Las URLs desempeñan un papel sorprendentemente importante en la investigación criminal. Los registros de clics de las URLs cortas, los datos de registro de los dominios de phishing, las direcciones guardadas en el historial del navegador: no son pocos los casos en los que estas pruebas digitales acabaron decidiendo una detención.
En un caso de estafa ocurrido en Estados Unidos en 2016, el registro de clics de la URL corta que el estafador envió a sus víctimas resultó ser la prueba decisiva. El autor incrustó en correos de phishing una URL corta creada con Bitly para robar credenciales bancarias, pero los registros de Bitly guardaban la dirección IP, la hora de acceso y el navegador de todos los usuarios que pulsaron el enlace. El FBI obtuvo esos datos mediante una orden judicial y localizó el domicilio del autor gracias a la IP registrada cuando este probó su propio enlace: había cometido el error de principiante de hacer clic en su propia URL corta.
Tampoco faltan los casos resueltos rastreando los datos de registro de dominios (WHOIS) de las URLs de phishing. En 2019, Europol analizó los datos WHOIS de los cientos de dominios empleados en una campaña masiva de phishing y descubrió que todos estaban registrados con la misma información: mismo nombre, mismo correo y mismo teléfono. Tirando de ese hilo fueron detenidos 11 miembros de una organización criminal asentada en Europa del Este. Hoy buena parte del WHOIS es privado por efecto del RGPD, pero las fuerzas del orden pueden exigir al registrador los datos del titular con una orden judicial.
Los casos en los que las URLs del historial de navegación se admiten como prueba judicial también van en aumento en Japón. En el caso de los 9 asesinatos de Zama, de 2017, las URLs de redes sociales halladas en el historial del navegador del smartphone del sospechoso fueron una prueba clave para reconstruir cómo había contactado con las víctimas. En las investigaciones internas de las empresas, el historial de navegación de un empleado sirve a veces para acreditar la sustracción de información confidencial o los contactos irregulares con la competencia.
Rastrear las cadenas de redirección de las URLs ha permitido incluso desmontar redes de distribución de malware. Los investigadores de seguridad analizan la "cadena de redirecciones" por la que un sitio infectado pasa por varias URLs cortas y redirecciones sucesivas hasta alcanzar el servidor final de distribución; recopilando los dominios y servidores de cada eslabón se dibuja el mapa completo de la infraestructura del atacante. En 2020, el Grupo de Análisis de Amenazas de Google desentrañó de este modo la cadena de redirecciones de URLs cortas de un grupo de hackers norcoreano y sacó a la luz toda su infraestructura de ataque. Para el delincuente, la URL es una herramienta cómoda; para el investigador, un tesoro de pruebas.