Sí. La respuesta es sí.
No voy a andar con rodeos porque la pregunta lo merece: sí, se puede plantar evidencia en un celular. Sí, se puede fabricar culpabilidad digital. Sí, se pueden insertar archivos, mensajes, fotografías y registros en un dispositivo para incriminar a una persona que no cometió ningún delito.
Puedo decirlo porque es un hecho técnico, no una opinión política. Cualquier persona con acceso físico a un celular desbloqueado puede copiar archivos en su memoria, instalar aplicaciones, enviar mensajes desde ese dispositivo, crear registros que después se presenten como «prueba» de actividad delictiva. Técnicamente es trivial. No se necesita ser hacker, no se necesita software militar, no se necesita formación especializada. Se necesitan cinco minutos a solas con un celular desbloqueado.
Ahora, que se pueda hacer no significa que no deje rastro. Y ahí es donde entra la informática forense. Porque plantar evidencia es fácil. Plantarla bien — de una manera que resista un análisis forense serio — es extraordinariamente difícil. Casi imposible.
Llevo 17 años haciendo esto. He formado a más de 1,300 peritos. Y les soy franco: cada archivo que se crea, cada mensaje que se envía, cada imagen que se copia en un celular deja un rastro en el sistema de archivos que es prácticamente indeleble. Un rastro que no se ve a simple vista, que no aparece en la pantalla del teléfono, que no se puede borrar cambiando la fecha o eliminando el archivo. Un rastro que vive en las entrañas del sistema operativo, en las bases de datos internas, en los logs del kernel, en los metadatos EXIF, en las marcas de tiempo del sistema de archivos.
Este artículo va dirigido a la familia que sospecha que la evidencia contra su ser querido fue fabricada. Al abogado defensor que necesita entender cómo funciona la fabricación de evidencia digital para poder cuestionarla en audiencia. Al activista y al periodista que investigan casos donde la autoridad pudo haber cruzado la línea. Y a cualquier persona que quiera entender por qué la fabricación de evidencia digital — a diferencia de la fabricación de evidencia física — deja huellas que la ciencia puede leer.
La mecánica de la fabricación: cómo se planta evidencia en un celular
Voy a explicar esto con precisión técnica porque entender el cómo es indispensable para entender el cómo se detecta.
Un celular es, en esencia, una computadora. Tiene un sistema operativo — Android o iOS –, un sistema de archivos que organiza la información — ext4 en la mayoría de los Android, APFS en iPhone –, bases de datos internas que registran la actividad de cada aplicación, y un reloj de sistema sincronizado con servidores externos que marca la hora exacta de cada operación.
Cuando alguien — un agente, un técnico, cualquier persona con acceso al dispositivo — decide plantar evidencia, tiene varias opciones:
Copiar archivos directamente. Conectar el celular a una computadora por USB y transferir archivos: fotografías, documentos, videos. Es lo más burdo y lo más fácil de detectar, pero también lo más común.
Enviar mensajes desde el dispositivo. Abrir WhatsApp, Telegram, SMS, y redactar mensajes incriminatorios como si los hubiera escrito el dueño del celular. Enviarlos a otro número o recibirlos desde otro número controlado.
Instalar aplicaciones. Instalar apps que después puedan usarse para argumentar una conducta delictiva. Por ejemplo, instalar una aplicación de mensajería cifrada para después alegar que el acusado «usaba comunicaciones encriptadas para actividades ilícitas.»
Crear registros de navegación. Abrir el navegador del celular y visitar páginas web que después aparezcan en el historial como si el dueño las hubiera visitado.
Cada una de estas acciones es técnicamente simple. Y cada una deja un rastro detectable.
Timestamps que no cuadran: la primera señal de fabricación
El concepto más importante para detectar evidencia plantada es el timestamp — la marca de tiempo.
Cada archivo en un celular tiene, como mínimo, tres marcas de tiempo registradas por el sistema operativo:
Fecha de creación (created). El momento en que el archivo fue creado por primera vez en ese sistema de archivos.
Fecha de modificación (modified). El último momento en que el contenido del archivo fue alterado.
Fecha de acceso (accessed). El último momento en que el archivo fue abierto o leído.
