Si estás leyendo esto, probablemente te encuentras en una de estas situaciones: eres un joven que está comparando opciones en internet porque necesita un peritaje y no tiene idea de cómo funciona. Eres una mamá o un papá que le dijeron que tiene que entregar el celular de su hijo a un laboratorio y la sola idea le da pánico. Eres un abogado que nunca ha trabajado con un perito informático y no sabe qué esperar del proceso. O eres un estudiante de derecho que quiere entender cómo funciona esto antes de que le toque un caso real.
Sea cual sea tu caso, este artículo es para ti.
Voy a explicarte, paso por paso, cómo funciona un peritaje informático forense a un celular. Desde el momento en que me contactas hasta el momento en que tienes en tus manos el dictamen pericial que se presenta ante un juez. Sin tecnicismos innecesarios, sin misterio, sin esa capa de humo que a veces rodea lo técnico para que parezca más complicado de lo que es.
Les soy franco: un peritaje informático no es magia negra. Es un proceso científico con pasos definidos, tiempos estimables y resultados documentados. Es como una receta de cocina. Tiene ingredientes, tiene pasos, tiene tiempos de preparación. Si sigues la receta correctamente, el resultado es predecible. Si te saltas pasos o usas ingredientes de mala calidad, el platillo sale mal. Así de simple.
Llevo 17 años haciendo informática forense. He formado a más de 1,300 peritos en 10 países. Mi laboratorio, Duriva, tiene un récord invicto en litigios técnicos contra bancos. Y en todo ese tiempo, la pregunta que más me hacen — por encima de cualquier duda técnica o legal — es: «Perito, ¿y cómo funciona esto?» La gente quiere saber qué va a pasar con su celular. Quiere saber si se lo van a devolver. Quiere saber cuánto tarda. Quiere saber si le van a ver las fotos. Quiere saber si lo que salga de ahí realmente sirve ante un juez.
Todas esas preguntas las voy a responder aquí. Pero vamos en orden.
Antes de tocar el dispositivo: la entrevista inicial
Esto es muy importante y la mayoría de la gente no lo sabe: un peritaje informático no empieza cuando conecto el celular a una computadora. Empieza mucho antes. Empieza con una conversación.
Paso número 1: recaba toda la información que puedas del caso.
Antes de que un solo cable toque el celular, necesito entender qué estoy buscando. Y para entender qué estoy buscando, necesito que me cuenten qué pasó. No los detalles técnicos — esos los averiguo yo. Necesito el contexto.
¿Qué tipo de caso es? ¿Penal, civil, familiar, laboral? ¿De qué se acusa a la persona o qué se quiere demostrar? ¿Qué dicen las partes que pasó? ¿Hay un expediente judicial? ¿Qué pruebas ya presentó la contraparte? ¿Qué fechas son relevantes? ¿Qué dispositivos están involucrados?
Esta entrevista inicial no es un trámite. Es el cimiento de todo lo que viene después. Si no entiendo el caso, puedo extraer toda la información del celular — que son miles y miles de registros — pero no voy a saber qué es relevante y qué es ruido. Es como si un doctor te hiciera todos los estudios del mundo sin preguntarte primero dónde te duele. Puede encontrar algo, claro. Pero si le dices «me duele aquí», sabe exactamente qué buscar.
En mis cursos siempre lo pongo así: Paso 1, recaba información. Paso 2, interroga a los equipos. Los equipos informáticos te van a decir si lo que declararon las personas es cierto o hay discrepancias. Pero primero necesitas saber qué declararon las personas. Primero el contexto, luego la máquina.
Mamá, papá que me leen con miedo de entregar el celular: en esta etapa todavía no necesito el dispositivo. Solo necesito hablar con ustedes o con su abogado. Entender el caso. Evaluar si el peritaje tiene viabilidad técnica — es decir, si realmente va a aportar algo al proceso legal o si estaría cobrándoles por algo que no les va a servir. Porque por cobrarte te puedo cobrar, pero realmente, ¿voy a ayudar o solo vendería humo? Si después de la entrevista determino que el peritaje no va a aportar lo que necesitan, se los digo de frente. Prefiero perder un cliente que cobrar por algo que no sirve.
