Voy a decir algo que debería ser obvio pero que en la práctica casi nadie dice en voz alta: la fiscalía no es infalible. Ni técnicamente, ni procedimentalmente, ni científicamente. La fiscalía es una institución que trabaja con los recursos que tiene — que casi nunca son suficientes –, con el personal que tiene — que casi nunca está capacitado en forensia digital –, y con una presión institucional que casi nunca se menciona: la presión por vincular.
No estoy diciendo que todos los ministerios públicos sean corruptos. No estoy diciendo que todas las detenciones sean fabricadas. Lo que estoy diciendo es algo mucho más preciso y mucho más verificable: cuando la fiscalía incauta un celular, el proceso que sigue para extraer, analizar y presentar la evidencia digital de ese dispositivo está plagado de errores técnicos. Errores que no se cometen por maldad, sino por falta de formación, de equipo, de protocolos actualizados y de peritos calificados.
Y esos errores — que en cualquier otro ámbito serían simples negligencias administrativas — en un caso penal pueden significar que una persona inocente duerma en una celda porque nadie cuestionó cómo se manejó su celular.
Llevo 17 años haciendo informática forense. He formado a más de 1,300 peritos en 10 países. Mi laboratorio tiene un récord invicto en litigios técnicos contra bancos. Y les soy franco: en una proporción que debería alarmar a cualquiera, las extracciones de evidencia digital que hacen las fiscalías en México no resistirían un escrutinio técnico serio. No todas. Pero sí la mayoría.
Este artículo es para la familia que quiere entender qué pasó con el celular de su ser querido después de la detención. Es para el abogado defensor que necesita saber dónde buscar los errores. Es para el perito en formación que quiere aprender a auditar el trabajo de la autoridad. Y es para el ciudadano que tiene un teléfono en la mano en este momento y no sabe lo vulnerable que es si mañana un agente decide incautarlo.
Qué hace la fiscalía con tu celular desde el momento de la detención
Vamos paso por paso, porque aquí es donde empieza todo — y donde empiezan los errores.
Paso 1: La incautación
Al momento de la detención o del aseguramiento de bienes, los agentes retiran el celular de la persona. Hasta aquí, el procedimiento es estándar. Lo que debería pasar inmediatamente después es lo siguiente: el dispositivo se apaga o se coloca en modo avión, se documenta su estado — encendido o apagado, bloqueado o desbloqueado, con batería o sin batería –, se introduce en una bolsa de Faraday para aislarlo de señales externas, y se registra en la cadena de custodia con descripción del dispositivo, marca, modelo, color, número IMEI visible, estado físico y hora exacta de incautación.
¿Qué pasa en la realidad? Les soy franco: casi nunca pasa así.
Lo que veo en las carpetas de investigación — y no lo supongo, lo leo cada semana — es que el celular se incauta y se guarda en una bolsa de plástico. No en una bolsa de Faraday. En una bolsa de plástico transparente. O peor: en el bolsillo del agente. Sin apagarlo. Sin aislarlo. Sin documentar absolutamente nada sobre su estado al momento de la incautación.
Y aquí viene el primer error crítico: si el celular no se aísla de la red, sigue recibiendo datos. Sigue llegando mensajes. Se sigue actualizando la ubicación GPS. Las aplicaciones siguen funcionando en segundo plano. Es decir, la evidencia que estaba en el dispositivo al momento de la detención ya no es la misma que estará cuando alguien finalmente lo examine. Se contaminó. No por manipulación deliberada, sino por simple negligencia técnica.
Familiar del detenido que me lee: si a tu ser querido le quitaron el celular en la detención, la primera pregunta que debe hacer tu abogado no es «qué encontraron en el celular.» La primera pregunta es: «cómo lo preservaron.» Si la respuesta incluye cualquier versión de «pues lo guardaron con las demás pertenencias,» ya tienes tu primer argumento técnico. Un celular que no fue aislado de la red desde el momento de la incautación es un celular cuya evidencia está potencialmente contaminada.
