Extracción y análisis de teléfonos inteligentes y tabletas Android e iOS: mensajes, aplicaciones, localización, archivos y contenido borrado, adquiridos con un método que preserva el valor probatorio y protege a todas las partes.
Conversaciones, fotos, desplazamientos, transacciones, contactos: ningún otro objeto concentra tanto vestigio como un teléfono inteligente. Por eso decide procesos penales, laborales, de familia e investigaciones corporativas.
Pero el mismo aparato que guarda la prueba la destruye con facilidad: cada desbloqueo altera registros, cada sincronización sobrescribe datos, y un comando remoto puede borrarlo todo. La forma de acceso al teléfono decide si el contenido se convierte en prueba o en pasivo.
El Superior Tribunal de Justicia brasileño (STJ) viene exigiendo método: en el HC 943.895/PR (5ª Sala, 2025), el acceso al teléfono antes de la pericia dejó las pruebas inservibles; en el AgRg no HC 828.054/RN (5ª Sala, 2024), las capturas de pantalla hechas directamente en el aparato, sin herramienta de extracción y sin hash, dieron lugar a una prueba inadmisible.
La extracción forense existe exactamente para eso: adquirir el contenido del aparato de forma documentada, verificable y repetible, conforme a la ABNT NBR ISO/IEC 27037 y a los arts. 158-A a 158-F del CPP (Código Procesal Penal brasileño).
Adquisición de los datos activos a través de las interfaces del sistema: contactos, llamadas, mensajes, archivos multimedia y datos de aplicaciones accesibles. Es la vía más rápida y menos invasiva; por regla general, no alcanza el contenido borrado.
Acceso a las particiones y a la estructura interna de archivos del aparato, incluidas las bases de datos de las aplicaciones y sus registros internos: es donde suelen aparecer mensajes eliminados que aún permanecen en las bases, configuraciones y artefactos de uso.
Copia bit a bit de la memoria del dispositivo, incluidas las áreas no asignadas: la mayor profundidad posible y la mayor probabilidad de recuperar contenido borrado. La viabilidad depende de la marca, el modelo, la versión del sistema y el estado del cifrado.
La elección del método no es una preferencia: la dictan el aparato, la versión del sistema y el objetivo del examen. El dictamen registra qué extracción se realizó, con qué herramienta y versión, y qué alcanza y qué deja de alcanzar cada elección, para que el método pueda ser verificado por cualquiera de las partes.
El alcance real depende del aparato y del método viable, pero el repertorio típico incluye:
WhatsApp, Telegram, Instagram, SMS y otros: mensajes, grupos, archivos intercambiados y registros internos de las aplicaciones, leídos directamente de las bases de datos del aparato.
Mensajes, fotos y videos borrados que permanecen en áreas no asignadas o en registros residuales de las bases de datos. Incluso recuperaciones parciales suelen bastar para demostrar que el contenido existió.
Fecha, hora, aparato de origen y, cuando está habilitada, la coordenada GPS grabada en el archivo (EXIF): la foto deja de ser solo imagen y pasa a ser un evento fechado y localizado.
Registros de GPS, redes Wi-Fi conocidas y datos de aplicaciones que graban posición: el triaje por geolocalización suele ser el primer filtro de un caso con múltiples aparatos.
Llamadas, contactos, calendario, historial de navegación, instalación y desinstalación de aplicaciones: los artefactos que reconstruyen la rutina digital del usuario.
Cuentas registradas, correos electrónicos, patrones de uso y fechas de configuración: el examen verifica si el aparato entregado es realmente el del investigado, incluso cuando alguien intenta presentar otro teléfono como suyo.
El dato extraído es bruto; el análisis es lo que lo transforma en respuesta. Dos construcciones sustentan la mayoría de las conclusiones:
Con la contraseña facilitada por el titular o por quien tiene legitimidad, la extracción es el camino natural. Sin la contraseña, la viabilidad del acceso depende de la marca, el modelo, la versión del sistema y el estado del aparato, y se evalúa caso por caso, sin promesa previa: hay escenarios viables y hay escenarios en que el cifrado prevalece. La evaluación declara el escenario antes de cualquier contratación.
Un aparato roto no es un aparato perdido: una pantalla muerta, un conector dañado o una placa con defecto a menudo esconden una memoria intacta. En esos casos, el laboratorio de recuperación repara el dispositivo hasta que la extracción forense sea posible, con cada intervención documentada. El tema tiene página propia: Recuperación Forense de Datos →
La mayor parte de las pruebas que se pierden en teléfonos móviles se pierde antes del examen. Las reglas que preservan el valor probatorio:
Al final de la extracción, los datos se graban en un soporte de destino finalizado como solo lectura, con hash calculado en el cierre y lacre numerado. A partir de ese punto, cualquier inserción, alteración o eliminación de contenido se vuelve técnicamente detectable: el hash dejaría de coincidir.
Ese diseño protege los dos extremos del proceso. Quien acusa recibe una evidencia que resiste a la alegación de manipulación; quien es investigado recibe la seguridad de que nada puede agregarse a su aparato después de la recolección. La pericia bien hecha no es instrumento de una parte: es el terreno neutro en que el dato habla por sí mismo.
Producción de prueba de defensa o de acusación y revisión técnica de extracciones oficiales: la experiencia de quien capacitó a operadores de la herramienta usada por las fuerzas de seguridad sirve también para verificar lo que se hizo en el expediente.
Despido con causa, acoso, competencia desleal y uso indebido de equipos: mensajes y registros del aparato corporativo o personal, recolectados dentro de los límites legales.
Divorcio, custodia y alienación parental: conversaciones y archivos preservados con método, siempre a partir de un acceso legítimo al aparato examinado.
Investigaciones internas, desvinculaciones sensibles, sospecha de filtración o fraude: el aparato corporativo examinado con un rito que soporta la eventual judicialización.
Estafa, amenaza, intrusión en cuentas: preservación del propio aparato de la víctima como prueba, antes de que las actualizaciones y el uso cotidiano borren los vestigios.
Seguimiento de una extracción ordenada judicialmente, formulación de puntos de pericia e informe sobre un dictamen ajeno: la mirada técnica de la parte dentro del proceso.
Consulte también
Pericia en WhatsApp y Conversaciones → Recuperación Forense de Datos → Forense Computacional → Dictámenes e Informes →
La base es São Paulo; el alcance es nacional. Según el caso, la recolección ocurre en el laboratorio, en diligencia en el lugar (despacho de abogados, empresa, notaría o sede judicial) o por procedimiento remoto asistido, con el mismo rito de hash y cadena de custodia documentada.
Aparato en riesgo de borrado remoto, plazo procesal inminente o evidencia a punto de expirar: los casos de preservación urgente tienen triaje prioritario por el WhatsApp comercial, incluso fuera del flujo estándar de respuesta.
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso