Fabrico un WhatsApp completo en 2 minutos. En vivo. Por eso las capturas NO sirven.
Voy a hacer algo que probablemente ningún otro perito informático haría en un artículo público. Voy a explicar, con suficiente detalle técnico para que se entienda la gravedad del problema, cómo se fabrica una conversación de WhatsApp que es visualmente indistinguible de una real. No voy a dar un tutorial paso a paso — porque lo último que necesita el mundo es un manual de fabricación de evidencia — pero voy a dar lo suficiente para que quede absolutamente claro que cualquier persona con acceso a internet y dos minutos de tiempo puede crear un chat falso que, si se presenta como captura de pantalla, ningún juez, ningún abogado y ningún perito puede distinguir de uno verdadero mirando solo la imagen.
Dos minutos. Ciento veinte segundos. Eso es lo que se necesita.
Y si yo puedo hacer esto en 120 segundos, imagina lo que un estafador motivado puede presentarle al juez.
Llevo 17 años en informática forense. He formado a más de 1,300 peritos. He participado en cientos de juicios donde la conversación de WhatsApp era la prueba central — la prueba reina, le dicen algunos abogados. Y les soy franco: cada vez que veo a un abogado presentar una captura de pantalla de WhatsApp como prueba, cada vez que veo a un juez aceptarla, cada vez que veo a una familia confiar su caso a una imagen que cualquiera puede fabricar en su celular, siento la misma frustración que sentiría un médico viendo a un paciente automedicarse con consejos de internet.
No es que la captura no muestre lo que dice que muestra. Es que la captura no puede probar que lo que muestra es real.
Y esa diferencia — entre mostrar y probar — es la diferencia entre perder y ganar un juicio.
Este artículo es para el abogado Jr. que acaba de enterarse de que las capturas de WhatsApp no tienen valor probatorio y quiere entender por qué. Para el abogado Sr. que lleva años presentando capturas y nunca se las han objetado — porque la contraparte tampoco sabía que podía hacerlo. Para el acusado que tiene en su contra una conversación de WhatsApp que jura que nunca escribió. Para el estudiante de derecho que necesita entender la fragilidad del ecosistema digital antes de ejercer. Y para cualquier persona que alguna vez haya dicho «tengo los chats, con eso gano.»
No. Con eso no ganas. Y voy a demostrarte por qué.
La demostración: cómo se crea un chat falso
Voy a describir tres métodos. Cada uno produce un resultado diferente en términos de sofisticación, pero los tres comparten algo en común: el resultado final, visto como captura de pantalla, es indistinguible de una conversación real.
Método 1: Aplicaciones de mockup (90 segundos)
Existen aplicaciones — disponibles de manera abierta en las tiendas de aplicaciones y en la web — diseñadas específicamente para generar mockups de conversaciones de WhatsApp. No las voy a nombrar porque no quiero hacerles publicidad, pero encontrarlas toma una búsqueda de 10 segundos.
Estas aplicaciones te permiten configurar todo. Todo. El nombre del contacto. La foto de perfil. La hora de cada mensaje. El contenido de cada mensaje. Las palomitas de lectura — una palomita gris para enviado, dos palomitas grises para entregado, dos palomitas azules para leído. El estado «en línea» o «últ. vez.» Los mensajes de voz con su forma de onda. Las imágenes dentro de la conversación. Los mensajes reenviados con su etiqueta «Reenviado.» Las respuestas citadas. Los mensajes eliminados con la leyenda «Se eliminó este mensaje.» Los indicadores de escritura («escribiendo…»). El porcentaje de batería. La hora del teléfono. El operador de red. La intensidad de la señal WiFi.
Todo.
El resultado es una imagen que replica píxel por píxel la interfaz de WhatsApp. No «se parece» a WhatsApp. Es idéntica. Porque la aplicación está programada para replicar exactamente los elementos visuales de la interfaz: tipografía, colores, espaciado, iconos, tamaño de burbujas. Todo parametrizado para producir una imagen perfecta.
