Perito informático en CDMX y chats de WhatsApp

El abogado lo escribe siempre igual en su escrito de ofrecimiento de pruebas: “se aporta dictamen pericial informático, ratificable ante el Tribunal Superior de Justicia de la Ciudad de México, suscrito por perito con cédula TSJ vigente, sobre adquisición forense, análisis y preservación de comunicaciones digitales del cotitular conforme al Acuerdo A/010/92 e ISO/IEC 27037”. Una sola línea, doce conceptos técnicos, y todo el peso probatorio de un caso de infidelidad descansando en ella.

Las capturas de WhatsApp que un cliente trae en el celular cuentan una historia. El dictamen pericial informático es lo que permite que esa historia sea aceptada como cierta dentro de un juzgado familiar capitalino sin que un perito contrario la desmonte en quince minutos. Esta lectura explica, sin atajos y sin tecnicismos innecesarios, cómo se construye ese dictamen en CDMX y por qué la presencia de un perito con cédula TSJ es el activo que más cambia el desenlace de un divorcio con evidencia digital de fondo.

¿Qué hace exactamente un perito informático con cédula TSJ?

Un perito informático no es un técnico que abre WhatsApp y toma capturas. Es un profesional certificado ante el Tribunal Superior de Justicia de la CDMX (o equivalente en su entidad de adscripción) cuya función probatoria es adquirir, preservar, analizar y declarar sobre evidencia digital dentro del marco del CNPCF y del Artículo 16 constitucional. Su firma sobre un dictamen vale lo que la cédula y la metodología juntas.

En la práctica capitalina, el perito interviene en cuatro momentos del expediente. Primero, valida el alcance legal del caso antes de tocar dispositivos: comprueba la titularidad o cotitularidad del cliente sobre el equipo, documenta el consentimiento cuando procede, y declina cuando el alcance cruza el Artículo 167 bis del Código Penal Federal. Segundo, adquiere la imagen forense del dispositivo con herramienta certificada (Cellebrite UFED, Oxygen Detective, Magnet AXIOM) generando copia bit-a-bit del almacenamiento. Tercero, analiza la imagen offline —el dispositivo original ya no se vuelve a tocar— y recupera chats, fotos eliminadas, historial de ubicaciones y sesiones de apps. Cuarto, firma el dictamen con número de cédula visible y, si la audiencia lo requiere, comparece y ratifica ante el juzgador.

Por qué una captura de pantalla no sirve

Es la pregunta que más se repite. La respuesta breve: porque cualquier perito informático contrario demuestra en la audiencia misma que una captura puede manipularse con herramientas gratuitas disponibles públicamente. La respuesta larga —la que conviene tener clara antes de decidir cualquier paquete— requiere distinguir tres conceptos que la conversación coloquial confunde.

La captura de pantalla es una imagen pixelada del estado de la app en ese instante. Sin metadatos verificables, sin hash, sin trazabilidad sobre cuándo y cómo se generó. Es decorativa, no probatoria.

El respaldo de WhatsApp (.db cifrado en Android, backup iCloud en iPhone) es el archivo original que contiene las conversaciones. Si se adquiere con metodología forense y se preserva con hash SHA-256 desde el primer minuto, es prueba sólida. Si se exporta por “Exportar chat” sin procedimiento ulterior, sigue siendo impugnable por falta de cadena de custodia.

La imagen forense bit-a-bit del almacenamiento del dispositivo —generada con Cellebrite o equivalente— captura no solo el contenido visible sino la base de datos completa, los archivos eliminados todavía recuperables y los metadatos del sistema operativo. Es la pieza maestra de cualquier dictamen serio. Sobre esa imagen, sellada con hash, se construye todo el análisis posterior.

La cadena de custodia digital, paso por paso

ISO/IEC 27037 es el estándar internacional que orienta la identificación, recolección, adquisición y preservación de evidencia digital. El perito informático con cédula TSJ los aplica textualmente y los documenta línea por línea en su dictamen. Para clientes no técnicos, el flujo se entiende mejor en seis pasos.

