Forense de celular: qué se recupera

La pregunta llegó a las dos de la mañana, otra vez por WhatsApp: “¿Pueden recuperar los mensajes que mi esposo borró hace dos meses? Ya pagué $3,500 a alguien que prometió hacerlo y nunca me entregó nada”. La conversación al día siguiente fue larga, porque la respuesta técnica honesta nunca es la respuesta que el cliente quiere escuchar en ese momento. Lo que se recupera de un celular depende del dispositivo, del tiempo transcurrido, del estado de los respaldos y, sobre todo, de la vía legal por la que llegues a peritarlo. Cualquier otra promesa es marketing.

Este artículo desglosa, sin prometer lo imposible ni esconder lo posible, qué se puede extraer hoy de un iPhone o un Android en México con metodología forense legal, qué requiere consentimiento expreso o mediación voluntaria, qué necesita orden judicial y por qué algunas cosas que ofrecen ciertos servicios oscuros simplemente no existen técnicamente —o existen pero son delito instalarlas.

¿Cómo se guarda la información en un celular moderno? La verdad técnica primero

Para entender qué se puede recuperar, hay que entender cómo se guarda. Tanto iOS 17 en iPhone como Android 12 o superior usan almacenamiento basado en bloques con cifrado completo del sistema de archivos. Cuando “borras” un mensaje, en la mayoría de los casos no se sobrescribe físicamente: solo se marca el bloque como “libre y disponible para reuso”. Hasta que otro dato escribe encima de ese bloque, el contenido sigue ahí —solo invisible para el sistema operativo en uso normal.

Esa es la ventana exacta donde opera el peritaje forense profesional. Y por eso el tiempo es el factor más crítico: cada día que pasa, más uso normal del teléfono (recibir mensajes, tomar fotos, instalar apps, abrir Instagram) sobrescribe bloques marcados libres. Lo que era recuperable la semana pasada puede no serlo dentro de un mes.

La matriz completa de recuperación forense en México 2026

Esta es la referencia técnica con la que trabaja un peritaje serio, y la primera pregunta que un perito debería contestarte por escrito antes de cobrarte nada: ¿qué es plausible recuperar para tu caso específico, dado el dispositivo, el tiempo y la vía legal disponible?.

La columna “Vía legal aplicable” es más importante que la columna “Recuperable técnicamente”. Tener la capacidad de recuperar algo no autoriza a hacerlo: la legalidad del acceso al dispositivo determina si la evidencia es admisible o si se va al bote de la basura procesal junto con tu dinero.

Las 3 vías legales únicas de acceso al dispositivo en México

En México, un perito informático con cédula TSJ vigente puede operar legalmente sobre un celular bajo únicamente tres figuras. Cualquier otra vía produce evidencia inadmisible y expone penalmente al cliente que la contrató:

Las “vías” comerciales que ofrecen algunos servicios oscuros en redes sociales —software espía como mSpy o Cocospy, instalación remota de keyloggers, “hackeo ético”, APK modificados— son ilegales en México bajo el artículo 211 bis del Código Penal Federal con prisión y multa. Además, producen evidencia inadmisible que un peritaje contrario detecta en minutos. Doble pérdida: gastas dinero, no obtienes prueba, y te expones penalmente como contratante del delito.

iPhone vs Android: qué puede uno, qué puede el otro

La pregunta operativa cambia según el ecosistema. Resumen práctico de lo que reportan los peritajes:

iPhone (iOS 17 y posteriores)

• iCloud activo es el mejor escenario forense: respaldos rotativos automáticos cada 24 horas con historial de 30 días.
• “Significant Locations” guarda hasta dos años de movimientos con precisión de calle (a veces de bloque), cifrado pero recuperable con acceso legal al dispositivo.
• Mensajes borrados sin Time Machine cuentan con una ventana real de aproximadamente 7 días de recuperación confiable, después cae rápido.
• iMessages cifrados extremo a extremo requieren el dispositivo desbloqueado o la cuenta iCloud con verificación de dos factores.

