Forense digital en CDMX y cadena de custodia

Entregar un iPhone 15 Pro sobre la mesa de recepción de un laboratorio forense es un acto con consecuencias legales, no un trámite. Esto es lo que debería ocurrir en los primeros quince minutos: una perito informática con cédula TSJ vigente recibe el equipo con guante de látex, registra IMEI y número de serie, fotografía el estado físico del dispositivo en seis ángulos, te pide firmar el acta de inicio y te entrega copia con sello y folio. El dispositivo entra a bolsa Faraday metalizada, se etiqueta con código de trazabilidad y se traslada al área de adquisición. Toda la secuencia queda documentada por bitácora, fotografía y firma. Esa documentación es el primer eslabón de una cadena de custodia que, semanas después, tendrá que soportar una impugnación en una audiencia preliminar del TSJ-CDMX sobre Niños Héroes 132.

Si algo de esa secuencia no ocurre —si nadie firma, si no hay folio, si el equipo desaparece por una puerta sin que quede constancia—, el problema no se nota ese día: se nota en la audiencia, cuando la contraparte pregunta quién tuvo el dispositivo y desde cuándo. Esta pieza documenta qué debe tener un laboratorio forense serio en Ciudad de México y cómo verificarlo antes de entregarle un dispositivo: instalaciones, controles de acceso, bitácora de custodia, herramientas, quién firma el dictamen y qué se te entrega al cierre.

Las cuatro áreas que un laboratorio forense debe tener separadas

Un laboratorio forense no es una oficina con una computadora rápida. La separación física de funciones es lo que permite sostener después, ante un juez, quién tuvo acceso a qué y en qué momento. Son cuatro áreas, y conviene preguntar explícitamente por ellas antes de entregar un equipo.

Área de recepción y custodia. Donde se reciben dispositivos bajo acta firmada y se almacenan en gabinetes con doble llave y bitácora de acceso. Si el equipo se guarda en un cajón sin registro, no hay custodia: hay almacenamiento.

Área de adquisición. Equipada con write-blockers de hardware certificados —que impiden cualquier escritura sobre el dispositivo original durante la extracción—, bolsas Faraday metalizadas, jaula Faraday de gabinete completo para dispositivos que deban permanecer encendidos durante la extracción, y estaciones de trabajo con las herramientas forenses licenciadas.

Área de análisis. Donde el perito informático examina las extracciones, reconstruye cronologías y elabora el dictamen. Separada de recepción por una razón simple: quien analiza no debería ser quien controla el acceso físico al artefacto.

Área de archivo seguro. Donde se conservan las copias geográficamente separadas y se programan los borrados auditados al cumplir el plazo de retención pactado.

Cómo verificar un laboratorio antes de entregarle un dispositivo

Hay cinco comprobaciones que se hacen desde el celular, en minutos, y que filtran a la mayoría de los operadores improvisados: cédula DGSP federal, padrón SSC-CDMX vigente, RFC empresarial auditable, domicilio fiscal verificable en Google Maps con Street View y contrato modelo descargable previo a firma. La pieza Cómo elegir investigador privado en CDMX detalla los cinco filtros públicos que cualquier cliente debería aplicar antes de firmar.

A esas cinco conviene sumar cuatro preguntas específicas del laboratorio, y anotar las respuestas por escrito. ¿Dónde queda físicamente el equipo mientras se procesa, y quién tiene acceso a ese espacio? ¿Existe bitácora de custodia con folio, y me entregan copia del acta de inicio el mismo día? ¿Quién firma el dictamen, con qué cédula, y está esa persona dispuesta a comparecer a ratificarlo? ¿Cuánto tiempo se conservan las copias y con qué método se borran después? Un laboratorio serio responde las cuatro sin incomodarse, porque son las mismas preguntas que le hará la contraparte en audiencia.

La visita presencial es la verificación más barata que existe. Un domicilio que solo aparece como número de WhatsApp, un “laboratorio” que resulta ser una sala de juntas prestada o una dirección que no se puede ubicar en Maps son señales suficientes para no avanzar.

Marco legal: consentimiento, titularidad y CNPCF 2023

Un laboratorio forense legítimo no opera sobre dispositivos de terceros. Tres marcos disciplinan estrictamente sobre qué dispositivos puede operar el peritaje y bajo qué condición.

Primero, titularidad del dispositivo por parte del cliente. Si el cliente es el titular del iPhone, Android, iPad o MacBook, puede solicitar adquisición forense sobre su propio dispositivo sin restricción adicional. Esto incluye chats de WhatsApp del propio cliente, correo electrónico personal, fotografías y videos, historial de navegación, geolocalización, llamadas. La adquisición se hace con cadena de custodia ISO 27037 para que el material pese ante TSJ-CDMX.

