Hay casos cuya evidencia ya está casi por completo en un dispositivo. El cliente trae capturas de WhatsApp, un respaldo de iCloud abierto, un Google Drive compartido con archivos relevantes — pero su abogada de familia ya le dijo que las capturas sueltas no pasan el filtro del juzgador, y necesita convertir ese material en un dictamen ratificable. Para ese perfil, un paquete de forense digital de cinco días resuelve sin operativo de campo: es una de las modalidades que publican las empresas listadas en el directorio, cuesta menos que un paquete estándar con campo y debe ejecutarse con la misma cadena de custodia digital ISO 27037 que un operativo de treinta días.
Este artículo describe el alcance real de esa modalidad aplicada a Ciudad de México, qué casos encajan en ella, cuáles piden complemento con campo, cómo se entrega un dictamen TSJ en cinco días sin acortar metodología y qué debes exigirle a la empresa antes de entregarle tu dispositivo.
Cinco días con dictamen TSJ
Qué debe entregar un paquete de forense digital
El alcance serio cubre cuatro capas integradas en cinco jornadas. Análisis forense del dispositivo del cliente (o del cliente con cotitularidad documentada sobre dispositivo de la pareja) con consentimiento o titularidad documentada, ejecutado con herramienta certificada (Cellebrite UFED, Oxygen Detective, Magnet AXIOM). Recuperación de mensajes y archivos borrados sobre la imagen forense generada — WhatsApp, Telegram, Instagram DM, Messenger, apps de citas. Identificación de apps de citas activas o recientemente desinstaladas (Tinder, Bumble, Hinge, Grindr, Feeld) con perfiles, matches y chats todavía recuperables. Análisis de metadatos y ubicación del dispositivo: historial de ubicaciones, conexiones Bluetooth, redes WiFi.
El cierre debe incluir informe pericial con cadena de custodia firmado por perito informático con cédula TSJ vigente. Si el caso puede llegar a audiencia, la comparecencia del perito tiene que quedar escrita en el contrato antes de pagar el anticipo: es la cláusula que más se omite y la que más se echa de menos después.
Cuándo Forense Digital cubre el caso completo
Tres perfiles de caso encajan con precisión en el alcance de cinco días sin necesidad de combinar con operativo de campo. Cuando dos de los tres están presentes, el paquete por defecto es Forense Digital.
Perfil 1 — Evidencia ya concentrada en dispositivo del cliente. El cliente trae celular con conversaciones, fotos o registros sobre los que tiene titularidad o cotitularidad clara. La función del peritaje es preservar y validar lo ya disponible, no descubrir nuevo material en campo. La adquisición bit-a-bit con write-blocker, el análisis offline y el dictamen TSJ cubren el alcance probatorio completo.
Perfil 2 — Capturas de pantalla previas rechazadas por abogado. El cliente ya intentó documentar con capturas y su abogada de familia le dijo que sin cadena de custodia el material es impugnable. Lo que se pide es adquisición forense sobre el dispositivo origen donde están las capturas y dictamen pericial que vuelva las conversaciones admisibles. Cinco días alcanzan para procesar adquisición + análisis + dictamen.
Perfil 3 — iCloud o Google Drive con credencial legítima del titular. El cliente tiene contraseña de iCloud o Drive de la pareja por consentimiento documentado (cotitularidad sobre cuenta familiar, dispositivo compartido, plan operado por el cliente). El peritaje descarga el respaldo cifrado, lo procesa offline, recupera comunicaciones, fotos y documentos relevantes con cadena de custodia íntegra.
Cuándo Forense Digital queda corto
Dos señales recomiendan combinar Forense Digital con campo (escalando a Premium 30 días) o sustituirlo por Estándar 7 días.
Señal 1 — Sospecha presencial sin sustrato digital recuperable. El cliente identifica patrones de campo (ausencias, ruta alterada, restaurantes desconocidos) pero no tiene dispositivo accesible ni credencial legítima para procesar. Sin material digital recuperable, el paquete Forense queda sin objeto. Lo correcto es Estándar 7 días con OSINT integrado.
Señal 2 — Caso con destino legal próximo donde la documentación presencial es crítica. Disputa de custodia donde la conducta del investigado durante encuentros con menores pesa más que el contenido del chat. Liquidación patrimonial donde la documentación de propiedades no declaradas requiere observación presencial sobre vehículos, oficinas o bienes inmuebles. Aquí el paquete correcto es Premium 30 con campo + peritaje desde día uno.
Cuando ninguna de las dos señales aparece y el caso tiene su centro de gravedad en lo digital, el forense digital es el alcance óptimo: cubre el terreno probatorio completo, se ejecuta en una semana y, según los rangos publicados en el directorio, cuesta alrededor de MXN 53,000 menos que un operativo de treinta días.
El procedimiento día por día
Para casos en CDMX el flujo típico opera así.