Estas tres fechas se registran automáticamente. No las pone el usuario. Las pone el sistema operativo. Y aquí viene lo crítico: cuando alguien copia un archivo a un celular, la fecha de creación que registra el sistema de archivos no es la fecha en que el archivo fue creado originalmente. Es la fecha en que el archivo fue copiado a ese dispositivo. Es la fecha de llegada, no la fecha de nacimiento.
Voy a poner un ejemplo para que quede absolutamente claro.
Supongamos que la detención ocurrió el 15 de marzo. La fiscalía presenta un dictamen que dice haber encontrado en el celular del acusado una fotografía «comprometedora» con fecha del 10 de enero. La fotografía aparece en la galería con esa fecha. A simple vista, parece que el acusado tomó o recibió esa foto el 10 de enero. Caso cerrado, dice la fiscalía.
Pero el perito forense no mira la galería. El perito mira el sistema de archivos. Y en el sistema de archivos, la fecha de creación de ese archivo — no la fecha que muestra la aplicación de galería, sino la fecha que registró el sistema operativo cuando el archivo aterrizó en la memoria del dispositivo — es del 17 de marzo. Dos días después de la detención.
El 10 de enero es la fecha que está en los metadatos EXIF de la fotografía — la información incrustada en el archivo de imagen. Esa fecha dice cuándo se tomó la foto originalmente. Pero el sistema de archivos dice otra cosa: ese archivo no existía en este dispositivo el 10 de enero. Llegó el 17 de marzo.
La pregunta que sigue es obvia: ¿si el acusado fue detenido el 15 de marzo y su celular fue incautado ese día, cómo es posible que un archivo haya sido creado en su celular dos días después?
Esa discrepancia entre la fecha de los metadatos y la fecha del sistema de archivos es la firma de la fabricación. Es el equivalente forense de encontrar la huella digital del ladrón en la ventana. No se puede explicar de otra manera.
Familia que sospecha montaje: esto es exactamente lo que un perito forense busca. No miramos lo que se ve en la pantalla del celular. Miramos lo que está debajo. Las fechas reales, las que puso el sistema operativo, las que no se pueden cambiar abriendo la configuración del reloj del teléfono.
Metadatos que mienten: la segunda capa de detección
Los metadatos son información sobre la información. Y en el caso de la evidencia digital fabricada, los metadatos cuentan una historia diferente a la que pretende la fiscalía.
Cada fotografía tomada con un celular contiene metadatos EXIF: modelo del celular con el que se tomó, resolución, configuración de la cámara, y en muchos casos, coordenadas GPS del lugar donde se capturó la imagen. Cada archivo de WhatsApp tiene su propia base de datos con registros que incluyen el servidor que procesó el mensaje, el timestamp del servidor, el estado de entrega y lectura.
Cuando se planta una fotografía en un celular, los metadatos EXIF de esa fotografía frecuentemente revelan la fabricación:
El modelo de cámara no coincide con el dispositivo. Si el celular del acusado es un Samsung Galaxy A52 pero los metadatos EXIF de la fotografía dicen que fue tomada con un iPhone 13 Pro, esa fotografía no fue tomada con el celular del acusado. Fue tomada con otro dispositivo y copiada.
Las coordenadas GPS no coinciden con la ubicación del acusado. Si los metadatos EXIF ubican la fotografía en una coordenada donde el acusado nunca estuvo — y los registros de antenas de telecomunicaciones lo confirman –, hay una inconsistencia que la fiscalía tiene que explicar.
La resolución o configuración de la imagen no corresponde a la cámara del dispositivo. Cada modelo de celular tiene especificaciones de cámara específicas. Si la imagen tiene una resolución que el celular del acusado no puede generar, fue producida por otro dispositivo.
En el caso de los mensajes de WhatsApp, la detección es aún más precisa. La base de datos de WhatsApp — msgstore.db en Android — registra cada mensaje con un timestamp que proviene del servidor de WhatsApp, no del reloj del teléfono. Si alguien planta un mensaje fabricado, puede manipular lo que se ve en la pantalla, pero el registro en la base de datos tiene inconsistencias: el campo server_timestamp puede no existir, o puede tener un valor que no coincide con los registros de los servidores de WhatsApp, o la secuencia de IDs de mensaje puede estar rota.