El proceso toma menos de 90 segundos para una conversación de 10 mensajes. Escribes los mensajes, configuras las horas, ajustas los detalles, generas la imagen. Listo. Tienes una «conversación de WhatsApp» que nunca existió.
Abogado Jr. que acaba de ver esto por primera vez: piensa en las implicaciones. Si un niño de 15 años puede crear esta imagen en su celular en menos de dos minutos, ¿qué impide que la contraparte en tu caso haga lo mismo? ¿Qué impide que un testigo fabrique una conversación para respaldar su declaración? ¿Qué impide que un denunciante cree chats que nunca existieron para sostener una acusación? La respuesta es: nada. Nada lo impide. Y la única barrera entre esa fabricación y un fallo judicial equivocado eres tú — si sabes cuestionarla.
Método 2: Edición de la base de datos SQLite (5 minutos)
Este método es más sofisticado y produce un resultado que no solo engaña a la vista sino que puede engañar a una inspección superficial del dispositivo.
WhatsApp almacena todas las conversaciones en una base de datos SQLite llamada msgstore.db en Android. Esa base de datos es un archivo. Un archivo que se puede abrir, leer, modificar y guardar con herramientas de edición de bases de datos que están disponibles de manera gratuita.
Con acceso al dispositivo — y en Android, con permisos de root o con una extracción que permita acceso al sistema de archivos –, una persona puede abrir el msgstore.db y hacer lo siguiente:
Insertar registros nuevos. Crear mensajes que nunca existieron. Asignarles un timestamp — fecha y hora — cualquiera. Asignarles un remitente y un destinatario. Asignarles contenido de texto. Asignarles estado de lectura. Incrustarlos en la secuencia de la conversación para que aparezcan entre mensajes reales.
Modificar registros existentes. Cambiar el contenido de un mensaje que sí existió. Alterar la hora. Cambiar el remitente. Convertir un mensaje inocente en un mensaje incriminatorio con solo editar un campo de texto en la base de datos.
Eliminar registros. Borrar mensajes que sí existieron. Hacer que conversaciones completas desaparezcan de la base de datos.
El resultado: si alguien abre WhatsApp en ese teléfono, ve una conversación que incluye los mensajes fabricados como si fueran reales. No solo la captura de pantalla es perfecta — la propia aplicación muestra los mensajes como auténticos, porque la aplicación lee de la base de datos y la base de datos fue alterada.
Este método requiere más conocimiento técnico que el primero, pero no mucho más. Un estudiante de ingeniería de segundo semestre puede hacerlo. Un adolescente con curiosidad y acceso a YouTube puede hacerlo. No es hacking avanzado. Es edición de base de datos.
Abogado Sr. que confía en las capturas porque «se ven en el teléfono»: el hecho de que la conversación aparezca en la aplicación de WhatsApp no garantiza que sea auténtica. Si alguien tuvo acceso al dispositivo y editó la base de datos, lo que ves en la pantalla del teléfono es tan fabricado como un mockup. La diferencia es que este método engaña incluso a quien mira directamente el celular, no solo a quien mira la captura.
Método 3: Clonación de interfaz web (variable)
Hay un tercer método que merece mención porque lo he visto en casos judiciales: la manipulación de WhatsApp Web a través de las herramientas de desarrollador del navegador.
WhatsApp Web muestra las conversaciones en el navegador. El navegador tiene herramientas de desarrollo integradas — en Chrome se accede con F12 — que permiten inspeccionar y modificar el HTML de cualquier página web en tiempo real. Cualquier página web. Incluyendo WhatsApp Web.
Con las herramientas de desarrollador, una persona puede modificar el contenido de cualquier mensaje que se muestra en pantalla. Cambiar el texto. Cambiar la hora. Cambiar el nombre del contacto. Añadir mensajes. Eliminar mensajes. Todo en tiempo real, en la pantalla, sin tocar la base de datos del servidor. Es una modificación local, visual, que solo existe en esa sesión del navegador. Pero si alguien toma una captura de pantalla en ese momento, la captura muestra la conversación modificada como si fuera real.