Abogado que nunca ha trabajado con un perito: esta primera conversación es donde usted y yo alineamos la estrategia. Usted me dice qué necesita probar o refutar. Yo le digo si técnicamente es viable, qué información puede contener el celular, y cómo esa información se traduce en argumento jurídico. Si hay un expediente, ideal. Si tiene el dictamen de la contraparte, mejor todavía, porque puedo identificar debilidades técnicas desde antes de tocar el dispositivo. La mancuerna perito-abogado empieza aquí, no cuando entrego el dictamen.
Recepción del dispositivo y cadena de custodia
Una vez que decidimos avanzar, viene el momento en que el celular llega al laboratorio. Y aquí empieza algo que es absolutamente fundamental para que todo lo que hagamos después tenga valor legal: la cadena de custodia.
Voy a explicar la cadena de custodia con una analogía para que quede perfectamente claro.
Imagínense que les pido que me cuiden una maleta cerrada con candado. Yo les doy la maleta a las 10 de la mañana. Ustedes me la devuelven a las 6 de la tarde. Pero en ese lapso, nadie sabe dónde estuvo la maleta. No hay registro de si la abrieron, de si metieron algo, de si sacaron algo, de si alguien más la tocó. Cuando yo recibo esa maleta de vuelta, ¿puedo confiar en que el contenido es el mismo que cuando la entregué? No. No puedo. Porque no hay un registro que me garantice que nadie la alteró.
Ahora imagínense lo contrario. Les doy la maleta a las 10 de la mañana. Firman un recibo que dice: «Recibí la maleta a las 10:00, con candado número tal, en presencia de tal persona.» La maleta estuvo en una caja fuerte toda la tarde. Nadie la abrió. A las 6 de la tarde me la devuelven, firman otro recibo: «Devuelvo la maleta a las 18:00, candado intacto, mismas condiciones.» ¿Ahora sí puedo confiar en que nadie la tocó? Sí. Porque hay un registro completo, documentado y firmado de cada momento en que esa maleta estuvo bajo la responsabilidad de alguien.
Eso es la cadena de custodia aplicada a un celular.
Cuando un celular llega a Duriva, lo primero que hacemos es documentar todo. Todo. Marca, modelo, número de serie, IMEI, estado físico del dispositivo — si tiene la pantalla rota, si tiene un raspón, si tiene una funda, si la funda tiene calcomanías. ¿Suena excesivo? No lo es. Es exactamente lo que se necesita para que ningún juez pueda decir «y cómo sé que es el mismo celular que entregaron.» Porque tenemos fotos, tenemos video, tenemos un acta firmada por quien entrega y por quien recibe, con fecha, hora y descripción detallada del estado del dispositivo.
El acta de cadena de custodia incluye:
- Datos completos de quien entrega el dispositivo (nombre, identificación, firma)
- Datos completos de quien recibe (el perito, con su número de cédula profesional y registro)
- Fecha y hora exacta de la recepción
- Descripción detallada del dispositivo: marca, modelo, color, número de serie, IMEI, estado físico, nivel de batería, si está encendido o apagado
- Accesorios entregados (cargador, cable, tarjeta de memoria, SIM)
- Motivo de la recepción y alcance del peritaje solicitado
Este documento se firma en ese momento. No después. No «cuando haya tiempo.» En ese momento. Porque la cadena de custodia que tiene un hueco — aunque sea de cinco minutos — es una cadena de custodia que la contraparte puede cuestionar. Y si la cadena de custodia se cuestiona exitosamente, todo lo que extraigas del celular se puede venir abajo. No importa qué tan buena sea la evidencia. Si no puedes demostrar que nadie alteró el dispositivo entre que lo recibiste y lo analizaste, la evidencia es objetable.
Siempre, siempre, siempre: cadena de custodia impecable. Esto no es negociable.
Joven que está comparando opciones: si algún «perito» te dice que le mandes el celular por paquetería o que se lo dejes en una recepción, corre. La cadena de custodia se firma en persona, frente a frente, con identificaciones. No hay atajos. Si alguien te ofrece un peritaje sin cadena de custodia, lo que te está ofreciendo es un documento que cualquier abogado medianamente competente va a destrozar en audiencia.
Bloqueo de señales: la jaula de Faraday
Este paso es breve pero crucial. Y casi nadie lo explica, así que vamos a explicarlo.
Un celular, por definición, está diseñado para comunicarse. Recibe llamadas, mensajes, datos, actualizaciones. Si alguien le manda un mensaje de WhatsApp mientras el celular está en el laboratorio esperando ser analizado, ese mensaje modifica la base de datos del dispositivo. Si alguien borra remotamente el contenido del celular — cosa que se puede hacer desde otro dispositivo si tienes acceso a la cuenta de Google o Apple — se perdió todo.