Paso 2: La cadena de custodia
La cadena de custodia es el registro documental que garantiza que la evidencia pasó de mano en mano sin ser alterada. Desde el agente que la incautó, hasta el encargado de la bodega de evidencias, hasta el perito que realizó la extracción, hasta la presentación ante el juez. Cada transferencia debe estar documentada: quién entregó, quién recibió, fecha, hora, estado del objeto.
En un mundo ideal, la cadena de custodia del celular de tu familiar sería un documento impecable con cada eslabón documentado. En el mundo real, lo que veo son cadenas de custodia con huecos de horas, de días, a veces de semanas. El dispositivo se incautó el martes a las 10 de la mañana y el siguiente registro en la cadena de custodia es del jueves a las 4 de la tarde. ¿Dónde estuvo el celular entre el martes y el jueves? ¿Quién lo tuvo? ¿En qué condiciones? Nadie sabe. Nadie lo documentó.
Y ese hueco — ese periodo sin documentar — es legalmente devastador para la integridad de la prueba. Porque si no puedes demostrar que la evidencia estuvo resguardada y protegida en todo momento, no puedes garantizar que nadie la modificó en ese periodo. Y si no puedes garantizar que no fue modificada, el fundamento científico de cualquier hallazgo que salga de ese dispositivo es cuestionable.
No estoy hablando de conspiraciones. Estoy hablando de protocolos básicos de manejo de evidencia que no se cumplen.
Paso 3: La extracción
Aquí es donde la situación se pone verdaderamente seria.
La extracción forense de un celular — el proceso por el cual se copian todos los datos del dispositivo para su análisis — requiere herramientas especializadas, un perito calificado y un procedimiento documentado paso a paso. En el estándar internacional, la extracción comienza con el cálculo de un valor hash SHA-256 del dispositivo antes de cualquier manipulación. Ese hash es una huella digital matemática única: si un solo bit de información cambia en el dispositivo, el hash cambia. Es la prueba irrefutable de que la evidencia no fue alterada.
¿Qué veo en las fiscalías? Extracciones sin hash. Extracciones hechas con herramientas no validadas. Extracciones realizadas por personal que no tiene certificación en forensia digital. Extracciones donde el perito — si es que había un perito, porque a veces la extracción la hace un técnico de sistemas que encontraron por ahí — enciende el celular sin bloqueador de escritura, navega por las aplicaciones buscando «lo que necesita», toma capturas de pantalla con su propio celular, y esas capturas de pantalla se convierten en «la prueba.»
Reitero: capturas de pantalla tomadas con el celular del técnico. Eso es lo que a veces se presenta ante un juez como evidencia digital.
¿Saben qué valor probatorio tiene una captura de pantalla tomada con otro celular? Legalmente, bajo los requisitos del artículo 210-A del Código Federal de Procedimientos Civiles — que exige fiabilidad del método, atribuibilidad del contenido y accesibilidad de la información — ese valor es discutible en el mejor de los casos y nulo en el peor. Porque una captura de pantalla no tiene hash. No tiene cadena de custodia independiente. No garantiza que lo que aparece en la pantalla sea lo que realmente estaba en el dispositivo. Y sobre todo: la fiscalía no puede demostrar que entre la incautación y la captura no se modificó nada.
Abogado defensor que me lee: esta es la primera mina de oro para tu estrategia. Pide al juez que la fiscalía acredite con qué herramienta se hizo la extracción, quién la hizo, con qué certificaciones, si se calculó hash antes y después, y si se usó bloqueador de escritura. Si la respuesta a cualquiera de esas preguntas es «no» o «no consta en el expediente,» tienes un argumento de fondo — no de forma — para cuestionar la integridad de toda la evidencia digital.
Paso 4: El análisis selectivo
Este es el error que más daño causa y el que menos se discute. No es un error técnico. Es un error de enfoque.