Paso uno, identificación del artefacto y del titular legítimo del dispositivo. Paso dos, recolección con cadena de bloqueo de escritura (write-blocker) para impedir modificación durante la adquisición. Paso tres, adquisición bit-a-bit del almacenamiento, generando hash SHA-256 sobre la imagen resultante al instante. Paso cuatro, preservación en almacenamiento cifrado con doble copia geográficamente separada. Paso cinco, análisis offline sobre la imagen forense, nunca sobre el dispositivo original. Paso seis, destrucción auditada del material noventa días post-cierre del caso, salvo orden judicial expresa de retención.

Cada paso se registra en acta firmada con fecha, hora, número de licencia DGSP del operador y hash criptográfico de cierre. Esa cadena es lo que un juzgador del TSJ-CDMX revisa para aceptar o rechazar la prueba.

Cómo se ve una adquisición seria en CDMX, y qué exigirle

Un laboratorio forense capitalino trabaja con cita en un domicilio físico verificable —en la capital, buena parte de los despachos de la especialidad se concentra en corredores de oficinas como el de Av. Ejército Nacional, en Polanco (Miguel Hidalgo)— o con traslado del equipo bajo cadena de custodia documentada dentro de las alcaldías de CDMX y la zona conurbada. Lo que decide la calidad no es la zona: es el procedimiento. El procedimiento estándar de adquisición sobre iPhone toma entre cuatro y seis horas; sobre Android moderno, entre cuatro y doce, dependiendo de marca, modelo y nivel de cifrado del fabricante. El cliente entrega el dispositivo y el documento de titularidad o consentimiento; el perito debe firmar acta de recepción con timestamp y hash inicial; el equipo se procesa bajo write-blocker; al cierre, el dispositivo tiene que regresar apagado con acta de entrega, y la imagen forense queda preservada en almacenamiento cifrado con doble copia. Si alguno de esos pasos no se documenta por escrito, no contrates.

El análisis posterior toma entre tres y siete días corridos. El dictamen final se entrega impreso (firmado con cédula TSJ y rúbrica original) y digital (PDF firmado electrónicamente con e.firma del perito). La comparecencia en audiencia, cuando procede, se programa con el juzgado de familia que conoce el asunto — la sede principal del TSJ-CDMX en Av. Niños Héroes 132 (Doctores, Cuauhtémoc) es donde recae la mayoría de las audiencias preliminares de divorcio capitalino.

Qué se recupera, qué no se recupera y qué nunca se intenta

Sí se recupera, con metodología forense legal: mensajes de WhatsApp visibles y borrados que aún estén en la base de datos local del dispositivo del cliente; fotografías y videos eliminados todavía no sobreescritos; historial de ubicaciones; sesiones de apps de citas; conexiones Bluetooth recientes; documentos descargados en iCloud o Google Drive con credencial legítima.

No siempre se recupera, depende del tiempo transcurrido: mensajes borrados hace más de seis meses cuya base de datos ya rotó; respaldos cifrados de iCloud sin contraseña conocida (el bruteforce no es una vía legítima y ningún perito serio lo ofrece); contenido de cuentas de terceros sin acceso autorizado por el titular.

Nunca se intenta, ni siquiera con consentimiento del cliente: ingreso a cuentas privadas de terceros sin credencial legítima; instalación de stalkerware en dispositivo ajeno; sniffing de red sobre WiFi compartida sin autorización judicial; compra de datos en mercados negros. Esa frontera no se cruza, porque cruzarla anula el dictamen completo y expone penalmente al perito y al cliente.

Si tu caso depende de un chat de WhatsApp y la audiencia ya tiene fecha próxima, lo mejor que puedes hacer hoy es ubicar quién es el titular del dispositivo y qué calendario tiene tu juicio, y llevar ambos datos al directorio de forense digital para comparar laboratorios antes de contratar a nadie. La preservación temprana es lo que diferencia un caso con expediente blindado de un caso que llega a audiencia con capturas que se impugnan en quince minutos.