Segundo, consentimiento expreso documentado del cotitular. Si el dispositivo es propiedad conjunta (caso poco frecuente pero existe), o si se trata de un dispositivo cuyo uso es compartido con consentimiento histórico verificable, se firma acta de consentimiento por ambas partes antes de la adquisición. Sin esa firma no hay adquisición.

Tercero, Artículo 16 constitucional y Artículo 167 bis del Código Penal Federal. El dispositivo de la pareja sospechada no se opera sin su consentimiento expreso — punto. Cualquier laboratorio que ofrezca “rescatar WhatsApp” o “clonar el iPhone de tu pareja” sin su consentimiento está describiendo un delito federal del que el cliente queda como cómplice como contratante. La pieza Investigación de infidelidad CDMX: qué evidencia entra al juzgado de familia profundiza en por qué la evidencia obtenida así contamina el expediente completo bajo doctrina del fruto del árbol envenenado.

Herramientas forenses por dispositivo y tiempo de adquisición

La tabla resume el promedio del sector. El tiempo real depende del estado del dispositivo (bloqueado, parcialmente bloqueado, abierto), de la versión de sistema operativo y de la complejidad del análisis solicitado. Pregunta qué herramienta se usará sobre tu modelo concreto y pide que quede escrita en el alcance: una licencia Cellebrite o AXIOM vigente es cara, y quien no la tiene tiende a no mencionar cuál usa. La pieza Forense WhatsApp CDMX: protocolo de adquisición legal detalla el protocolo específico para WhatsApp, que es el caso operativo dominante (97% de las conversaciones infieles en México pasan por WhatsApp). Para el detalle de alcance legal sobre cada plataforma, conviene leer Forense celular CDMX: iPhone, Android, alcance legal.

El protocolo de adquisición, paso por paso, y qué debe quedarte en la mano

Una adquisición forense correcta se ejecuta en siete pasos auditables. Cada paso queda documentado en bitácora, acta firmada y fotografía cuando aplica. Úsalos como lista de verificación: en cada uno hay algo que el laboratorio debe entregarte o mostrarte.

Primero, recepción del dispositivo bajo acta. Se registra IMEI, número de serie, modelo, versión de sistema operativo declarada, estado físico, estado de batería, accesorios incluidos. Se fotografía en seis ángulos. El cliente firma acta de inicio con identificación oficial y propósito declarado de la adquisición, y se lleva copia con sello. Si no te entregan esa copia el mismo día, no hay cadena de custodia que valga.

Segundo, traslado a bolsa Faraday metalizada. El dispositivo queda aislado de toda señal de radio (LTE, WiFi, Bluetooth, GPS) durante el transporte interno entre área de recepción y área de adquisición. La bolsa Faraday impide que cualquier instrucción remota —incluido un borrado remoto desde iCloud o Find My Device— llegue al dispositivo durante el proceso.

Tercero, conexión con write-blocker de hardware certificado. El dispositivo se conecta a la estación forense vía write-blocker que bloquea cualquier escritura desde el sistema huésped. Esto preserva la integridad del artefacto y permite que el hash SHA-256 anterior y posterior a la extracción coincidan matemáticamente.

Cuarto, adquisición con la herramienta apropiada al dispositivo. Cellebrite UFED para iPhone y Android compatibles. Oxygen Detective para Android específico, perfiles de aplicaciones y reconstrucción cronológica. Magnet AXIOM para MacBook y para análisis cruzado de evidencia multifuente. La herramienta se selecciona conforme a la tabla anterior y al alcance contratado.

Quinto, generación de hash SHA-256 sobre la extracción. Cada archivo extraído recibe firma criptográfica que permite verificación independiente. El hash se imprime en el acta de cadena de custodia firmada por el perito. Pide ese listado: es lo que permite que otro perito verifique el trabajo sin depender de la palabra de nadie.

Sexto, doble copia geográficamente separada. Una copia queda en el laboratorio bajo gabinete con doble llave; una segunda copia se aloja en un respaldo en instalación distinta con bitácora de acceso. Esa redundancia se firma en acta y se documenta en el dictamen.

Séptimo, análisis y dictamen pericial. El perito informático con cédula TSJ vigente examina las extracciones, reconstruye la cronología relevante para el alcance contratado, identifica artefactos críticos, redacta dictamen firmado con cédula TSJ y queda en disposición de comparecer ante TSJ-CDMX si el caso va a audiencia. En el mercado capitalino, el plazo habitual desde recepción hasta entrega del dictamen va de tres a cinco días hábiles en una modalidad de forense digital estándar.