Android moderno (versión 12 y posteriores)

• Google Timeline conserva ubicación hasta 18 meses si la opción está activada en la cuenta Google.
• Respaldos en Google Drive son menos completos que los de iCloud y varían significativamente según el fabricante (Samsung guarda distinto que Xiaomi, distinto que Pixel).
• La recuperación de bloques libres es más volátil: el “fastboot” y el uso intensivo de apps de gaming sobrescriben más rápido.
• WhatsApp tiene respaldo independiente en Drive con cifrado opcional con clave personal del usuario desde 2022 —si el cliente activó esa opción, sin la clave no se recupera.

El factor decisivo casi siempre es el respaldo activo. Un iPhone con iCloud lleno se peritea con éxito muy superior a un iPhone con iCloud desactivado, y mucho más que un Android sin sincronización Google activa. Por eso preguntamos por el estado del respaldo antes de cotizar.

Lo que no se puede (y nadie debería prometerte)

Cinco cosas que un servicio honesto te dirá que no son posibles técnicamente, sin importar cuánto pagues:

• Recuperar conversaciones de Signal o de Telegram secret chats sin acceder al dispositivo origen físicamente y desbloqueado. El cifrado extremo a extremo con auto-destrucción está diseñado precisamente para no dejar rastro recuperable.
• Acceder a iCloud o a Google sin las credenciales del titular. Las protecciones modernas (autenticación de dos factores, claves de paso passkey, verificación biométrica) son técnicamente sólidas y resisten ataques que se han documentado públicamente.
• Geolocalizar un celular en tiempo real sin instalar nada en él. Solo los operadores telefónicos (Telcel, AT&T, Movistar) con orden judicial pueden, y solo dentro de investigación formal abierta.
• Clonar un WhatsApp activo a otro dispositivo en paralelo sin que aparezca la notificación de “Dispositivo Vinculado”. Si alguien promete esto, está usando software espía ilegal —que además es detectable en una revisión forense del dispositivo origen.
• Recuperar mensajes borrados hace tres años de un Android factory reseteado. Wipes completos reescriben sectores físicos del almacenamiento. No hay magia que los devuelva.

Cómo se ve un peritaje forense real: el día a día del Forense Digital

Para que reconozcas qué debería pasar cuando contratas un forense digital de cinco días con cualquier laboratorio, esta es la secuencia operativa contra la que conviene contrastar la propuesta que te entreguen:

1. Día 1 — Identificación técnica y acta de inicio. El perito registra el dispositivo (modelo, iOS/Android, espacio usado), el estado de los respaldos y la vía legal aplicable, y se firma acta con folio único.
2. Día 1-2 — Adquisición forense con write-blocker. Hardware que impide escribir en el dispositivo durante la lectura. Se genera imagen bit-a-bit del almacenamiento completo. Cálculo de hash SHA-256 inmediato. Toda manipulación posterior se hace sobre copias de esa imagen, nunca sobre el original.
3. Día 2-3 — Extracción dirigida con suites certificadas. Cellebrite UFED, Magnet AXIOM, MSAB XRY. Se extrae exactamente lo solicitado en el alcance: chats, multimedia, ubicación histórica, llamadas. Bloques libres se exploran con file carving especializado.
4. Día 3-4 — Análisis y correlación temporal. Se construye una línea de tiempo cruzada: mensaje X a las 22:14, foto Y a las 22:18, ubicación Z entre 22:00 y 23:00. Los patrones emergen cuando se cruzan ejes —no en cada evidencia aislada.
5. Día 4-5 — Dictamen pericial bajo protesta de decir verdad. El perito firmante con cédula TSJ vigente redacta dictamen ejecutivo más anexos técnicos. Hashes finales impresos en el documento. Entrega en USB cifrada con clave + PDF firmado digitalmente.
6. Posterior a la entrega — Ratificación judicial. Si el caso va a juicio, el perito tiene que comparecer a ratificar el dictamen. Esa disposición, su plazo y su costo son de las cláusulas que conviene exigir por escrito antes de firmar: un dictamen que nadie ratifica en audiencia vale mucho menos de lo que cuesta.