Para evitar eso, lo primero que hacemos después de documentar la recepción es aislar el dispositivo de toda comunicación. Hay dos formas de hacerlo: ponerlo en modo avión o meterlo en una jaula de Faraday.
¿Qué es una jaula de Faraday? Es como una bolsa o un contenedor hecho de un material que bloquea todas las señales electromagnéticas. El celular entra ahí y, para efectos prácticos, deja de existir para el mundo exterior. No recibe ni emite señales. Ni WiFi, ni datos celulares, ni Bluetooth, ni NFC. Nada entra, nada sale. Es como meterlo en un búnker electromagnético.
¿Por qué no basta con modo avión? Porque el modo avión depende del software del celular. Y si hay un programa malicioso instalado, o si alguien tiene acceso remoto al dispositivo, el modo avión puede desactivarse remotamente. La jaula de Faraday es una solución física, no de software. No depende de lo que el celular quiera hacer. Es un bloqueo absoluto, por la vía más simple posible: la física.
Mamá que tenía miedo de entregar el celular: esto significa que mientras el celular está en nuestro laboratorio, nadie puede mandarle nada, nadie puede borrar nada a distancia, nadie puede alterarlo remotamente. Está aislado. Protegido. Lo que hay dentro se queda dentro, exactamente como llegó.
La extracción: interrogando al celular
Aquí es donde empieza lo que la gente imagina cuando piensa en un peritaje informático. La extracción de datos.
Pero antes de explicar cómo se hace, necesito que entiendan algo: la extracción forense no es lo mismo que conectar el celular a una computadora y copiar archivos. Si fuera tan simple, no se necesitaría un perito. La extracción forense es un proceso científico que crea una copia exacta — bit por bit — de toda la memoria del dispositivo. No solo los archivos visibles. Todo. Incluyendo archivos borrados que todavía no fueron sobreescritos, bases de datos internas de aplicaciones, registros del sistema, metadatos, logs de conexión, historiales de ubicación, y un largo etcétera.
En el laboratorio, el dispositivo se conecta a una estación forense mediante un cable específico para ese modelo. El software que utilizamos — y aquí voy a hablar de herramientas para que entiendan el proceso — tiene diferentes niveles de extracción:
Extracción lógica. Es la más básica. Accede a los datos que el sistema operativo del celular permite ver: contactos, mensajes, fotos, videos, registros de llamadas, aplicaciones instaladas. Es como pedirle al celular que te muestre lo que tiene. Útil, pero limitada, porque solo te da lo que el celular «quiere» enseñarte.
Extracción de sistema de archivos. Un nivel más profundo. Accede a la estructura interna de archivos del sistema operativo, incluyendo bases de datos de aplicaciones como WhatsApp, Telegram, Signal, correo electrónico, navegadores. Aquí empiezan a aparecer datos que no ves desde la pantalla del celular: timestamps internos, registros de conexión, logs de actividad.
Extracción física. La más completa. Copia bit por bit toda la memoria del dispositivo, incluyendo el espacio «no asignado» — es decir, las áreas donde estaban los archivos borrados que todavía no fueron sobreescritos por información nueva. Es como hacer una radiografía completa de la memoria del celular. Todo lo que alguna vez estuvo ahí — y que no fue físicamente sobreescrito — aparece.
La herramienta que utilizamos para procesar todo esto, y que es estándar en la industria forense a nivel mundial, es FTK — Forensic Toolkit. En mis cursos siempre la describo así: FTK es como una navaja suiza de la informática forense. Hace extracción, hace procesamiento, hace búsquedas, hace indexación, hace análisis de bases de datos, hace recuperación de archivos borrados. Es la herramienta que los peritos informáticos forenses usan en laboratorios de todo el mundo, desde México hasta Europa y Estados Unidos.
El formato en que se guarda la extracción tampoco es cualquier cosa. No es un ZIP. No es una copia en una USB. La extracción se guarda en formato E01 — que es un estándar forense diseñado específicamente para evidencia digital. El formato E01 tiene una característica fundamental: es verificable. Se le calcula un valor hash al momento de la creación, y ese hash permite demostrar que la copia es idéntica al original. Si alguien modifica un solo bit de la extracción, el hash cambia. Es como un sello de cera en una carta antigua: si el sello está intacto, sabes que nadie abrió la carta.
