Perito informático de móviles con validez judicial

«Validez judicial» no significa que exista un botón que convierta cualquier archivo en prueba indiscutible. Significa que la actuación se documenta para que el tribunal sepa qué se recibió, cómo se conservó, qué método se utilizó, qué resultados se obtuvieron y cuáles son sus límites. La Ley de Enjuiciamiento Civil admite el dictamen de peritos cuando se necesitan conocimientos técnicos para valorar hechos relevantes y exige al profesional actuar con la mayor objetividad posible.

La fuerza del resultado aumenta cuando se dispone del terminal original, de acceso legítimo, de una cadena de custodia clara y de datos próximos a la fuente. Disminuye cuando solo hay una captura recortada, un archivo reenviado, una exportación incompleta o una copia hecha por un tercero sin documentación. El informe explica estas diferencias para que el abogado decida cómo aportar la evidencia y qué otras diligencias solicitar.

Una extracción lógica solicita al sistema, o a una interfaz autorizada, los datos que puede entregar. Suele ser menos invasiva y puede bastar para contactos, mensajes, archivos y otras categorías, pero no accede a todo el almacenamiento. La extracción del sistema de archivos busca una estructura más amplia de carpetas, bases de datos y metadatos, siempre condicionada por el dispositivo y el método disponible.

Las adquisiciones más profundas pueden requerir técnicas específicas, modos de servicio o procedimientos compatibles con determinados modelos. No todas son posibles, proporcionadas ni aconsejables: algunas implican más riesgo operativo y deben valorarse frente al objetivo jurídico. En los terminales modernos, el cifrado, los componentes seguros y las actualizaciones limitan el acceso incluso cuando se tiene físicamente el aparato.

Una copia de seguridad puede ser una fuente válida y muy útil cuando el teléfono funciona y el titular puede autorizarla. Sin embargo, no contiene necesariamente lo mismo que una extracción del sistema de archivos y puede omitir datos de ciertas aplicaciones. Del mismo modo, una exportación de chat facilita la lectura, pero no equivale a la base de datos interna ni conserva todos los identificadores y relaciones.

La cadena de custodia permite reconstruir la vida de la evidencia: quién la entregó, cuándo, en qué estado, dónde se almacenó y qué operaciones se hicieron. No es una frase genérica añadida al final: debe corresponderse con registros, identificadores y ficheros concretos. Si el teléfono llegó encendido, apagado, dañado o sin código, se deja constancia, porque estas circunstancias influyen en el procedimiento.

Las huellas digitales o hashes permiten comprobar que una adquisición o un archivo no ha cambiado desde el momento en que se calcularon. Un hash estable no demuestra por sí solo que el contenido sea verdadero ni identifica a su autor: acredita la igualdad binaria entre dos ejemplares. La autenticidad se estudia con la procedencia, la estructura, el contexto, los metadatos y el resto de datos disponibles.

El análisis se hace sobre copias de trabajo. La extracción maestra se conserva sin alteraciones y cualquier archivo derivado —una imagen exportada, una conversación preparada para anexar o una tabla cronológica— se identifica. Así puede saberse qué dato procede del teléfono, cuál ha interpretado la herramienta y cuál ha preparado el perito para facilitar la lectura.

Android agrupa multitud de fabricantes, capas de personalización, versiones y políticas de seguridad: dos teléfonos con el mismo nombre comercial pueden tener parches, almacenamiento y aplicaciones diferentes. iPhone presenta una integración más uniforme entre hardware y sistema, pero usa mecanismos de cifrado y protección que también dependen del modelo, la versión y el estado de desbloqueo. Por eso no se promete un resultado solo porque el dispositivo sea Android o iOS.

Las actualizaciones modifican bases de datos, permisos y posibilidades de adquisición. Una herramienta puede admitir un modelo en una versión concreta y no en la siguiente, y las aplicaciones actualizan sus esquemas internos: los campos que ayer representaban una fecha pueden cambiar o migrarse. El laboratorio registra las versiones relevantes y contrasta los datos antes de concluir.

El perito debe conocer también los límites de la herramienta. Los programas forenses ayudan a adquirir, decodificar y presentar información, pero pueden clasificar mal un registro o no interpretar una base nueva. Cuando un dato es decisivo, conviene revisarlo en su estructura original, contrastarlo con otros artefactos y explicar el nivel de confianza.

El terminal puede conservar el archivo original, una copia editada, miniaturas, versiones enviadas por mensajería y referencias en bases de datos. Estos ejemplares no son equivalentes. La fotografía original suele aportar más metadatos; una versión enviada puede haber sido recomprimida; una miniatura solo acredita que el sistema generó una representación en algún momento, y necesita contexto.

El análisis puede relacionar la fecha del archivo, la fecha EXIF, la ubicación, la aplicación de origen, la carpeta, la miniatura, el envío y otras referencias. Las fechas no se aceptan sin contraste: una zona horaria incorrecta, una restauración, una descarga o una edición pueden modificarlas. Si hay que determinar una manipulación o la autenticidad visual, puede combinarse con una pericial específica de imágenes y vídeos.

Los audios y documentos también requieren identificar su fuente. Un PDF descargado, un adjunto de correo y una copia abierta por una aplicación pueden tener nombres o fechas diferentes. El informe explica qué ejemplar se localizó y cómo se relaciona con la comunicación o el hecho investigado.