Un caso ilustrativo: traslado bajo acta y dictamen ratificado en TSJ-CDMX

Sirve un caso reconstruido sobre el patrón típico para ver cómo se encadenan las piezas. Persona residente en Coyoacán, sospecha sostenida tres meses, audiencia preliminar de divorcio incausado programada en Niños Héroes 132 a noventa días. Conserva su propio iPhone 14 Pro con historial completo de WhatsApp del último año, fotografías geolocalizadas, registros de Find My iPhone con ubicaciones cruzadas y cuenta de iCloud activa. Servicio contratado: una modalidad de forense digital de cinco días, con MXN 22,000 como rango publicado en este sitio y precio firmado en contrato con el proveedor.

Día uno: traslado coordinado del dispositivo desde Coyoacán al laboratorio. Vehículo institucional, agente con número de oficio, acta de traslado firmada en el domicilio del cliente, dispositivo en bolsa Faraday durante todo el trayecto. Recepción en laboratorio, fotografía, acta de inicio, firma del cliente. Día dos: adquisición Cellebrite UFED Premium, ocho horas de extracción lógica avanzada con copia iCloud autorizada, hash SHA-256 generado, doble copia geográfica firmada en acta. Día tres: análisis del perito, identificación de artefactos relevantes, reconstrucción cronológica de patrones críticos. Día cuatro: redacción del dictamen pericial con cédula TSJ vigente y cruce con la bitácora del operativo de campo paralelo. Día cinco: entrega del expediente físico y digital con cadena de custodia documentada, y reunión de cierre con el abogado de familia.

Tres meses después, audiencia preliminar en Niños Héroes 132. La contraparte impugnó el dictamen alegando “posible manipulación de capturas de WhatsApp”. El perito compareció bajo protesta, exhibió el acta de cadena de custodia con hashes SHA-256, demostró que el dispositivo nunca había sido escrito desde la adquisición y que las extracciones eran verificables independientemente con cualquier herramienta forense certificada. La impugnación se resolvió en la misma audiencia con admisión completa del cuerpo probatorio. Lo que sostuvo el expediente no fue el equipamiento: fue el papel firmado en cada paso. La pieza TSJ-CDMX Niños Héroes 132: cómo llega un expediente blindado a audiencia profundiza en cómo se lee el expediente en sede capitalina.

Traslado, retención y borrado auditado: las cláusulas que casi nadie lee

El protocolo de traslado importa porque la cadena de custodia empieza en el minuto cero, no cuando el equipo llega al laboratorio. Cuando el cliente no puede acudir en persona —residentes en zonas como Tláhuac, Xochimilco, Milpa Alta o la conurbación mexiquense—, la recolección debe coordinarse con agente identificado por número de oficio, vehículo institucional, acta de traslado firmada en origen, bolsa Faraday durante todo el trayecto y entrega en laboratorio bajo bitácora. Pregunta también quién responde por el equipo mientras está fuera de tu poder, y confirma si ese traslado tiene costo o está absorbido en el precio.

La política de retención y borrado auditado debería quedar firmada en contrato. El estándar razonable es conservar las copias geográficamente separadas noventa días naturales post-cierre por si se requieren para juicio o ampliación y, pasado ese plazo y salvo orden judicial expresa, borrar los archivos con metodología de borrado seguro auditado y firmar acta de destrucción. Pide leer el aviso de privacidad del proveedor antes de entregar nada: quién es el responsable del tratamiento, cuánto retiene y con qué método destruye son datos que deben estar publicados, no explicados de palabra.

En el mercado capitalino, una modalidad de forense digital de cinco días cubre habitualmente adquisición con Cellebrite UFED, Oxygen Detective o Magnet AXIOM según dispositivo, dictamen pericial firmado por perito con cédula TSJ vigente, doble copia geográficamente separada, cadena de custodia ISO 27037 documentada y entrega del expediente físico y digital. Los rangos publicados en este sitio la ubican desde MXN 22,000, y la modalidad Premium 30 días desde MXN 75,000 cuando el caso va a audiencia con cuestión patrimonial sustantiva y pide peritaje desde el día uno. Son puntos de partida para pedir propuesta: exige que el precio total, los conceptos incluidos y los que se cobran aparte queden por escrito antes del anticipo.

Si tu caso requiere análisis forense sobre tu propio iPhone, Android, iPad o MacBook bajo consentimiento documentado, la decisión importante no es qué herramienta se usará, sino a quién le entregas el dispositivo y bajo qué papel firmado. Cuando la evidencia digital se cruza con observación de campo, el alcance suele acercarse al servicio pilar de investigación de infidelidad de pareja. Puedes solicitar orientación para definir qué dispositivos entran en el alcance, qué herramienta aplica y qué tiempos son realistas, y comparar en el directorio qué peritos y laboratorios publican cédula vigente, metodología y condiciones de custodia por escrito. El contrato del encargo se firma entre tú y la empresa que elijas.