Un perito forense no lee los chats como los lee un usuario. Un perito forense abre la base de datos y lee los campos internos que el usuario nunca ve. Y esos campos cuentan la verdad que la pantalla puede ocultar.
Abogado defensor que lleva un caso donde la evidencia se siente demasiado conveniente: pide un peritaje que analice los metadatos de cada archivo que la fiscalía presente como evidencia. No los metadatos que se ven. Los metadatos que están en el sistema de archivos y en las bases de datos internas. Si los archivos fueron plantados, los metadatos lo van a decir.
Archivos plantados tienen rastro detectable: la ventana entre detención e incautación
Este es el patrón que he visto con suficiente frecuencia como para convertirlo en protocolo de análisis.
Cuando la fiscalía detiene a una persona y le incauta su celular, hay una ventana de tiempo entre la detención y la entrega formal del dispositivo a la cadena de custodia. Esa ventana puede ser de minutos, de horas, a veces de días. Y es en esa ventana donde ocurre la fabricación, cuando ocurre.
El análisis forense se enfoca en esa ventana con una precisión implacable.
Se identifican todos los archivos creados, modificados o accedidos en el dispositivo después de la hora de detención documentada. Se cruzan esos archivos con la línea de tiempo del caso. Se verifica si la actividad registrada en el dispositivo después de la detención es consistente con el comportamiento normal del usuario o si representa una anomalía.
Y aquí viene algo que muchos no saben: incluso si alguien borra el archivo que plantó, el sistema de archivos conserva un registro. En ext4 — el sistema de archivos estándar de Android –, los inodes eliminados conservan las marcas de tiempo. En las bases de datos SQLite — que es lo que usan WhatsApp, Telegram, Chrome, Facebook y prácticamente todas las aplicaciones –, los registros eliminados dejan huellas en el espacio no asignado de la base de datos y en los archivos WAL (Write-Ahead Log) que funcionan como una bitácora de transacciones.
El WAL es particularmente revelador. Es un archivo que registra cada operación de escritura en la base de datos antes de que se consolide. Si alguien insertó un mensaje en la base de datos de WhatsApp y después lo borró, el WAL puede conservar la operación de inserción. Es como un libro contable donde el borrón es visible.
Periodista que investiga un caso sospechoso: cuando documentas un caso donde se alega fabricación de evidencia, los elementos técnicos que debes buscar son estos: discrepancia entre fechas de sistema de archivos y metadatos de los archivos, actividad en el dispositivo después de la hora de detención, archivos cuyo modelo de cámara en los metadatos EXIF no coincide con el dispositivo, registros en bases de datos WAL que evidencien inserción y eliminación de datos. Un perito puede darte un dictamen técnico que documente todo esto con rigor científico. No es una opinión. Son datos del sistema operativo.
Ingeniería inversa forense: reconstruir lo que pasó realmente
La ingeniería inversa forense es el proceso de tomar los datos que están en el dispositivo y reconstruir, segundo a segundo, la historia real de lo que ocurrió. No la historia que la fiscalía quiere contar. No la historia que el acusado quiere contar. La historia que los datos cuentan.
En un caso de sospecha de fabricación, la ingeniería inversa funciona así:
Línea de tiempo del sistema de archivos. Se extraen todas las marcas de tiempo de todos los archivos del dispositivo y se ordenan cronológicamente. Esta línea de tiempo muestra la actividad del celular segundo a segundo: qué archivos se crearon, cuáles se modificaron, cuáles se accedieron, cuáles se eliminaron. En un celular con uso normal, esta línea de tiempo muestra un patrón orgánico — actividad durante las horas de vigilia, inactividad durante la noche, picos de uso coherentes con los hábitos del usuario.
Cuando hay fabricación, la línea de tiempo muestra una anomalía. Un bloque de actividad que no encaja con el patrón del usuario. Archivos creados en una ráfaga de minutos a una hora donde el dispositivo debería haber estado en posesión de la autoridad. Registros que aparecen en la base de datos sin la secuencia lógica que tendrían si hubieran sido generados por uso normal.
