Análisis forense de teléfonos móviles y tablets

Un móvil registra mucho más de lo que muestra en pantalla. El análisis forense recupera esa información y la convierte en prueba documentada y verificable.

Qué información puede obtenerse de un dispositivo móvil

Un smartphone guarda un rastro continuo de la actividad de su usuario, buena parte de él invisible desde la interfaz. El análisis forense trabaja sobre esa capa: bases de datos de aplicaciones, registros del sistema, cachés, archivos temporales y espacio no asignado.

• Comunicaciones: llamadas, SMS y mensajería (WhatsApp, Telegram, Signal, Instagram, redes sociales), incluidos restos de conversaciones eliminadas.
• Archivos: fotografías, vídeos, audios y documentos, con sus metadatos originales.
• Geolocalización: ubicaciones registradas por el sistema y por las aplicaciones, y coordenadas incrustadas en las fotografías.
• Conexiones: redes WiFi a las que se ha conectado el terminal, dispositivos Bluetooth emparejados y conexiones USB.
• Actividad del usuario: aplicaciones instaladas y desinstaladas, historial de navegación, búsquedas, cuentas configuradas y patrones de uso por franjas horarias.
• Eventos del sistema: encendidos y apagados, cambios de hora, restauraciones de fábrica y actualizaciones.

Metodología de trabajo

Adquisición

Según el modelo, el sistema operativo y su versión, se aplica una extracción lógica, de sistema de archivos o física. Cada método obtiene un nivel de detalle distinto: la extracción física es la más completa, pero no siempre es posible en terminales modernos con cifrado por hardware. En el informe se documenta qué método se ha empleado y qué limitaciones impone.

Preservación

El dispositivo se aísla de la red para evitar borrados remotos y sincronizaciones que alteren su contenido. Se calculan valores hash de la evidencia obtenida y todo el proceso queda registrado en la cadena de custodia.

Análisis y correlación

Los hallazgos aislados dicen poco. El valor está en cruzarlos: una fotografía con su ubicación y su hora, la red WiFi a la que estaba conectado el terminal en ese momento y la aplicación que se estaba usando construyen un relato mucho más sólido que cualquier dato suelto.

Situaciones habituales

• Conflictos laborales: uso de dispositivos de empresa, extracción de información confidencial antes de una baja voluntaria, competencia desleal.
• Procesos de familia: acreditación de comunicaciones, presencia en un lugar o incumplimiento de acuerdos.
• Acoso y amenazas: reconstrucción cronológica de los hechos y atribución del origen.
• Sospecha de software espía: detección de aplicaciones de control instaladas sin conocimiento del titular, perfiles de configuración o accesos anómalos.
• Robo de información: rastro de copias a la nube, envíos por correo o conexiones a memorias externas.
• Recuperación de contenido eliminado que resulta relevante para un procedimiento.

Límites técnicos, dichos de antemano

Los teléfonos actuales cifran su almacenamiento y limitan el acceso a los datos de las aplicaciones. Eso implica que no todo es recuperable en todos los modelos, y que un terminal bloqueado sin credenciales puede ser inaccesible. Preferimos decirlo antes de empezar: si el análisis no puede sostener lo que el cliente necesita demostrar, no tiene sentido encargarlo.

Lo que sí garantizamos es que el trabajo se realiza sobre copia, que el resultado es reproducible por otro perito y que el informe distingue con claridad entre lo que la evidencia acredita y lo que sólo sugiere.

Preguntas frecuentes