La fiscalía investiga para acusar. Ese es su mandato constitucional. Y cuando analiza un celular, busca lo que necesita para sostener su teoría del caso. Busca los mensajes que cuadran con su narrativa. Busca las llamadas que coinciden con su línea de tiempo. Busca las ubicaciones que colocan al acusado en la escena.
Lo que no busca — rara vez busca — son los datos exculpatorios.
No busca los mensajes que demuestran que el acusado estaba en otro lado. No busca los registros de desbloqueo biométrico que prueban que el teléfono estaba en manos de su dueño a 15 kilómetros de la escena del delito. No busca los datos de acelerómetro que muestran que la persona estaba caminando tranquilamente cuando supuestamente estaba cometiendo un ilícito.
Esos datos están en el mismo celular. En la misma memoria. En las mismas bases de datos. Pero nadie los busca porque la fiscalía no tiene incentivo para buscar lo que debilite su caso. Y la defensa, en la inmensa mayoría de los casos, no sabe que esos datos existen.
Aquí hay un dato que lo pone todo en perspectiva: en toda la República Mexicana hay solamente 14 peritos en materia de informática registrados en las listas oficiales del Poder Judicial. Catorce. En un país de 130 millones de habitantes. Eso significa que la mayoría de las fiscalías estatales no tienen un perito informático calificado en su nómina. Y sin perito calificado, la extracción la hace quien puede, como puede, y busca lo que le dicen que busque.
García Harfuch. No voy a entrar en detalles porque es público. Pero fue la única vez en la historia reciente que el gobierno reconoció un error y se disculpó. Y se disculpó porque alguien — una defensa técnica, una investigación independiente — se tomó el trabajo de revisar lo que la versión oficial no estaba diciendo. El caso de tu familiar no va a salir en los medios. Pero el principio es exactamente el mismo.
Cadena de custodia contaminada = hallazgos legalmente nulos
Necesito que este concepto quede absolutamente claro porque es el fundamento técnico-jurídico que sostiene todo lo que viene después.
Una cadena de custodia no es un formalismo burocrático. No es un papel que se llena para que se vea bonito en el expediente. La cadena de custodia es la prueba de que la evidencia es confiable. Es lo que le dice al juez: «lo que le estoy mostrando es exactamente lo que estaba en el dispositivo al momento de la incautación. Nadie lo tocó, nadie lo modificó, nadie lo alteró.»
Si la cadena de custodia tiene huecos — periodos sin documentar, transferencias sin registrar, condiciones de almacenamiento sin especificar — la garantía de integridad se rompe. Y cuando la garantía de integridad se rompe, cualquier hallazgo que haya salido de ese dispositivo es cuestionable.
No importa si encontraron 500 mensajes incriminatorios. No importa si encontraron fotografías, videos, coordenadas GPS. Si no pueden demostrar que la cadena de custodia fue impecable desde el momento de la incautación hasta la presentación de la prueba, la pregunta que el perito de la defensa va a hacer en el oral es: «¿Puede usted garantizar que estos datos estaban en el dispositivo antes de que la autoridad lo manipulara?»
Y si la respuesta es «no puedo garantizarlo porque la cadena de custodia tiene un hueco de 48 horas donde nadie documentó quién tuvo el dispositivo,» esa prueba tiene un problema. Un problema de fondo, no de forma.
El onus probandi opera aquí con toda su fuerza: el que lo dice, lo prueba. Si la fiscalía dice que el celular contiene evidencia incriminatoria, la fiscalía tiene que probar que esa evidencia es auténtica, íntegra y no fue alterada. Si no puede probar la cadena de custodia, no puede probar la integridad. Y si no puede probar la integridad, el valor probatorio de todo lo que presentó se desploma.
Cómo auditar lo que hizo la fiscalía con el celular
Perito en formación que me lee: esto es para ti. Y abogado defensor que quiere aprender a hacer las preguntas correctas: esto también.
Auditar la actuación de la fiscalía sobre un dispositivo móvil no es un ejercicio teórico. Es un procedimiento sistemático que sigue una lógica implacable. Y cada punto donde la fiscalía falló se convierte en un argumento para la defensa.
