador aplica transformadas de coseno discretas (DCT) a bloques de 8×8 píxeles en toda la imagen, descartando los detalles por debajo de un umbral establecido. Tras este proceso, todos los bloques de la imagen alcanzan aproximadamente el mismo nivel de error residual — el "suelo" de artefactos de compresión para esa configuración de calidad.

Cuando alguien edita un JPEG — sustituyendo una cifra de salario, cambiando una fotografía o alterando una fecha — la zona editada procede de una fuente diferente o ha sufrido un ciclo de compresión distinto. Al guardar de nuevo el archivo compuesto se crea un desajuste: los píxeles originales no modificados se comprimen por segunda vez y pierden más detalle, mientras que la región insertada, comprimida por primera vez o procedente de otro codificador, conserva un perfil diferente.

El ELA hace visible ese desajuste. El procedimiento estándar, formalizado por el investigador de seguridad Neal Krawetz en Black Hat USA 2007, consiste en:

1. Volver a guardar la imagen a un nivel de calidad conocido (habitualmente 95 %).
2. Calcular la diferencia absoluta píxel a píxel entre la versión re-guardada y el original.
3. Escalar las diferencias para hacerlas visibles y mostrar el resultado como un mapa de calor — las zonas más luminosas indican niveles de error más altos y posible manipulación.

Cómo detecta el ELA las alteraciones en documentos

Un documento auténtico no alterado muestra una luminosidad relativamente uniforme en el mapa ELA, con la excepción de los efectos de borde predecibles en límites de alto contraste como el texto impreso sobre papel blanco. Estos bordes son estructuralmente esperados y producen niveles de error elevados en cualquier JPEG no modificado.

Un documento falsificado presenta dos patrones característicos:

Parches anormalmente brillantes en regiones planas. El texto, los números o los gráficos insertados desde una fuente externa conservan sus características de compresión originales. La frontera entre el contenido insertado y el contenido original suele brillar en el mapa ELA, incluso cuando la diferencia visual es imperceptible a simple vista.

Parches anormalmente oscuros donde el contenido ha sido borrado. Cuando un defraudador sobreescribe el contenido original — por ejemplo, borrando una cifra de salario e insertando otra —, la zona sobreescrita puede mostrar niveles de error anormalmente bajos en comparación con el texto original adyacente, al haber sido aplanada por ciclos de compresión adicionales.

Ambas firmas son detectables incluso tras una edición profesional, porque las matemáticas de compresión subyacentes no pueden enmascararse simplemente ajustando fuentes o valores de color.

Tipos de documentos donde el ELA es más eficaz

El ELA es más fiable en documentos cuyo original es un escaneado o fotografía JPEG. La técnica es menos útil para PDF nativos o archivos PNG, que utilizan esquemas de compresión sin pérdida o diferentes.

El fraude en nóminas es una de las aplicaciones más frecuentes. Entidades prestamistas y arrendadores reciben habitualmente nóminas escaneadas con salarios inflados; el ELA, combinado con el análisis de metadatos PDF, ofrece una verificación en dos capas que detecta la mayoría de las falsificaciones burdas.

Cómo realizar una verificación ELA: herramientas y proceso

La herramienta pública más utilizada es FotoForensics, que implementa el algoritmo original de Krawetz. Las plataformas forenses y los sistemas comerciales de verificación documental suelen integrar el ELA como parte de un pipeline más amplio de análisis de imagen.

Un flujo de trabajo práctico para equipos de cumplimiento:

1. Extraer la imagen del documento. Convertir los PDF escaneados a exportaciones JPEG página a página con la resolución original. No recomprimir durante la extracción.
2. Ejecutar ELA con un nivel de calidad fijo. La calidad 75 es un punto de referencia estándar; la calidad 95 resalta las alteraciones sutiles.
3. Inspeccionar las regiones planas y las zonas de texto. Marcar cualquier zona donde la distribución del nivel de error se desvíe de la línea de base circundante.
4. Contrastar con los metadatos. La fecha de creación, el software productor y el historial de revisión XMP deben ser coherentes con el origen declarado del documento.
5. Comparar con una muestra de referencia. Cuando sea posible, solicitar un segundo documento del mismo tipo emitido por el mismo organismo para comparar las firmas de compresión de referencia.

Ninguna herramienta produce por sí sola un veredicto definitivo de falsificación. Los resultados ELA son indicadores para una investigación adicional, no pruebas autónomas.

Limitaciones del análisis de nivel de error

Entender dónde falla el ELA es tan importante como saber dónde funciona. A junio de 2026, los siguientes escenarios reducen la fiabilidad del ELA:

Múltiples ciclos de compresión. Un documento que ha sido impreso y reescaneado, o pasado por varias etapas de codificación JPEG, presenta un mapa de error aplanado y homogéneo que oculta ediciones previas. Los defraudadores profesionales explotan esto re-exportando las imágenes varias veces antes de la entrega.

Software de edición de alta calidad. Las herramientas que gestionan nativamente la codificación JPEG — como Adobe Photoshop con "Guardar para Web" en modo máxima calidad — pueden reducir el desajuste entre las zonas editadas y las originales, especialmente con ajustes de calidad superiores a 90.

Formatos sin pérdida. El ELA no se aplica a archivos PNG, TIFF o PDF generados directamente desde un procesador de texto. Para estos, el análisis de metadatos y la inspección estructural son los métodos de detección principales.