El análisis puede buscar aplicaciones instaladas, permisos excesivos, servicios de accesibilidad, administradores del dispositivo, perfiles de gestión, configuraciones de VPN, certificados, consumo anómalo y otros indicios. Que no haya una aplicación visible no demuestra que nunca existiera, y la presencia de una herramienta de control parental no acredita por sí sola un uso ilícito: hay que estudiar la instalación, la configuración, la actividad y el contexto.

Algunas aplicaciones maliciosas intentan ocultarse o aprovechar funciones legítimas del sistema; otras dejan rastros limitados tras eliminarse. También hay comportamientos normales —sincronización, servicios del fabricante, copias en la nube— que pueden parecer vigilancia sin serlo. La conclusión debe basarse en artefactos verificables y considerar las explicaciones alternativas.

Si existe un riesgo actual para la seguridad de una víctima, puede ser necesario coordinar la preservación con medidas de protección y asesoramiento jurídico. «Limpiar» el teléfono antes de adquirir la evidencia puede eliminar los rastros. Por eso se separa la fase de documentación forense de la posterior eliminación de la amenaza.

Los teléfonos almacenan los tiempos en formatos distintos: UTC, hora local, época Unix, contadores propios o textos mostrados por la aplicación. La zona horaria puede cambiar durante un viaje y restaurar una copia puede modificar las fechas del sistema de archivos. Por eso no basta con exportar una columna titulada «fecha»: hay que conocer su significado y contrastarla con otros registros.

Una marca de tiempo indica que un sistema registró un evento en un momento, no necesariamente que el propietario lo hiciera en persona. Una aplicación puede trabajar en segundo plano, sincronizar datos o programar tareas, y una cuenta puede estar abierta en varios dispositivos. Para atribuir una acción se valoran desbloqueos, actividad de la aplicación, archivos, notificaciones, conexiones y otros elementos, sin convertir una coincidencia en certeza.

Un perito informático debe expresar las conclusiones al nivel que permite la evidencia. Puede afirmar que un registro está asociado al dispositivo o a una cuenta cuando los datos lo respaldan; atribuirlo a la acción consciente de una persona requiere más contexto.

Eliminar un elemento no produce siempre el mismo resultado. Puede marcarse como borrado, desaparecer de un índice, permanecer en una miniatura, conservarse en una copia o quedar sobrescrito. En el almacenamiento moderno intervienen el cifrado, las bases de datos, la optimización y mecanismos de borrado que reducen las posibilidades de recuperación, y el uso posterior del terminal puede modificar su estado.

No prometemos recuperar un dato concreto antes de examinar el material. Primero se valora si hay una fuente viable: el terminal, una copia, el interlocutor, una nube autorizada, un archivo adjunto, una notificación o un dispositivo vinculado. Si no existe una vía técnicamente defendible, se explica antes de generar expectativas y costes desproporcionados.

Que un mensaje no aparezca en una extracción tampoco demuestra por sí solo que nunca existiera: puede haberse eliminado, pertenecer a otra cuenta, estar fuera del periodo, no incluirse en el método o seguir cifrado. El informe diferencia «no localizado en el material examinado» de «nunca existió», porque son conclusiones completamente distintas.

El informe debe permitir que un abogado y un tribunal entiendan el camino desde el dispositivo hasta la conclusión. No basta con adjuntar cientos de páginas generadas por una herramienta: se selecciona lo relevante, se conserva la posibilidad de comprobarlo y se explica por qué un registro responde —o no— a la pregunta del procedimiento.

La ratificación permite aclarar el método, el significado de una fecha, la procedencia de una conversación o los límites de una extracción. El perito puede responder a objeciones manteniendo la objetividad que exige la Ley de Enjuiciamiento Civil. Una limitación bien explicada aumenta la credibilidad; ocultarla la debilita.

No todos los asuntos requieren examinar todo el teléfono. A veces basta con certificar una conversación existente y sus archivos; en otros casos hay que adquirir bases de datos, reconstruir una cronología o analizar varias aplicaciones. Elegir bien el alcance reduce costes, protege la privacidad y da una respuesta más clara al abogado.

La certificación no sustituye a una extracción cuando se necesitan datos internos, y una extracción no sustituye al análisis. El programa puede producir miles de registros, pero el informe debe seleccionar los pertinentes, explicar su significado y relacionarlos con la pregunta judicial. Por eso se diferencia entre adquirir, examinar, interpretar y concluir.

No envíe todo el contenido personal por correo. Primero definimos qué información es necesaria y cuál es la vía de entrega adecuada. Si hay urgencia por borrado, manipulación o seguridad personal, indíquelo antes de hacer cambios en el terminal.

La certificación de conversaciones, la extracción forense, el análisis de aplicaciones, la reconstrucción temporal y el informe judicial forman parte de un mismo proceso escalable: desde preservar el teléfono y elegir la adquisición hasta interpretar los resultados, preparar los anexos y ratificar el informe ante el juez. Cuando el asunto solo necesita una actuación concreta, el alcance se reduce; cuando exige varias fuentes, se incorporan copias, dispositivos vinculados, correos, redes sociales o imágenes.

El análisis de un móvil puede combinarse con la extracción remota de móviles, la certificación de conversaciones de WhatsApp, la peritación de SMS, la pericial de correos electrónicos, el análisis de imágenes y vídeos, la peritación de redes sociales o un informe contrapericial. Puede consultar todos los servicios de GlobátiKa Peritos Informáticos.

Atendemos a particulares, empresas y despachos en toda España. Si el asunto requiere atención territorial, puede consultar también Perito Informático Málaga y Perit Informàtic Catalunya. Los principios son siempre los mismos: legitimación, preservación, trazabilidad, proporcionalidad, validación y objetividad.