Esto es muy importante: el valor hash que utilizamos es SHA-256. No MD5, que ya fue comprometido y tiene colisiones conocidas. SHA-256. Este valor hash se calcula en dos momentos: antes de la extracción (para documentar el estado original del dispositivo) y después de la extracción (para demostrar que la copia es fiel). Si ambos hashes coinciden, la integridad de la evidencia está científicamente garantizada. SHA-256 antes Y después. Esa doble verificación es lo que le da al dictamen su blindaje técnico ante cualquier juez.
Estudiante de derecho que está tomando nota: cuando te toque un caso con evidencia digital, lo primero que vas a preguntarle al perito — ya sea el de tu lado o el de la contraparte — es: ¿en qué formato guardaste la extracción y cuál es el valor hash? Si te dicen «lo copié en una USB» y no hay hash, esa evidencia no tiene la integridad técnica que exige el artículo 210-A del Código Federal de Procedimientos Civiles. Es objetable. Guárdatelo.
Tiempos reales de extracción
Aquí voy a ser completamente transparente porque es la pregunta que todos hacen: ¿cuánto tarda?
La extracción puede tomar entre 40 minutos y 5 horas. Depende de varios factores:
- Modelo del celular. Un iPhone de última generación tiene protocolos de seguridad diferentes a un Android económico. Los tiempos varían.
- Capacidad de almacenamiento. No es lo mismo extraer 32 GB que 256 GB o 512 GB de datos.
- Estado del dispositivo. Un celular que funciona perfectamente se extrae más rápido que uno con la pantalla dañada o con problemas de hardware.
- Tipo de extracción. Una extracción lógica es más rápida que una física. La física, al copiar bit por bit toda la memoria, toma considerablemente más tiempo.
El promedio en nuestro laboratorio está alrededor de 2 a 3 horas para una extracción completa de un celular estándar. No son semanas. No son días. Son horas.
¿Y si el celular está bloqueado?
El dispositivo se desbloquea con la colaboración del propietario o del tutor legal si es menor de edad. El propietario proporciona su PIN, patrón o contraseña, o desbloquea el dispositivo con su huella digital o reconocimiento facial.
Y aquí viene algo que la gente no espera: el desbloqueo biométrico no es un obstáculo para el peritaje. Es una ventaja forense.
Cuando el celular se desbloquea con huella digital o reconocimiento facial del propietario, eso queda documentado. Y lo que documenta es algo poderosísimo: que la persona que desbloqueó el dispositivo es la persona a quien pertenece. No es que alguien más lo haya usado. No es que se lo prestaron. La biometría confirma identidad. Eso, en un dictamen pericial, es un elemento adicional que fortalece toda la cadena argumentativa. Es como si el celular dijera: «sí, este es mi dueño, y esta es la información que contiene.»
Procesamiento y análisis: donde el perito se convierte en investigador
Una vez que tenemos la extracción completa en formato E01 con su hash SHA-256 verificado, empieza la etapa que más tiempo y conocimiento requiere: el procesamiento y análisis de la información.
Aquí es donde la tecnología y el criterio humano trabajan juntos. Y esto es muy importante que lo entiendan, porque hay una confusión generalizada sobre lo que hace la inteligencia artificial en este proceso.
La IA nos ayuda a procesar volúmenes enormes de datos. Un celular moderno puede contener 50,000 mensajes de WhatsApp, 10,000 fotos, 3,000 contactos, cientos de aplicaciones con sus bases de datos internas, meses de registros de ubicación, años de historial de navegación. Revisar todo eso manualmente, línea por línea, tomaría semanas. La IA indexa, clasifica, busca patrones, identifica datos relevantes según los parámetros que le definimos basándonos en la entrevista inicial.
Pero — y aquí viene el pero, pero, pero, pero — la IA no interpreta. La IA no sabe si un mensaje es sarcasmo o una amenaza real. La IA no sabe si una ubicación es relevante para el caso o es irrelevante. La IA no sabe si un archivo borrado fue eliminado por limpieza rutinaria o porque alguien estaba destruyendo evidencia. Esa interpretación la hace el perito. El ser humano. Con su experiencia, con su conocimiento del caso, con su entendimiento del contexto legal.