1. Verificar el acta de incautación
El primer documento que debes pedir es el acta de incautación o aseguramiento del dispositivo. Ese documento debe contener:
- Descripción del dispositivo: marca, modelo, color, estado físico.
- IMEI: el identificador único del aparato. Si no anotaron el IMEI al momento de la incautación, no hay forma de vincular con certeza el dispositivo que analizaron con el dispositivo que se le retiró al detenido. Es como decir «analizamos el cuchillo del acusado» sin poder demostrar que es el mismo cuchillo.
- Estado del dispositivo al momento de la incautación: encendido o apagado, bloqueado o desbloqueado, porcentaje de batería, si tenía SIM insertada.
- Hora exacta de incautación.
- Medidas de preservación: bolsa de Faraday, modo avión, apagado.
Si el acta no contiene alguno de estos elementos, la incautación tiene deficiencias documentales. Y esas deficiencias son el primer eslabón débil de la cadena.
2. Revisar la cadena de custodia completa
Pide la cadena de custodia del dispositivo. Toda. Desde la incautación hasta el último movimiento registrado. Busca:
- Huecos temporales: periodos donde el dispositivo no tiene registro de quién lo tuvo.
- Transferencias sin firma: movimientos de una persona a otra sin que ambas firmen.
- Cambios de estado no documentados: si el dispositivo se incautó apagado y en algún momento aparece encendido sin que nadie documente quién lo encendió, cómo, cuándo y por qué.
- Condiciones de almacenamiento: dónde se guardó. ¿En una bodega de evidencias con controles de acceso? ¿En el cajón del escritorio de alguien? La diferencia importa.
3. Identificar al perito y sus credenciales
¿Quién hizo la extracción? ¿Aparece en las listas oficiales del Poder Judicial? ¿Tiene certificaciones en las herramientas que utilizó? Reitero: en todo México hay 14 peritos registrados en informática. Si la extracción la hizo alguien que no está en esas listas, no necesariamente invalida el trabajo — pero sí abre la puerta a cuestionar su competencia técnica.
4. Verificar la metodología de extracción
¿Con qué herramienta se hizo la extracción? ¿Se documentó el proceso paso a paso? ¿Se calculó valor hash SHA-256 antes y después de la extracción? ¿Se usó bloqueador de escritura? ¿Se capturó la fecha y hora del sistema del dispositivo al momento de la extracción?
Si la herramienta utilizada no es una herramienta forense validada — si la «extracción» fue abrir el celular y tomar capturas de pantalla –, el valor probatorio de lo que presentaron es impugnable bajo los criterios del artículo 210-A.
5. Buscar lo que la fiscalía no buscó
Este es el paso más importante de la auditoría y el que menos se practica. Una vez que el perito de la defensa accede a la extracción — o solicita una nueva extracción del dispositivo, que es su derecho –, lo que debe buscar no es confirmar lo que dijo la fiscalía. Lo que debe buscar es lo que la fiscalía omitió.
Registros de desbloqueo biométrico que ubiquen al propietario del dispositivo en otro lugar. Datos de sensores de movimiento que contradigan la narrativa de los hechos. Mensajes y llamadas que la fiscalía no incluyó en su dictamen porque no le convenían. Registros de conexión a redes WiFi que demuestren presencia en un lugar distinto al que la acusación señala. Timestamps de servidor que no coincidan con la línea de tiempo de la fiscalía.
La evidencia digital no es como una testimonial que se puede sesgar dependiendo de lo que el testigo quiera decir. La evidencia digital está completa en el dispositivo. Toda. Los datos favorables y los desfavorables. Si la fiscalía solo presentó los desfavorables, el perito de la defensa tiene la obligación profesional de buscar los favorables. Porque están ahí. En la misma memoria. Esperando que alguien los lea.