Análisis de logs del sistema operativo. Android y iOS mantienen logs internos que registran eventos del sistema: conexiones USB, cambios de configuración, instalación y desinstalación de aplicaciones, cambios en la fecha y hora del sistema. Si alguien conectó el celular a una computadora después de la detención para transferir archivos, el log del sistema lo registra. Si alguien cambió la fecha del reloj del teléfono para intentar que los archivos plantados parecieran más antiguos, el log registra el cambio de hora.
Cambiar la fecha del reloj del teléfono es, por cierto, un intento de fabricación particularmente torpe. Porque el sistema operativo registra el cambio de hora con la hora real del servidor NTP al que se sincroniza automáticamente. Es decir: el sistema dice «el reloj se cambió manualmente de las 15:00 del 17 de marzo a las 22:00 del 10 de enero.» Y después dice: «el reloj se re-sincronizó con el servidor NTP a las 15:05 del 17 de marzo.» El intento de manipulación queda documentado por el propio sistema operativo.
Análisis cruzado con fuentes externas. La línea de tiempo del dispositivo se cruza con los registros de telecomunicaciones — las sábanas de llamadas bajo el artículo 183. Si la sábana muestra que el celular estuvo inactivo desde las 10 de la mañana del día de la detención — porque fue apagado o quedó fuera de cobertura –, pero el sistema de archivos muestra creación de archivos a las 3 de la tarde de ese mismo día, hay una contradicción que solo tiene dos explicaciones: o el celular estuvo conectado a una antena que no registró la conexión, o alguien manipuló el dispositivo fuera de la red.
Y la segunda explicación es, en la inmensa mayoría de los casos, la correcta.
El caso tipo: archivos que aparecen después de la detención
Sin nombres, sin datos identificables, porque lo que importa es la mecánica, no la identidad.
Persona detenida un viernes a las 8 de la mañana. Celular incautado en el momento de la detención. El lunes siguiente, la fiscalía presenta un dictamen donde dice haber encontrado en el celular fotografías relacionadas con actividad delictiva. Las fotografías aparecen en la galería del celular con fechas de semanas anteriores a la detención.
La familia sospecha. Contrata a un perito forense independiente.
El perito extrae la imagen forense del dispositivo y comienza el análisis de la línea de tiempo del sistema de archivos. Lo que encuentra es lo siguiente:
Las fotografías que la fiscalía presenta como «encontradas» tienen, en sus metadatos EXIF, fechas de semanas anteriores. Pero la fecha de creación en el sistema de archivos ext4 — la fecha que el sistema operativo registró cuando esos archivos aterrizaron en la memoria del celular — es del sábado. Un día después de la detención.
El IMEI registrado en los logs del sistema muestra una conexión USB con un equipo externo el sábado a las 14:22. El celular estuvo en la bodega de evidencias de la fiscalía. El registro de la cadena de custodia no documenta ninguna extracción autorizada para ese día.
Los metadatos EXIF de las fotografías muestran que fueron tomadas con un modelo de celular diferente al del acusado.
La base de datos de la galería del celular — que es una base de datos SQLite independiente de las fotografías mismas — muestra que las entradas de esas fotografías fueron insertadas con un patrón de timestamps inconsistente con el patrón de la base de datos existente. Los IDs autoincrementales de las nuevas entradas rompen la secuencia de los registros previos.
Con esos cuatro elementos — fecha de creación posterior a la detención, conexión USB no autorizada, modelo de cámara diferente, inconsistencia en la base de datos de la galería — el perito emite un dictamen documentando que la evidencia presentada por la fiscalía no es consistente con actividad genuina del usuario y que presenta indicadores técnicos de inserción posterior a la incautación.
Eso es ingeniería inversa forense. Eso es lo que los datos dicen cuando alguien sabe leerlos.
El artículo 210-A como escudo contra la fabricación
El artículo 210-A del Código Federal de Procedimientos Civiles establece tres requisitos para que la información electrónica tenga valor probatorio:
Fiabilidad del método. El método utilizado para generar, comunicar, recibir o archivar la información debe ser fiable. Si la evidencia fue plantada — es decir, si el método por el cual esa información llegó al dispositivo no fue el uso normal del propietario sino la inserción deliberada por un tercero –, la fiabilidad del método es nula.
Atribuibilidad. La información debe poder atribuirse a una persona determinada. Si las fotografías plantadas fueron tomadas con un dispositivo diferente al del acusado, la atribuibilidad falla. No se puede atribuir al acusado la creación de archivos que fueron creados con otro dispositivo.