Paso 2: interroga a los equipos. Los equipos informáticos te van a decir si lo que declararon las personas es cierto o hay discrepancias. Pero quien formula las preguntas correctas, quien cruza la información con las declaraciones del expediente, quien identifica la contradicción que cambia el caso — ese es el perito.
En esta etapa, lo que hago es cruzar la información extraída del celular con los hechos del caso. Si la fiscalía dice que la persona estaba en un lugar determinado a una hora determinada, busco: ¿qué dice el GPS del celular para esa hora? ¿A qué antena de telefonía estaba conectado? ¿Qué redes WiFi detectó? ¿El acelerómetro registró movimiento o reposo? ¿Hubo desbloqueos biométricos? ¿Qué aplicaciones estaban activas? ¿Hay mensajes enviados desde esa ubicación o desde otra?
Cada dato es un punto en un mapa. Y cuando conectas suficientes puntos, aparece una imagen. A veces esa imagen coincide con lo que dice la fiscalía. A veces la contradice completamente. En cualquier caso, el celular te dice lo que pasó. No tiene lealtades, no tiene intereses, no tiene presión mediática. Registra lo que pasó, punto.
Tiempos reales de procesamiento
El procesamiento y análisis toma entre 1 y 6 horas, dependiendo de:
- El volumen de datos extraídos
- La complejidad del caso (no es lo mismo buscar un mensaje específico que reconstruir una línea de tiempo completa de seis meses)
- La cantidad de fuentes a cruzar (celular solo, celular más sábanas de llamadas, celular más nube, múltiples dispositivos)
En total, sumando extracción y procesamiento, un peritaje informático de un celular típicamente se completa en un solo día de trabajo. Puede ser un día largo — 8, 10, 12 horas si el caso es complejo — pero no son semanas. Es un día.
Lo que toma más tiempo es la elaboración del dictamen, que es el siguiente paso.
El dictamen pericial: el documento que habla ante el juez
Todo lo que hicimos hasta aquí — la entrevista, la cadena de custodia, el aislamiento del dispositivo, la extracción forense, el procesamiento y análisis — culmina en un solo documento: el dictamen pericial.
El dictamen pericial es, en términos simples, el reporte oficial que el perito emite sobre lo que encontró en el dispositivo. Pero no es un reporte cualquiera. Es un documento con estructura legal específica, fundamentado técnicamente, firmado por un perito con cédula profesional, y diseñado para ser presentado como medio de prueba ante un juez.
¿Qué contiene un dictamen pericial de informática forense?
Antecedentes. Descripción del caso, contexto legal, motivo del peritaje. Por qué se analizó este celular y qué se buscaba establecer o refutar.
Metodología. Descripción detallada de cómo se realizó la extracción: herramientas utilizadas, tipo de extracción (lógica, de sistema de archivos, física), formato de la imagen forense (E01), valor hash SHA-256 antes y después, condiciones del laboratorio. Todo documentado paso a paso para que cualquier otro perito pueda replicar el proceso y llegar a los mismos resultados.
Esto es fundamental. La replicabilidad es uno de los pilares del método científico. Si yo digo que encontré algo en el celular, otro perito tiene que poder tomar la misma imagen forense, seguir los mismos pasos, y llegar a la misma conclusión. Si no puede, mi trabajo no es científico — es una opinión. Y las opiniones no tienen el mismo peso ante un juez que las conclusiones científicas.
Resultados. Los hallazgos específicos. Qué encontré, dónde lo encontré, con qué timestamps, con qué metadatos. Cada hallazgo citado con su ubicación exacta dentro de la base de datos del dispositivo, con capturas de pantalla de la herramienta forense que muestran la información tal como fue extraída — no editada, no interpretada, no filtrada. El dato puro.
Análisis. Aquí es donde el perito interpreta los resultados en el contexto del caso. ¿Qué significan los hallazgos? ¿Son consistentes con la versión de la fiscalía o la contradicen? ¿Qué narrativa construyen los datos cuando se leen en secuencia? ¿Hay contradicciones entre lo que declaró una persona y lo que registra el dispositivo?
Conclusiones. Las respuestas concretas a las preguntas que se plantearon al inicio del peritaje. Sin ambigüedades. Sin «podría ser» o «es posible que.» El perito concluye basándose en la evidencia. Si la evidencia es suficiente para una conclusión firme, la emite. Si no es suficiente, también lo dice — porque un perito honesto reconoce los límites de lo que la evidencia puede demostrar.