Preguntas para el contrainterrogatorio del perito de la fiscalía
Abogado defensor: estas preguntas son las que deberías estar haciendo en la audiencia oral cuando el perito de la fiscalía suba al estrado. No son preguntas capciosas. Son preguntas técnicas que cualquier perito competente debería poder responder sin titubear. Si titubea, ya sabes dónde está la debilidad.
Sobre la preservación:
«Perito, ¿puede usted indicarle al tribunal qué medidas de preservación se aplicaron al dispositivo al momento de su incautación?»
«¿Se utilizó bolsa de Faraday? Si no, ¿puede explicarle al tribunal qué efecto tiene en la integridad de la evidencia que el dispositivo haya permanecido conectado a la red después de la incautación?»
«¿Puede usted demostrar que ningún dato fue recibido, modificado o eliminado en el dispositivo entre el momento de la incautación y el momento de la extracción?»
Sobre la cadena de custodia:
«Perito, la cadena de custodia registra un periodo de [X horas/días] entre la incautación y la primera extracción. ¿Puede usted garantizar la integridad de la evidencia durante ese periodo?»
«¿Quién tuvo acceso físico al dispositivo durante ese periodo? ¿Existe registro documentado de cada persona que tuvo contacto con el dispositivo?»
Sobre la extracción:
«¿Con qué herramienta forense se realizó la extracción? ¿Esa herramienta está validada para el modelo y sistema operativo específico de este dispositivo?»
«¿Se calculó valor hash SHA-256 antes de iniciar la extracción? ¿Puede mostrarnos el hash?»
«¿Se utilizó bloqueador de escritura durante el proceso? Si no se utilizó, ¿puede explicarle al tribunal qué implicaciones tiene para la integridad de los datos?»
Sobre el análisis:
«Perito, su dictamen presenta [X número] de hallazgos que la fiscalía considera incriminatorios. ¿Usted analizó la totalidad de la información contenida en el dispositivo o solo los elementos que le solicitó el Ministerio Público?»
«¿Buscó usted activamente datos que pudieran ser exculpatorios para el acusado? ¿Registró en su dictamen la existencia de datos que contradijeran la teoría de la fiscalía?»
«Si el dispositivo contenía registros de desbloqueo biométrico, datos de GPS, registros de conexión WiFi o datos de sensores de movimiento que ubicaran al propietario en un lugar distinto al de los hechos, ¿esos datos aparecen en su dictamen?»
Ciudadano que me lee y que tiene un celular en la mano en este momento: todo lo que acabo de describir no es un escenario de película. Es lo que pasa cada semana en las fiscalías de este país. El celular que tienes en la mano registra cada paso que das, cada lugar donde te conectas, cada vez que lo desbloqueas con tu huella. Esa información es tu mejor defensa si alguien te acusa injustamente. Pero también es tu peor vulnerabilidad si cae en manos de una autoridad que no sabe manejarla, que no tiene los protocolos para preservarla, y que tiene la presión institucional de usarla en tu contra.
La diferencia entre un celular que te incrimina y un celular que te exonera no está en el celular. Está en quién lo analiza.
El valor hash: la prueba que la fiscalía casi nunca calcula
Si hay un solo concepto técnico que todo abogado defensor en México debería entender, es el valor hash.
El hash SHA-256 es un algoritmo matemático que genera una cadena de 64 caracteres hexadecimales a partir de cualquier conjunto de datos. Si tienes un archivo de 1 gigabyte y le calculas el hash, obtienes una cadena única. Si cambias un solo bit de ese archivo — un solo bit, no un archivo, no un párrafo, un bit — y vuelves a calcular el hash, la cadena cambia completamente.
El hash es la prueba irrefutable de integridad. Si el hash calculado al momento de la extracción es idéntico al hash calculado al momento de la presentación ante el juez, la evidencia no fue modificada. Matemáticamente. No como opinión. No como suposición. Matemáticamente.