Artefactos ELA nativos en bordes. Los límites de alto contraste entre texto y fondo siempre muestran niveles de error elevados. Interpretarlos como indicadores de falsificación sin examinar el contexto circundante produce falsos positivos.

Documentos generados por IA. Los documentos producidos por modelos generativos no están ensamblados a partir de una fuente JPEG y, por tanto, no muestran ningún desajuste ELA detectable. Requieren una capa de detección diferente centrada en los artefactos de generación y las firmas del modelo. La detección de IA de CheckFile aborda esta clase de falsificación por separado.

Según el informe ENISA Threat Landscape 2024, la sofisticación de las herramientas de falsificación documental accesibles a actores no técnicos está aumentando. El ELA debe tratarse como una capa dentro de un enfoque de defensa en profundidad, no como único guardián.

Combinar el ELA con otras técnicas forenses

Un enfoque analítico multicapa que combine ELA, inspección de metadatos y verificación de coherencia entre documentos representa la metodología más fiable para identificar imágenes de documentos manipuladas. Ninguna técnica única cubre todos los vectores de ataque.

La forense de metadatos examina la huella digital integrada en el archivo: fecha de creación, software productor PDF, historial de revisión XMP y datos EXIF para fotografías. Una nómina cuya marca de tiempo EXIF muestra una modificación tres horas después de la fecha de pago declarada es una señal de alerta inmediata.

El análisis de la estructura de archivo inspecciona la estructura de bytes internos de PDF e imágenes en busca de anomalías: flujos de objetos duplicados, bloques de datos huérfanos o tablas de referencias cruzadas inconsistentes que indiquen inyección de contenido.

La coherencia entre documentos valida que dos documentos del mismo organismo — por ejemplo, varias nóminas del mismo empleador — compartan las mismas fuentes, métricas de diseño y estructura de objetos incrustados. Las incoherencias surgen cuando un documento del conjunto ha sido producido desde una plantilla diferente.

La detección de señales de generación IA identifica patrones exclusivos de documentos sintéticos creados por modelos de lenguaje o generadores de imágenes. Nuestra comparación de herramientas forenses documentales e IA cubre este tema en detalle.

Juntas, estas técnicas proporcionan una cobertura que se superpone: cuando un defraudador supera un control — por ejemplo, usando un intermediario sin pérdida para aplanar las señales ELA —, las otras capas suelen revelar anomalías diferentes.

Marco regulatorio en España

A 24 de junio de 2026, las entidades obligadas españolas bajo la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales están obligadas a aplicar medidas de diligencia debida proporcionales al riesgo presentado. El SEPBLAC y la CNMV no establecen métodos técnicos específicos para la verificación documental, pero exigen sistemas y controles sólidos para detectar documentos falsos o alterados tanto en el proceso de alta de clientes como en el seguimiento continuo.

El ELA, como parte de un flujo forense documentado, satisface el estándar de medidas "adecuadas al riesgo" cuando se aplica de forma sistemática y los resultados se registran en el expediente de riesgo del cliente. Las entidades deben asegurarse de que las salidas ELA se registren junto con la justificación de la decisión para respaldar las pistas de auditoría.

Para profundizar en sus prácticas de verificación documental, consulte nuestra guía de verificación de documentos.

Preguntas frecuentes

¿Qué muestra concretamente el ELA?

El ELA muestra dónde el patrón de compresión de una imagen se desvía de lo que cabría esperar si la imagen no hubiera sido nunca alterada. Las zonas más luminosas en el resultado ELA indican regiones que han sufrido ciclos de compresión adicionales o procedentes de una fuente diferente, ambas situaciones sugieren modificación posterior a la captura.

¿Puede el ELA detectar todos los tipos de falsificaciones documentales?

No. El ELA es eficaz en documentos JPEG no alterados por múltiples ciclos de recompresión. No detecta alteraciones en formatos sin pérdida (PNG, PDF nativo) ni en documentos generados por IA, que no tienen un patrón de compresión JPEG original del que desviarse.

¿Qué herramientas gratuitas puedo usar para ELA?

FotoForensics (fotoforensics.com) es la implementación en línea gratuita más utilizada del algoritmo de Neal Krawetz. Acepta subidas de JPEG y PNG y devuelve un mapa ELA anotado. Para la verificación documental a escala de producción, las plataformas comerciales integran ELA como parte de un pipeline automatizado más amplio.

¿Cómo se diferencia el ELA del análisis de metadatos?

El ELA analiza el patrón de compresión a nivel de píxel para detectar dónde el contenido visual puede haber sido alterado. El análisis de metadatos examina los datos integrados no visibles (fechas de creación, software, historial de revisión) para detectar cuándo y cómo se modificó el archivo. Son complementarios: el ELA identifica DÓNDE en la imagen se produjo una edición; el análisis de metadatos revela CUÁNDO y CÓMO se alteró el archivo.

¿Son admisibles los resultados ELA como prueba ante los tribunales españoles?

Los resultados ELA pueden respaldar informes periciales redactados por expertos cualificados, pero la salida ELA por sí sola no constituye prueba autónoma de falsificación ante los tribunales españoles. Se utiliza como indicador preliminar que desencadena una investigación más detallada. La admisibilidad depende de la metodología del perito, la cadena de custodia y la documentación del análisis.

Para situar este riesgo en la oferta CheckFile, consulte nuestro enfoque de detección IA y deepfake.