Fundamentación legal. Referencia al artículo 210-A del Código Federal de Procedimientos Civiles, que establece los requisitos para que la información generada por medios electrónicos tenga valor probatorio: fiabilidad del método de generación, posibilidad de atribuir la información a las personas obligadas, y accesibilidad para su ulterior consulta. Cada uno de esos requisitos se cumple y se documenta en el dictamen.
Firma y certificación. El dictamen lleva la firma del perito, su número de cédula profesional, su registro ante las autoridades competentes. El perito no es anónimo. Es un profesional identificable, localizable y responsable de lo que afirma en el documento.
Abogado que va a presentar este dictamen ante un juez: cuando tenga el dictamen en sus manos, revise que tenga todos estos elementos. Si falta alguno, pídalo antes de la audiencia. Un dictamen incompleto es un dictamen atacable. Y si usted está del otro lado — si le tocó cuestionar un dictamen de la contraparte — estos mismos elementos son los que tiene que revisar. ¿Qué falta? ¿Dónde están los huecos? Ahí es donde se cuestiona.
El perito como tercero no interesado
Hay un concepto que necesito explicar porque genera mucha confusión, especialmente entre familias que están desesperadas y creen que el perito va a «pelear» por su lado.
El perito actúa como tercero no interesado.
¿Qué significa esto? Que el perito no está a favor ni en contra de nadie. El perito analiza la evidencia y reporta lo que encontró. Si la evidencia demuestra que la persona es inocente, el dictamen lo va a decir. Si la evidencia demuestra que la persona hizo lo que le imputan, el dictamen también lo va a decir. El perito no es un abogado más. No construye una narrativa para favorecer a quien le paga. Presenta los hechos técnicos tal como los encontró en el dispositivo.
Esto no es bueno ni malo. Es la única forma en que la prueba pericial tiene credibilidad ante un juez.
Si un perito solo reportara lo que le conviene a su cliente, sería un testigo parcial, no un perito. Y un juez experimentado detecta la parcialidad en un dictamen a kilómetros de distancia. Las conclusiones forzadas, los datos omitidos, las interpretaciones convenientes — todo eso se nota. Y cuando se nota, el dictamen pierde peso. A veces lo pierde todo.
En Duriva, nuestro compromiso es con la evidencia, no con una de las partes. Si me contratas para que analice el celular de tu familiar y la evidencia dice algo que no te gusta escuchar, te lo voy a decir. Antes de emitir el dictamen, antes de que gastes en la audiencia, antes de que el abogado construya una estrategia sobre arena. Porque es preferible saber la verdad a tiempo que llevarte una sorpresa en el juicio oral.
Les soy franco: esa honestidad a veces cuesta clientes. Hay familias que quieren escuchar que la evidencia favorece a su ser querido sin importar lo que digan los datos. Y cuando les digo «mire, esto es lo que encontré, y no apoya la versión que me contaron,» se molestan. Lo entiendo. Pero preferible molestarse conmigo en una sala de juntas que en una audiencia frente a un juez cuando la contraparte desmonte un dictamen que se construyó sobre datos seleccionados a modo.
Tiempos reales completos: de la llamada al dictamen
Voy a poner todos los tiempos juntos para que tengas una visión completa:
Entrevista inicial y evaluación de viabilidad: 1 a 2 horas. Puede ser presencial o por videollamada en una primera etapa.
Recepción del dispositivo y cadena de custodia: 30 a 45 minutos. Documentación fotográfica, llenado de acta, firmas.
Aislamiento del dispositivo (jaula de Faraday): inmediato. Son minutos.
Extracción forense: 40 minutos a 5 horas, dependiendo del dispositivo y tipo de extracción.
Procesamiento y análisis: 1 a 6 horas, dependiendo de la complejidad del caso y el volumen de datos.
Elaboración del dictamen pericial: 1 a 3 días hábiles, dependiendo de la extensión y complejidad de los hallazgos.
Devolución del dispositivo: al momento de terminar la extracción o al concluir el proceso completo, según lo que se acuerde. Se firma la cadena de custodia de devolución.
En la mayoría de los casos, desde que recibes el celular hasta que tienes el dictamen en tus manos, estamos hablando de 3 a 5 días hábiles. No semanas. No meses. Días.
Hay casos que se resuelven en un solo día porque la urgencia procesal lo requiere y la complejidad lo permite. Y hay casos que toman más tiempo porque involucran múltiples dispositivos, volúmenes masivos de datos, o cruce de información con sábanas de llamadas y registros de telecomunicaciones. Pero el rango típico es ese: 3 a 5 días hábiles.
