Solicitar análisis forense móvil legal

En un incidente con teléfonos de por medio —un cambio de dispositivo sospechoso, mensajes que desaparecen, mal uso de un móvil de empresa— la pregunta útil no es «¿se puede entrar?», sino «¿qué se puede obtener de forma legal y presentable?». La respuesta depende del modelo del equipo, de su versión de sistema operativo, del consentimiento del propietario y del método de adquisición que se aplique. En esta página lo explicamos desde el punto de vista de quien contrata: qué niveles de examen existen, por qué importan la cadena de custodia y los hashes de integridad, y cuándo una copia de seguridad propia ya le sirve sin necesidad de pagar un laboratorio.

En un teléfono, la propiedad, el consentimiento y la preservación de pruebas lo condicionan todo: la extracción encubierta de datos de un dispositivo ajeno no es un servicio forense, es un acceso ilegítimo.

No ayudamos a extraer información de móviles que usted no posee ni está autorizado a examinar, ni a instalar herramientas de vigilancia encubierta. Todo trabajo parte de un consentimiento documentado y de un alcance acordado por escrito.

Un análisis forense móvil no es una «revisión rápida»

Cuando usted encarga un examen forense, lo que compra no es «mirar el teléfono», sino un proceso reproducible: los datos se obtienen con herramientas documentadas, se registra quién tocó qué y cuándo, y cada hallazgo puede rastrearse hasta su origen. Una exploración manual —abrir conversaciones, revisar la galería— puede orientarlo, pero lo que usted ve con sus propios ojos rara vez sirve como prueba: no queda registro de cómo se obtuvo ni garantía de que el contenido no haya cambiado.

Niveles de adquisición: de la copia de consumo a la extracción profunda

Los laboratorios serios distinguen varios niveles, y conviene que usted los conozca antes de pedir un servicio o una cotización:

Copia de consumo: exportar un respaldo desde la cuenta de Google o Apple, o desde la propia aplicación del teléfono. Es la vía más simple y, en buena parte de los casos, suficiente para reconstruir mensajes, contactos, fotos y el historial de aplicaciones.
Adquisición lógica: se usa un protocolo oficial de sincronización para volcar a un archivo los datos que el sistema expone. Suele exigir que el dispositivo esté desbloqueado o que exista un respaldo previo, y no alcanza todo el contenido interno (por ejemplo, mensajes ya borrados del sistema).
Adquisición a nivel de sistema de archivos y física: intenta leer el almacenamiento interno al completo, incluidas zonas que la interfaz no muestra. Es donde se intenta trabajar sobre datos eliminados, y también donde más topa uno con límites técnicos, licencias y tiempos.

Cada nivel posterior da más, pero también depende más del equipo concreto y del tiempo disponible; por eso ningún profesional responsable promete el nivel antes de inspeccionar el dispositivo.

Por qué la profundidad posible depende del modelo y del sistema operativo

Dos teléfonos aparentemente iguales no siempre admiten el mismo método. Los fabricantes endurecen el arranque, cifran los respaldos de forma distinta según la versión del sistema y cierran vías de acceso con cada actualización. Algunos ejemplos del día a día:

un parche del sistema puede tapar la ruta que ayer permitía leer el almacenamiento al completo
si el propietario activó el cifrado de respaldo con contraseña, el examinador puede necesitar esa clave de su parte
el chip y la memoria del equipo determinan qué herramientas profesionales tienen soporte para ese modelo concreto
los examinadores formados consultan sus bases de soporte antes de comprometer un resultado: si alguien le garantiza «recuperación total» de cualquier equipo, ya sabe que está ante una promesa vacía.

Cadena de custodia y hashes de integridad: lo que da fuerza a la prueba

En procedimientos en España y en los distintos países de América Latina, las reglas exactas sobre admisión de evidencia digital varían y corresponde valorarlas al abogado del foro correspondiente. Pero el principio de fondo es parecido en todas partes: la contraparte querrá plantear que el dato pudo haberse alterado, y su defensa contra eso es el registro documentado.

el dispositivo o la copia se sella, y cada acceso se anota con quién, cuándo y con qué herramienta
sobre cada imagen obtenida se calcula un valor hash, una huella criptográfica: si el archivo varía en un solo byte, la huella ya no coincide
los respaldos tomados a través de servicios de terceros (Apple, Google) suelen traer su propia firma o metadatos de servidor que apuntalan fecha y autoría
un informe sin registro de custodia vale menos, porque la parte contraria casi siempre podrá alegar manipulación.

En resumen: cuanto mejor esté documentada la cadena de custodia, más difícil será descalificar la evidencia, sea ante un juzgado español, uno latinoamericano o en un proceso interno de empleo.