Día 1 — Validación legal y firma. Sesión de validación con la empresa, por video o teléfono, para confirmar titularidad o consentimiento sobre el dispositivo. Contrato con alcance escrito, esquema de anticipo claro y CFDI 4.0 a nombre de la empresa: si falta cualquiera de esos tres elementos, no firmes. La cita de adquisición suele agendarse dentro de las primeras 72 horas.
Día 2 — Adquisición forense. El cliente acude al laboratorio de la empresa contratada —domicilio físico verificable, no un punto de encuentro— con el dispositivo y el documento de titularidad o consentimiento. El perito firma acta de recepción con timestamp y hash inicial; el equipo se procesa bajo write-blocker; adquisición bit-a-bit con Cellebrite, Oxygen o AXIOM según marca y modelo. Duración: 4–6 horas para iPhone moderno, 4–12 horas para Android. El dispositivo debe regresar apagado, con acta de entrega y hash de cierre.
Día 3 — Análisis pericial offline. Sobre la imagen forense sellada con hash, el perito ejecuta recuperación de WhatsApp, Telegram, Instagram DM, fotos eliminadas, sesiones de apps de citas, historial de ubicaciones y conexiones Bluetooth. Cada artefacto recuperado se sella con hash SHA-256 individual.
Día 4 — Verificación de autenticidad y reconstrucción cronológica. El perito verifica integridad de cada artefacto contra estructura nativa del sistema operativo. Descarta signos de manipulación. Cruza timestamps con calendario y ubicación para reconstruir cronología verificable.
Día 5 — Redacción y firma del dictamen. Dictamen pericial informático con cédula TSJ visible y rúbrica original. Anexos visuales por categoría. Acta de cadena de custodia completa. Entrega presencial o por canal cifrado. Reunión de cierre por video o presencial dentro de las cuarenta y ocho horas.
La adquisición se hace en laboratorio o por traslado bajo cadena de custodia documentada. El dispositivo debe regresarte apagado, con acta de entrega y hash de cierre — sin modificación al equipo original.
Combinaciones inteligentes con campo
Para casos donde el forense digital cubre el alcance principal pero conviene complementar puntualmente, hay dos combinaciones habituales en el mercado que suelen salir mejor que escalar a un operativo de treinta días completo.
Forense Digital + Express 72h. El peritaje cinco días recupera material digital sólido; el Express 72h cubre la ventana crítica específica donde el chat indica que va a ocurrir un encuentro presencial. Suma aproximadamente MXN 40,000 contra MXN 75,000 del Premium 30 — ahorro relevante cuando el caso es de decisión personal y no requiere comparecencia ilimitada.
Forense Digital + Estándar 7 días. Cuando la evidencia digital identifica patrones que necesitan corroboración presencial sostenida durante una semana. Suma aproximadamente MXN 54,000 — sigue siendo más barato que un Premium 30 si el caso no requiere reunión de día 0 con abogado de familia ni comparecencia jurisdiccional extendida.
La combinación correcta se define antes de cualquier firma, y por escrito.
Cómo verificar un laboratorio forense en CDMX antes de entregarle tu celular
Antes de dejar un dispositivo en manos de nadie, exige cinco cosas. Domicilio físico verificable donde se procesa el equipo: buena parte de los despachos de la especialidad en la capital se concentra en corredores de oficinas como el de Av. Ejército Nacional, en Polanco (Miguel Hidalgo), pero lo que importa no es la zona sino que el domicilio exista, se pueda visitar y aparezca en el contrato. Acta de recepción con timestamp y hash inicial, firmada en el momento mismo de la entrega. Traslado bajo cadena de custodia documentada cuando el equipo se recoge a domicilio en otra alcaldía o en la zona conurbada (Naucalpan, Tlalnepantla, Huixquilucan, Atizapán), con acta de envío y recepción firmada por ambas partes y el costo aclarado por escrito antes, no después. Herramienta declarada —Cellebrite UFED, Oxygen Detective, Magnet AXIOM— y write-blocker en el procedimiento. Acta de entrega con hash de cierre cuando el dispositivo regresa. Un laboratorio que se niegue a documentar cualquiera de esos cinco pasos no está en condiciones de sostener un dictamen ante un juzgador.
Preguntas frecuentes
01 ¿Pueden recuperar WhatsApp de mi pareja sin tocar su celular?
02 ¿Las capturas que ya tomé sirven si proceso el celular ahora?
03 ¿Cuánto tarda la adquisición física del celular?
04 ¿Forma de pago?
05 ¿El paquete incluye análisis de más de un dispositivo?
06 ¿Sirve el dictamen para divorcio en otra entidad federativa?
Si tu evidencia ya está casi por completo en un dispositivo y necesitas convertirla en dictamen ratificable, el directorio de forense digital ordena por ciudad qué empresas cubren ese tipo de encargo, con lo verificado de cada una y desde qué fecha. Pide por escrito la titularidad documentada, el alcance de recuperación y el precio total antes de entregar el equipo.