Preguntas frecuentes (las que me hacen en cada curso y en cada consulta)
¿Le van a ver mis fotos y conversaciones personales?
El perito accede a la totalidad de la información del dispositivo durante la extracción. Es inevitable y es necesario para que la extracción sea completa. Pero — y esto es muy importante — el dictamen solo incluye la información relevante para el caso. Si el caso es sobre la ubicación de la persona en una fecha determinada, el dictamen va a hablar de GPS, antenas, WiFi, acelerómetro. No va a incluir tus fotos de vacaciones ni tus conversaciones con tu pareja. Eso se extrae como parte del proceso técnico, pero no se reporta porque no tiene relevancia para el objeto del peritaje.
Dicho esto, les soy franco: si tu preocupación es que el perito va a ver tu contenido personal, la respuesta es que durante el proceso de análisis, el perito ve todo lo que está en el celular. Es parte del trabajo. Lo que no hace — y la ética profesional lo prohíbe — es divulgar, compartir o utilizar para cualquier fin información que no sea relevante para el peritaje. El perito tiene un deber de confidencialidad que es absoluto.
¿Me van a devolver el celular?
Sí. El dispositivo se recibe, se documenta la cadena de custodia, se realiza la extracción en el laboratorio y se devuelve. Firmamos la cadena de custodia tanto en la recepción como en la devolución. Todo documentado, todo rastreable.
En la mayoría de los casos, el celular se devuelve el mismo día o al día siguiente de la extracción. El perito no necesita el dispositivo físico para el procesamiento y análisis — trabaja sobre la imagen forense (la copia en formato E01). Una vez que la extracción está completa y verificada con el hash SHA-256, el celular puede regresar a su dueño.
¿Puede la contraparte cuestionar el peritaje?
Sí, y es su derecho. La contraparte puede designar un perito propio para que revise el dictamen, analice la misma imagen forense, y emita un contrapericial. Precisamente por eso la metodología tiene que ser impecable: formato E01, hash SHA-256, cadena de custodia completa, herramientas validadas. Si todo está documentado y es replicable, el contrapericial de la contraparte va a llegar a las mismas conclusiones. Y si no llega a las mismas conclusiones, que explique por qué — con la misma rigurosidad técnica.
¿Esto sirve en cualquier tipo de juicio?
Funciona en todas las materias. Penal, civil, familiar, laboral, mercantil. El fundamento legal cambia según la materia — en penal se trabaja con el Código Nacional de Procedimientos Penales, en civil con el Código Federal de Procedimientos Civiles — pero el principio es el mismo: la evidencia digital, correctamente extraída y documentada, tiene valor probatorio ante un juez. El artículo 210-A establece los requisitos y se aplica transversalmente.
¿Pueden recuperar mensajes borrados?
Depende de cuánto tiempo pasó desde que se borraron y de cuánto se ha usado el celular después. Cuando borras un mensaje, el celular no lo elimina físicamente de la memoria. Lo que hace es marcar ese espacio como «disponible» para nueva información. Mientras no se sobreescriba con datos nuevos, el mensaje borrado sigue ahí, invisible para el usuario pero recuperable por un perito con las herramientas correctas.
Si el mensaje se borró ayer y el celular ha estado en modo avión desde entonces, la probabilidad de recuperación es alta. Si se borró hace seis meses y el celular se ha usado intensivamente, la probabilidad disminuye significativamente porque ese espacio probablemente ya fue reutilizado.
Lo honesto es evaluarlo caso por caso. Por cobrarte te puedo cobrar, pero si la recuperación no es viable, te lo digo antes de que gastes un peso.
¿Qué diferencia hay entre lo que hace un perito y lo que hace la policía cibernética?
La policía cibernética investiga delitos informáticos para la fiscalía. Trabaja para el órgano acusador. El perito informático forense privado trabaja como auxiliar de la justicia, al servicio de quien lo designe — puede ser la defensa, puede ser una empresa, puede ser un particular. La diferencia fundamental es de posición procesal: el perito privado es un tercero no interesado que emite una opinión técnica independiente. No tiene una teoría del caso que defender. Tiene evidencia que analizar.
¿Y si no sé nada de tecnología? ¿Voy a entender el dictamen?