¿Le basta con su copia o necesita un examinador forense?

Mi teléfono se porta de forma extraña y el asunto podría acabar en un juzgado. ¿Qué hago primero?
Antes de usarlo, consulte con un profesional: cada reinicio, actualización o borrado modifica potencialmente las pruebas. Un examinador preservará el equipo antes de tocar nada.

¿Y si solo quiero entender qué pasa en mi propio teléfono, sin juicio de por medio?
Con una copia de consumo desde su cuenta o con un respaldo local conservado sin editar puede revisar conversaciones, aplicaciones y fotografías sin alterar el equipo. Pero si el asunto involucra a un tercero —un procedimiento familiar, un despido—, sus capturas pesan poco: cualquiera puede fabricar una captura. Un informe firmado y acompañado de hashes pesa bastante más.

Somos una empresa y sospechamos mal uso de un móvil corporativo. ¿Podemos examinarlo nosotros?
Si la política de uso firmada por el empleado contempla la revisión de equipos y la legislación local lo permite, puede encargarlo a un tercero profesional. Sin esa cobertura, mejor no tocar el equipo: examinar el teléfono de un trabajador contando solo con una sospecha, sin contar con el consentimiento documentado, puede invalidar la prueba contra él.

¿Cuándo es imprescindible un laboratorio de verdad?
Cuando se sospecha que los datos se están borrando, cuando ya existe un procedimiento judicial y cuando la contraparte puede discutir la autenticidad de lo que usted presente. Regla práctica: si el asunto es solo suyo, respaldo y revisión; si involucra a otras personas, examen con informe.

Qué debería contener un informe de laboratorio honesto

Un informe forense móvil profesional, como mínimo, debe dejar claro lo siguiente:

identificadores del dispositivo analizado (marca, modelo, número de serie o IMEI, versión del sistema) y a quién pertenece
el método de adquisición y la herramienta concretas, con su versión, para que otro profesional pueda repetir el paso
los hashes de integridad de cada imagen y respaldo obtenido durante el trabajo
la lista de rastros relevantes con su referencia al archivo fuente: conversaciones con fechas, aplicaciones instaladas y cuándo, sincronizaciones y accesos notables si procede
lo que no se pudo recuperar ni verificar. El límite es contenido del informe, no un defecto que ocultar.

Si el documento entregado no menciona sus propios límites, está incompleto; si no incluye hashes, lo que le entregan no es evidencia, es una opinión.

Quién puede encargar legalmente el examen del dispositivo

Las reglas exactas cambian según el país y el contexto; antes de encargar nada, pida asesoramiento local. Como marco general:

El propietario: puede dar consentimiento sobre su propio teléfono, y ese es el caso más sencillo. Si otra persona lo usa a diario, también es prudente recoger su autorización por escrito.
La empresa: puede examinar equipos corporativos en la medida en que la política de uso firmada por el empleado lo permita. Los teléfonos personales usados para trabajo (lo que se conoce como BYOD) están en zona gris y exigen prudencia.
Cónyuge y familiares: la convivencia o el matrimonio no dan acceso por sí mismos al teléfono del otro; para procedimientos familiares suele hacer falta autorización expresa o una orden judicial, no una decisión privada.

En ningún caso la sospecha legitíma registrar el dispositivo de otra persona por su cuenta. Si no puede conseguir consentimiento, la vía correcta pasa por un abogado y, en su caso, por el tribunal; no por un laboratorio privado improvisado.

Errores caseros que arruinan la evidencia móvil

Antes de que un examinador toque el equipo, evite lo que suele inutilizar la prueba:

seguir usando el teléfono: cada mensaje nuevo y cada sincronización cambian los datos
restaurar el equipo de fábrica o aceptar una actualización del sistema sin consultar antes
recortar o editar capturas «para que se entienda»: la base auténtica es el dato original, no la imagen retocada
entregar el dispositivo a un intermedio sin contrato ni identificación verificable: si no hay hash ni registro, nadie podrá probar quién obtuvo qué.

Cyberlord

Envíenos el modelo del teléfono, qué busca encontrar y quién puede autorizar el examen. Primero le diremos qué nivel de adquisición es técnicamente viable y qué tiene sentido legal en su situación, antes de que pague por un trabajo que quizá no sea posible.

¿Puede Cyberlord empezar hoy mismo?
Sí, con una evaluación inicial de viabilidad: qué dispositivo, qué autorización y qué nivel de adquisición encaja con su caso.

¿Debo enviar contraseñas o el equipo antes de firmar?
No. Las credenciales y el dispositivo se entregan solo cuando el alcance y el consentimiento están por escrito.