El celular se convirtió en el archivo central de la vida de las personas y, en consecuencia, en la pieza central de casi todo litigio. Conversaciones, fotos, ubicaciones, transacciones, agendas: lo que antes se dispersaba en documentos, testigos y extractos hoy está concentrado en un aparato que cabe en el bolsillo. La pregunta que llega al laboratorio, en variaciones infinitas, es siempre la misma: ¿qué se puede extraer, y qué de eso vale como prueba?
La respuesta seria comienza separando la extracción forense de la simple mirada al aparato. Abrir el celular y fotografiar la pantalla produce un registro sin integridad verificable, que el STJ (Tribunal Superior de Justicia de Brasil) ya consideró inadmisible cuando se hace sin método. La extracción forense es otra operación: herramientas específicas adquieren los datos del dispositivo de forma estructurada, con hash que autentica el conjunto y reporte que documenta el procedimiento. Es un tipo de análisis cuya complejidad el laboratorio conoce profundamente: Adriano Vallim actuó como Instructor Certificado de Cellebrite para América Latina, capacitando a los equipos que operan este tipo de herramienta.
Los tres niveles de extracción
No toda extracción alcanza la misma profundidad, y el dictamen honesto declara qué nivel fue posible. La extracción lógica recoge lo que el sistema acepta entregar: contactos, mensajes, archivos multimedia, registros de llamadas. La extracción de sistema de archivos alcanza las bases de datos internas de las aplicaciones, donde viven estructuras que la pantalla no muestra. La extracción física, cuando el modelo del aparato lo permite, copia la memoria a nivel binario y abre la puerta más valiosa: la recuperación de datos borrados. Lo que se alcanza varía con el fabricante, el modelo, la versión del sistema y el estado del aparato; prometer resultados antes de examinar es señal de amateurismo.
Lo borrado que permanece
El mensaje borrado no siempre desaparece. Aplicaciones como WhatsApp guardan sus conversaciones en bases de datos que no devuelven el espacio inmediatamente: los registros eliminados permanecen en áreas libres de la base y en archivos auxiliares hasta ser sobrescritos. El examen de esas estructuras recupera, en parte de los casos, mensajes que el usuario creía eliminados, y demuestra técnicamente que una eliminación ocurrió, cuándo y en qué contexto. Lo mismo vale para fotos, videos y registros de navegación. La ventana, sin embargo, se cierra con el uso: cada día de aparato activo sobrescribe un poco de lo que podría recuperarse. Por eso la orientación de siempre: ante la sospecha, modo avión y pericia, en ese orden.
"El celular examinado con método cuenta la historia completa: lo que existe, lo que fue borrado y lo que alguien intentó hacer parecer. La diferencia está en quién pregunta y cómo."
Lo que el examen demuestra más allá del contenido
El valor probatorio de la extracción va más allá de leer conversaciones. Los metadatos demuestran cuándo cada mensaje fue enviado, recibido y leído, desde qué cuenta y en qué aparato residía la base. El cotejo entre la extracción y una captura presentada por la parte contraria expone los montajes: conversación que no existe en la base, orden alterado, interlocutor cambiado. Registros de ubicación, redes conectadas y artefactos de uso reconstruyen desplazamientos y rutinas. En disputas laborales, el examen demuestra la jornada real; en fraudes, el camino de la estafa; en casos de familia, la autenticidad (o no) del diálogo que fundamenta la acusación.
El examen más solicitado: el cotejo con la captura de pantalla
Ninguna demanda crece tanto como esta: una conversación impresa fue incorporada al expediente y la parte jura que aquello no ocurrió de esa manera. El examen coteja la captura con la base de datos extraída del aparato, y el veredicto suele ser binario. O cada mensaje de la captura existe en la base, con remitente, contenido y horario coincidentes, y la captura sale fortalecida; o el cotejo expone el montaje: mensaje que no existe en la base, secuencia rearmada, fecha incompatible con la instalación de la aplicación, contacto renombrado para cambiar al interlocutor de la conversación. Los editores de imagen y los generadores de conversaciones falsas producen capturas visualmente perfectas en minutos, y es exactamente por eso que el STJ viene tratando la captura de pantalla sin examen como prueba frágil. La captura acusa; la extracción demuestra.
Android y iPhone: qué cambia en la práctica
En Android, la diversidad de fabricantes y versiones crea ventanas de extracción que varían aparato por aparato: los modelos recién llegados al mercado pueden resistir por meses, los aparatos más antiguos suelen permitir extracciones profundas. En iPhone, el ecosistema cerrado estandariza el comportamiento: las extracciones completas dependen de la combinación entre modelo y versión del sistema, y el backup cifrado, cuando la contraseña es conocida, entrega un conjunto rico que incluye bases de aplicaciones. En los dos mundos, una constante: cuanto antes se preserva el aparato, mayor es la ventana técnica.
Límites que la honestidad exige declarar
Hay fronteras técnicas y legales que ningún marketing cambia. El aparato de un tercero no se examina sin autorización del propietario u orden judicial: la actuación pericial es estrictamente legal, y el pedido fuera de ese límite se rechaza. Una contraseña desconocida no es un obstáculo trivial: las posibilidades dependen del modelo y de la versión, y hay escenarios en que el acceso no es viable. El contenido que vive solamente en la nube del proveedor exige requerimiento judicial por el camino propio, con atención a los plazos del Marco Civil de Internet (la ley brasileña de internet): los registros de aplicación se guardan por 6 meses, los registros de conexión por 1 año. Pasado el plazo, no hay nada que requerir.
La custodia del aparato
Todo el valor de la extracción se derrumba si el recorrido del aparato no está documentado. El protocolo del laboratorio aplica al dispositivo móvil la misma disciplina de cualquier vestigio:
- Recepción fotografiada y descrita, con sello numerado;
- Aislamiento de red inmediato: modo avión y, cuando el caso lo exige, embalaje con bloqueo de señal;
- Extracción documentada, con herramienta y versión declaradas y hash del conjunto extraído;
- Examen sobre la extracción, nunca sobre el aparato en uso;
- Guarda en sala de seguridad con acceso controlado hasta la devolución o el desenlace del caso.
El celular es hoy el testigo mejor informado de la mayoría de los litigios. Pero un testigo solo es escuchado si llega íntegro a la audiencia. Entre la sospecha y la prueba existe un camino técnico que no admite improvisación: preservar temprano, extraer con método, examinar con honestidad sobre lo que es posible y lo que no. Es ese camino el que transforma el aparato del bolsillo en la pieza que decide el proceso.