Este método es particularmente insidioso porque se ejecuta sin tocar el celular del titular de la cuenta. Se hace en el navegador. Y la captura de pantalla resultante es indistinguible de una captura de WhatsApp Web auténtica.
La conclusión técnica: las capturas no tienen valor probatorio
Y aquí llegamos al punto que debería estar grabado en la puerta de cada juzgado del país.
Una captura de pantalla de una conversación de WhatsApp es una imagen. Nada más. Una imagen que puede ser generada por la propia aplicación mostrando una conversación real, o por una aplicación de mockup mostrando una conversación inventada, o por un navegador con el HTML modificado, o por una base de datos alterada. La imagen en sí no contiene ninguna información que permita distinguir entre estos escenarios.
No tiene metadatos de origen confiables — los metadatos EXIF de una captura de pantalla dicen en qué dispositivo se tomó la captura, no si el contenido que muestra es auténtico. No tiene firma digital de WhatsApp. No tiene hash de verificación. No tiene nada que la vincule con una conversación real.
Es una imagen. Y una imagen, en un mundo donde fabricar imágenes toma 120 segundos, no puede ser la base de una decisión judicial.
En mi artículo sobre por qué los pantallazos de WhatsApp no sirven en un juicio (Post 3 de esta serie), expliqué el marco legal: el artículo 210-A del Código Federal de Procedimientos Civiles exige fiabilidad del método, atribuibilidad y accesibilidad para que la información electrónica tenga valor probatorio. Una captura de pantalla falla en las tres. El método no es fiable porque la imagen puede ser fabricada. La atribuibilidad es nula porque no se puede vincular la imagen con una conversación real en un dispositivo específico. Y la accesibilidad es cuestionable porque la imagen no permite verificación independiente.
Estudiante de derecho que me lee: graba esto en tu memoria ahora, antes de ejercer. La captura de pantalla de WhatsApp no es prueba. Es una representación visual que puede o no corresponder a una conversación real. Si tu caso depende de un chat de WhatsApp, necesitas la extracción forense de la base de datos del dispositivo, no la foto de la pantalla. Si alguien te presenta un chat como prueba y es una captura de pantalla, tu primera pregunta debe ser: ¿dónde está el dispositivo? ¿Dónde está la extracción forense? ¿Dónde está el dictamen pericial que certifica la autenticidad e integridad de esa conversación?
Si la respuesta a esas tres preguntas es «no hay,» lo que tienes enfrente no es una prueba. Es una imagen.
Si yo puedo fabricar esto en 120 segundos, imagina lo que hay en los juzgados
Voy a ser directo con algo que he visto demasiadas veces y que necesita decirse.
Hay personas inocentes enfrentando procesos judiciales basados en conversaciones de WhatsApp que nunca escribieron. Hay divorcios donde una parte presenta chats fabricados para demostrar infidelidad. Hay casos laborales donde capturas alteradas se usan para justificar un despido. Hay denuncias penales donde la única «prueba» es un pantallazo que pudo haber sido creado en el baño del juzgado cinco minutos antes de la audiencia.
Y hay jueces que los aceptan. Porque nadie los cuestiona. Porque la contraparte no sabe que puede cuestionarlos. Porque el abogado defensor no entiende la fragilidad técnica de lo que le están presentando. Porque el sistema asume que una imagen que «se ve como WhatsApp» es WhatsApp.
No lo es. No necesariamente. Y la carga de probar que sí lo es debería recaer sobre quien la presenta, no sobre quien la cuestiona.