Ese alcance se mueve alrededor de $22,000 MXN como rango de referencia del mercado. Pide el monto total cerrado por escrito antes del anticipo, con el desglose de lo que no está incluido.

Casos reales: lo que recuperó el peritaje (y lo que no)

Tres expedientes anonimizados del 2024-2025:

Caso A — Del Valle, CDMX. Clienta 41 años. Sospechaba infidelidad emocional digital sostenida. Mediación voluntaria gestionada con terapeuta de pareja: ambos cónyuges entregaron iPhone y backup de iCloud activo. Forense Digital recuperó 1,247 mensajes borrados de WhatsApp en los últimos 22 días, además de geolocalización histórica que coincidía con horarios declarados como “trabajo”. Resultado: confirmación documentada con dictamen TSJ admisible. Divorcio voluntario con convenio en mediación, sin necesidad de litigio.

Caso B — Cumbres, Monterrey. Cliente 38 años. Pareja con Android Samsung Galaxy sin respaldo Google activo. Borrado intensivo de chats durante los últimos cuatro meses. Forense Digital recuperó parcialmente solo 23% del material esperado; el resto estaba físicamente sobrescrito. Honestidad técnica: el laboratorio entregó el dictamen con lo recuperable y explicó por qué el porcentaje fue bajo (Android sin backup + uso intensivo + tiempo). Sirvió para confirmar patrón aunque no para reconstruir línea completa.

Caso C — Centro, Mérida. Clienta 47 años, ya había gastado $3,500 con un “experto en recuperación” de redes sociales. El supuesto experto le había prometido recuperar tres años de chats por una transferencia a OXXO. Nunca entregó nada. Llegó con el iPhone intacto a un laboratorio con cédula vigente (afortunadamente no le había instalado nada el operador anterior). Forense Digital legítimo de 5 días recuperó 89% del material objetivo desde el respaldo iCloud activo. Costo final $22,000, pero ya con $3,500 perdidos previamente que no se recuperan.

Cuándo el peritaje forense no es lo que necesitas

Tres escenarios donde recomendamos honestamente no contratar Forense Digital y proponemos otra ruta:

• No vas a iniciar proceso legal alguno. Si tu objetivo es decidir personalmente sobre la relación sin demanda futura, el peritaje es sobreingeniería técnica. Una sesión con un terapeuta de pareja va a costarte una fracción y darte más herramientas reales para esa decisión interna. El peritaje tiene sentido cuando la evidencia se va a usar legalmente o cuando solo la certeza documentada por tercero te tranquiliza.
• El dispositivo objetivo es legalmente inaccesible. Sin consentimiento expreso, sin orden judicial, sin que sea tu cuenta: no hay vía. En esos casos proponemos OSINT pasivo sobre huella digital pública, o un Estándar 7 días con foco en campo y observación legal.
• El tiempo transcurrido vuelve improbable la recuperación. Si pasaron más de seis meses sin respaldo activo, te lo decimos honestamente antes de cotizarte. Vender un peritaje con probabilidad técnica baja sin advertirlo sería deshonesto. En esos casos a veces tiene más sentido un Forense Digital sobre material reciente que se vaya generando, no sobre material ya perdido.

Si quieres saber qué se puede peritar en tu caso —el dispositivo, el tiempo, la vía legal aplicable, la probabilidad técnica real— empieza por el triaje de tres preguntas, que no pide registro ni el nombre de nadie, y compara después en el directorio de forense digital qué peritos y laboratorios publican cédula TSJ vigente, metodología y alcance. Antes de firmar, pide por escrito qué es plausible recuperar en tu caso concreto, el monto total cerrado y la disposición del perito a ratificar ante el juzgado. El contrato se firma entre tú y el laboratorio que elijas.