Accesibilidad. La información debe estar disponible para ulterior consulta. Si los registros del sistema de archivos muestran que la información fue insertada después de la detención, la «disponibilidad» de esa información es resultado de la manipulación, no del uso legítimo.
Cada uno de estos tres requisitos puede ser cuestionado con evidencia técnica cuando hay indicadores de fabricación. Y el onus probandi opera a favor de la defensa: si la defensa presenta un dictamen pericial que documenta indicadores de fabricación — fechas inconsistentes, metadatos de otro dispositivo, actividad posterior a la detención –, es la fiscalía la que tiene que explicar esas inconsistencias. No al revés. El que lo dice, lo prueba. Y si la fiscalía dice que la evidencia es auténtica, tiene que probarlo ante los indicadores de fabricación que el perito de la defensa documentó.
Qué hacer si sospechas que plantaron evidencia
Familia que me lee y que tiene esa sensación de que algo no cuadra, que la evidencia apareció demasiado conveniente, demasiado perfecta, demasiado a modo: confíen en ese instinto. No porque el instinto sea prueba, sino porque ese instinto justifica buscar la prueba.
Lo que necesitan es un peritaje forense que analice el dispositivo a nivel de sistema de archivos — no a nivel de pantalla, no de capturas, no de lo que «se ve» en el celular. A nivel de sistema de archivos, de bases de datos, de logs del sistema operativo. Ese nivel de análisis es el que revela la historia real.
Si el celular está en poder de la fiscalía, el abogado defensor tiene derecho a solicitar que un perito independiente lo examine. Si la fiscalía se niega, esa negativa se impugna. Si el juez autoriza el examen y el perito encuentra indicadores de fabricación, tiene en sus manos la prueba que puede cambiar todo el caso.
Si el celular ya no está disponible — porque «se perdió» en la detención, porque fue devuelto sin preservación, porque la fiscalía dice que no lo tiene –, el perito trabaja con lo que hay: con la extracción que hizo la fiscalía, si existe. Porque incluso en la extracción de la fiscalía, si fue hecha con herramientas forenses que capturan el sistema de archivos completo, los indicadores de fabricación están ahí. En las marcas de tiempo. En los logs. En los metadatos. Los datos no desaparecen por ignorarlos.
Activista, periodista que documenta abusos: la fabricación de evidencia digital no es un mito. Es un riesgo real y documentable. Lo que la distingue de la fabricación de evidencia física — sembrar droga, plantar armas — es que la fabricación digital deja un rastro científico que un perito puede leer. La droga sembrada no viene con un sello de «no pertenece al acusado.» Pero el archivo plantado sí viene con una fecha de creación que dice «no estaba aquí antes de que la autoridad tuviera el celular.» Esa es la diferencia. Y esa diferencia es la que un peritaje forense puede documentar.
Llevo 17 años analizando celulares. He visto evidencia legítima que incrimina a culpables y he visto evidencia fabricada que incrimina a inocentes. La diferencia entre una y otra no se ve mirando la pantalla del teléfono. Se ve mirando el sistema de archivos, las bases de datos, los logs del sistema operativo y los metadatos de cada archivo.
La fabricación de evidencia digital es un acto que se comete en minutos. Detectarla es un proceso que requiere conocimiento, herramientas forenses validadas y un perito que sepa exactamente dónde buscar. Pero cuando se detecta — cuando el dictamen pericial documenta con precisión matemática que la evidencia no es consistente con uso genuino del dispositivo –, la acusación construida sobre esa evidencia se derrumba.
La informática forense no tiene lealtades. No está del lado del acusado ni del lado de la fiscalía. Está del lado de los datos. Y los datos, cuando se leen correctamente, dicen la verdad. Incluso la verdad que alguien intentó ocultar.
En Duriva, eso es lo que hacemos. Leemos los datos. Todos. Los que convienen y los que no. Y cuando los datos dicen que la evidencia fue fabricada, lo documentamos con el rigor científico que exige el sistema de justicia. Porque la libertad de una persona no debería depender de si alguien tuvo o no acceso a su celular durante 48 horas sin supervisión.
Debería depender de la verdad. Y la verdad está en los datos.