Acusado que tiene en su contra una conversación de WhatsApp que jura que nunca escribió: te creo. No porque sea ingenuo, sino porque sé lo fácil que es fabricarla. Lo que necesitas es que tu abogado solicite la extracción forense del dispositivo de donde supuestamente proviene esa conversación. No la captura. El dispositivo. Porque si la conversación es real, la extracción forense lo va a confirmar: la base de datos va a tener los registros con sus timestamps de servidor, con sus IDs secuenciales, con su consistencia interna intacta. Pero si la conversación fue fabricada, la extracción forense también lo va a mostrar: timestamps inconsistentes, IDs fuera de secuencia, registros sin server_timestamp, ausencia en los archivos WAL, discrepancias entre la base de datos y los registros de compresión.
La extracción forense es el detector de mentiras de WhatsApp. Y la captura de pantalla es la mentira que el detector puede descubrir.
La única defensa: extracción forense de hardware
Voy a explicar por qué la extracción forense funciona donde la captura de pantalla falla, porque entender el «por qué» es tan importante como entender el «qué.»
La extracción forense no copia lo que se ve en la pantalla. Copia lo que está en la memoria del dispositivo. Todo. La base de datos de WhatsApp. Los archivos WAL (Write-Ahead Log) que registran cada operación de escritura. Los archivos de respaldo cifrados. Los metadatos del sistema de archivos. Los logs del sistema operativo. Los registros de red. Todo.
Y cuando un perito analiza esa extracción, no mira los mensajes como los mira un usuario. Mira la estructura interna de la base de datos. Y esa estructura tiene múltiples capas de verificación que una fabricación no puede replicar:
Los timestamps de servidor. Cada mensaje real de WhatsApp tiene un timestamp que proviene del servidor de WhatsApp, no del reloj del teléfono. Ese timestamp se registra en un campo de la base de datos que un usuario normal nunca ve. Si alguien insertó un mensaje editando la base de datos, puede poner cualquier timestamp en el campo visible, pero el campo de server_timestamp va a estar vacío, va a tener un valor inconsistente, o va a tener un valor que no coincide con los registros de los servidores de WhatsApp.
La secuencia de IDs. Cada mensaje en la base de datos tiene un ID autoincrementable. Los mensajes reales siguen una secuencia lógica: 1, 2, 3, 4, 5. Si alguien insertó un mensaje entre el 3 y el 4, el mensaje insertado va a tener un ID que rompe la secuencia — un 3.5 es imposible, así que tendrá un ID mayor que el último de la base de datos, pero estará posicionado cronológicamente entre mensajes con IDs más bajos. Esa incongruencia es detectable.
Los archivos WAL. El Write-Ahead Log de SQLite registra cada operación de escritura en la base de datos antes de que se consolide. Es una bitácora. Si alguien abrió la base de datos, insertó un registro y guardó, el WAL registra esa operación con su timestamp real — el del sistema operativo al momento de la inserción, no el timestamp que el fabricante puso en el campo del mensaje.
Los metadatos del sistema de archivos. La base de datos msgstore.db tiene marcas de tiempo en el sistema de archivos: fecha de creación, fecha de última modificación, fecha de último acceso. Si alguien modificó la base de datos después de la fecha que supuestamente tiene el mensaje más reciente, las marcas de tiempo del sistema de archivos van a evidenciar la manipulación.
Los registros de media. Los mensajes de WhatsApp que incluyen imágenes, audios o videos generan archivos de media en la memoria del dispositivo. Esos archivos tienen sus propios metadatos, sus propias marcas de tiempo, su propia historia en el sistema de archivos. Si un mensaje supuestamente enviado el 10 de marzo incluye una imagen cuyo archivo de media fue creado el 25 de marzo, la inconsistencia es irrefutable.
Cada una de estas capas de verificación es independiente de las demás. Un fabricante que sepa de bases de datos puede manipular los campos de la tabla de mensajes. Pero para que la fabricación resista un análisis forense serio, tendría que manipular simultáneamente los timestamps de servidor, la secuencia de IDs, los archivos WAL, las marcas de tiempo del sistema de archivos, los registros de media y la coherencia interna de docenas de tablas interrelacionadas en la base de datos. Cada capa que no manipule es una capa que lo delata.