El dictamen tiene secciones técnicas que están dirigidas al juez y al abogado, que necesitan la rigurosidad metodológica. Pero las conclusiones se redactan en un lenguaje claro que cualquier persona puede entender. Además, antes de entregar el dictamen, siempre tenemos una sesión con el cliente y su abogado donde explico los hallazgos en español llano, sin tecnicismos, con analogías si hace falta. Que nadie se quede con dudas. Si no entiendes algo, preguntas y lo explico las veces que sea necesario.
¿Qué pasa si la fiscalía ya hizo un peritaje del celular? ¿Se puede hacer otro?
Absolutamente. La defensa tiene derecho a designar un perito que analice la misma evidencia. De hecho, en muchos casos el contrapericial es la pieza más importante, porque identifica errores, omisiones o inconsistencias en el trabajo de la fiscalía que pasaron desapercibidos porque nadie los cuestionó.
Y esto que voy a decir lo repito en cada curso y en cada conferencia: objetar las pruebas de la contraparte es el tema más fino dentro de la informática forense. Y es el recurso más subutilizado en México. La mayoría de los abogados reciben la evidencia digital de la fiscalía y la aceptan como verdad absoluta. No la cuestionan. No la revisan. No le buscan debilidades. Y cuando las tiene — que casi siempre las tiene –, esas debilidades se quedan ahí, sin explotar.
Lo que NO es un peritaje informático
Antes de cerrar, necesito aclarar algunas confusiones que veo con frecuencia:
No es espionaje. Un peritaje informático forense se hace sobre un dispositivo con autorización de su propietario o por orden judicial. No se hackea el celular de nadie. No se intervienen comunicaciones. No se instala software espía. Todo se hace dentro del marco legal, con el consentimiento correspondiente y bajo cadena de custodia.
No es un servicio de desbloqueo. Si tu celular se bloqueó y quieres que alguien te lo desbloquee para seguir usándolo, eso no es un peritaje informático. Es un servicio técnico. Cosas distintas.
No es recuperación de datos para uso personal. Si se te borraron las fotos de tus vacaciones y quieres recuperarlas, eso es recuperación de datos, no informática forense. La diferencia es que la informática forense tiene como objetivo producir un medio de prueba con valor legal. La recuperación de datos tiene como objetivo devolverte tus archivos.
No es instantáneo. Si alguien te dice que en 15 minutos tiene el dictamen pericial listo, desconfía. Un proceso serio toma horas de extracción, horas de análisis, y días de elaboración del dictamen. No hay atajos cuando lo que está en juego es la libertad de una persona o el resultado de un juicio.
El celular habla. La pregunta es quién lo escucha.
Si llegaste hasta aquí, ya tienes una idea completa de cómo funciona un peritaje informático a un celular. Desde la entrevista hasta el dictamen. Sin misterio, sin caja negra, sin «confía en mí y no preguntes.»
La transparencia en el proceso es lo que le da credibilidad al resultado. Si entiendes cada paso — y ahora lo entiendes –, puedes evaluar si el peritaje que te ofrecen es serio o no. Puedes hacerle preguntas al perito y saber si las respuestas tienen sentido. Puedes exigir cadena de custodia, formato E01, hash SHA-256, y saber por qué lo estás exigiendo. Puedes revisar un dictamen — propio o de la contraparte — y detectar si tiene los elementos que debe tener.
Ese es el objetivo de este artículo: que no dependas de la fe. Que dependas del conocimiento.
En Duriva, este es el proceso que seguimos en cada caso. Sin excepciones. Sin atajos. Cada celular que entra al laboratorio pasa por cada uno de los pasos que acabo de describir, con la misma rigurosidad si es un caso de dos millones de pesos o si es un caso de un joven que necesita demostrar dónde estaba a las tres de la tarde.
Porque al final, la evidencia digital no distingue entre casos grandes y pequeños. Distingue entre procesos bien hechos y procesos mal hechos. Y los procesos bien hechos son los que resisten el escrutinio de un juez, de un contrapericial, y del tiempo.
Si tienes un caso donde el celular es una pieza clave — ya sea para probar algo o para refutar lo que dice la contraparte — y quieres entender si un peritaje informático puede ayudarte, contáctanos. Te explicamos el proceso, evaluamos la viabilidad y te damos un panorama honesto de qué se puede y qué no se puede. Sin compromisos y sin venderte algo que no necesitas.
Eso es lo que hacemos. Así funciona. Y ahora lo sabes.