Y aquí viene lo que debería quitar el sueño a cualquier persona que tenga un familiar procesado con evidencia digital: la fiscalía casi nunca calcula el hash. Lo he visto omitido en un porcentaje de casos que prefiero no cuantificar porque suena escandaloso. Simplemente no lo hacen. Extraen los datos, generan el dictamen, presentan los hallazgos ante el juez — y en ningún momento del proceso hay un hash que garantice que lo que le están mostrando al juez es lo que realmente estaba en el dispositivo.
Sin hash, la pregunta del perito de la defensa es devastadora: «Perito de la fiscalía, ¿puede usted demostrar matemáticamente que la información que presenta ante este tribunal es idéntica, bit por bit, a la que se encontraba en el dispositivo del acusado al momento de la incautación?»
Si no hay hash, la respuesta es no. Y «no» es una respuesta que el juez tiene que ponderar.
Qué hacer ahora mismo
Si tu familiar fue detenido y su celular fue incautado:
Pide al abogado que solicite una copia del acta de incautación y de la cadena de custodia completa del dispositivo. Revisa ambos documentos buscando las deficiencias que describí en este artículo. Si encuentras huecos, omisiones o inconsistencias, ya tienes la base para cuestionar la evidencia digital.
Solicita que un perito informático independiente revise la extracción que hizo la fiscalía. La defensa tiene derecho a designar un perito que analice el trabajo de la autoridad. Ese perito no solo va a buscar errores de procedimiento — va a buscar la información exculpatoria que nadie buscó.
Si el celular está en poder de la fiscalía, solicita acceso al dispositivo para que el perito de la defensa realice su propia extracción. Si la fiscalía se niega, impugna. El derecho a una defensa adecuada incluye el derecho a examinar la evidencia.
Si aún no hay detención pero temes una:
Activa el respaldo automático en la nube — Google Drive para Android, iCloud para iPhone. Si mañana te incautan el celular, los datos existen en los servidores de la nube. Mantente al día con tu respaldo: un respaldo de hace 6 meses no cubre los últimos 6 meses.
Conoce tu IMEI. Marcando *#06# en cualquier celular, aparece el IMEI. Anótalo. Si mañana te incautan el dispositivo y la fiscalía presenta un celular diferente diciendo que es el tuyo, necesitas poder verificar el IMEI.
Si eres abogado defensor y tienes un caso con evidencia digital:
Lee este artículo tres veces. Marca cada punto donde la fiscalía en tu caso no cumplió. Formula las preguntas que te di para el contrainterrogatorio. Y si no tienes un perito en tu equipo de defensa, consigue uno antes de la audiencia oral. Objetar las pruebas digitales es el tema más fino de la informática forense — y es el arma que casi nadie está usando.
Llevo 17 años auditando lo que hace la autoridad con la evidencia digital. He visto de todo. He visto extracciones impecables — pocas, pero las he visto — y he visto extracciones que son un insulto al rigor científico. He visto cadenas de custodia intachables y he visto cadenas de custodia que parecen escritas retroactivamente. He visto peritos competentes y he visto técnicos de sistemas presentándose como peritos forenses.
Lo que no he visto — nunca, en 17 años — es una fiscalía que busque activamente los datos exculpatorios del acusado. Eso simplemente no es parte de su función como la ejercen. Y mientras eso sea así, la defensa tiene que hacer el trabajo que la fiscalía no hace: buscar la verdad completa, no solo la verdad que conviene.
En Duriva, eso es exactamente lo que hacemos. Auditamos la evidencia digital. Verificamos la cadena de custodia. Calculamos los hash que nadie calculó. Buscamos los datos que nadie buscó. Y cuando encontramos los errores — porque casi siempre hay errores –, los documentamos con el rigor que exige el sistema de justicia para que un juez tenga los elementos técnicos para decidir con información real.
Si tu caso depende de un celular que la fiscalía incautó y que dice que incrimina a tu familiar, hay una pregunta que deberías estar haciendo: ¿hicieron bien su trabajo?
Porque en mi experiencia, esa pregunta tiene respuestas que cambian casos enteros.