Es como falsificar un billete: puedes copiar el diseño, pero si no reproduces la marca de agua, el hilo de seguridad, la tinta magnética, el papel algodón y el relieve intaglio, el billete se cae en el primer punto de verificación serio.
Abogado Jr. que acaba de ver la demostración y entiende la gravedad: ahora sabes por qué la extracción forense es la única forma de autenticar una conversación de WhatsApp. Cuando te toque un caso donde un chat de WhatsApp sea prueba — a favor o en contra de tu cliente –, tu movimiento es solicitar la extracción forense del dispositivo de origen. No aceptar la captura. No aceptar que te «muestren el celular.» No aceptar que la contraparte te mande la conversación «exportada» desde la aplicación. Solicitar la extracción forense profesional del dispositivo, realizada por un perito con herramientas validadas, con cadena de custodia documentada, con dictamen que detalle la metodología y los hallazgos.
Eso es prueba. Todo lo demás es imagen.
Lo que debería cambiar (y que puedes hacer hoy)
El problema no es técnico. El problema técnico tiene solución: la extracción forense existe, funciona, es reproducible y es verificable. El problema es sistémico. Es que el sistema judicial mexicano sigue tratando las capturas de pantalla como si tuvieran valor probatorio cuando cualquier perito informático puede demostrar en dos minutos que no lo tienen.
Necesitan cambiar tres cosas:
Los jueces necesitan entender la fragilidad de la evidencia digital. No se les está pidiendo que se vuelvan ingenieros. Se les está pidiendo que entiendan que una captura de pantalla de WhatsApp tiene la misma confiabilidad que una fotocopia de un cheque: muestra algo, pero no prueba que lo que muestra sea auténtico. Así como un juez no aceptaría una fotocopia de un cheque como prueba de un pago sin verificar el original, no debería aceptar una captura de pantalla como prueba de una conversación sin verificar la base de datos.
Los abogados necesitan aprender a cuestionar la evidencia digital. Cada captura de pantalla que se presenta como prueba debería ser objetada si no está acompañada de una extracción forense. Cada chat «exportado» debería ser cuestionado. Cada «pantallazo» debería generar la pregunta: ¿dónde está el dispositivo? ¿dónde está la extracción? ¿dónde está el dictamen? Si la parte que presenta la prueba no puede responder esas preguntas, la prueba no cumple los requisitos del artículo 210-A.
Las familias y los ciudadanos necesitan proteger su evidencia desde el momento en que saben que la van a necesitar. Si tienes una conversación de WhatsApp que va a ser relevante para un juicio, no le tomes captura de pantalla. No la «exportes» desde la aplicación. No se la mandes a tu abogado por correo. Preserva el dispositivo. Lleva el dispositivo a un perito para que haga una extracción forense. Documenta la cadena de custodia. Haz las cosas bien desde el principio, porque después no hay forma de regresar el tiempo.
Crees que tu captura de pantalla te va a salvar, pero en el tribunal te la van a destruir. O peor: no te la van a destruir porque la contraparte tampoco sabe que puede hacerlo, y un juez va a tomar una decisión basada en una imagen que pudo haber sido fabricada en 120 segundos.
Eso es lo que está pasando hoy en los juzgados de México. Todos los días. En juicios penales, civiles, familiares, laborales, mercantiles. Capturas de pantalla que se presentan como verdad. Imágenes que se aceptan como hechos. Píxeles que se tratan como prueba.
Y mientras eso siga pasando, la justicia va a depender no de la verdad sino de quién sepa fabricar mejor la mentira.
En Duriva, hacemos extracción forense de dispositivos para autenticar conversaciones de WhatsApp. No leemos capturas de pantalla. Extraemos la base de datos del dispositivo, analizamos la estructura interna, verificamos la integridad de los registros y emitimos un dictamen pericial que documenta si la conversación es auténtica o si presenta indicadores de fabricación.
Porque la pregunta no es «qué dice el chat.» La pregunta es «¿es real el chat?» Y esa pregunta solo la responde la ciencia forense. No la captura de pantalla.