Informática forense y aseguramiento de pruebas
Cuando los datos no solo deben volver, sino sostenerse.
Una recuperación de datos pregunta: ¿recuperamos el archivo? Un aseguramiento forense añade otra: ¿podrá demostrarse después que el archivo estaba exactamente así y que nada cambió por el camino? Ese es otro nivel de exigencia y otro procedimiento.
Confidencialidad primero
Acuerdo de confidencialidad antes de la recepción, no después.
Solo sobre la copia
Lo que se analiza es una copia asegurada con suma de verificación, no el original.
Una sola sede
Todo en nuestro laboratorio de Fráncfort. Sin subcontratación, sin escalas intermedias.
Un solo contacto
Habla con la persona que lleva el caso.
La diferencia con la recuperación de datos
En una recuperación cuenta el resultado: el archivo está de vuelta, asunto resuelto. En un aseguramiento forense cuenta además el camino. ¿Quién tuvo el soporte y cuándo? ¿Con qué se leyó? ¿Puede demostrarse que entre la recepción y el análisis no cambió nada?
Por eso al principio hay un aseguramiento sobre el que se calcula una suma de verificación: una especie de huella dactilar del conjunto de datos. Todo análisis posterior se hace sobre una copia de ese aseguramiento. Si la suma se puede recalcular en cualquier momento, queda acreditado que la copia analizada no ha cambiado desde el aseguramiento.
En discos duros y SSD se trata de una imagen completa, leída con protección de escritura. En smartphones, a menudo no es posible una imagen bit a bit, y toda extracción requiere que el aparato esté en funcionamiento y se comunique con el sistema de extracción. Por eso se documentan las intervenciones que han sido necesarias para ello.
Para usted eso significa sobre todo una cosa: no lo toque usted antes. Un motivo frecuente por el que un conjunto de datos pierde valor probatorio no es la manipulación sino la iniciativa bienintencionada: un compañero que «solo quería mirar».
Hasta el aseguramiento: conservar el estado
Situaciones habituales
Fuga de datos en una salida
Un trabajador deja la empresa y hay sospecha de que se llevó documentación. Hay que aclarar qué se copió, cuándo y a qué soporte.
Investigación interna
Casos de cumplimiento, sospecha de deslealtad o manipulación. Los resultados deben resistir una revisión posterior.
Litigio civil
Aseguramiento y preparación de un conjunto de datos al que se refieren ambas partes, con documentación comprensible de cómo se obtuvo.
Siniestros y seguros
Tras incendio, agua o robo: qué había en el aparato y si su estado puede documentarse.
Herencias y tutelas
Acceso a aparatos cuando el titular ya no puede acceder, con prueba de la legitimación.
Accesos perdidos en la empresa
Soportes cifrados sin clave localizable, aparatos bloqueados sin código conocido. Legítimo pero técnicamente exigente.
Cómo trabajamos
- 01
Aclarar la confidencialidad
Acuerdo de confidencialidad antes de la recepción, con su plantilla o la nuestra. Solo después se abre el aparato.
- 02
Documentar la entrega
Registrar el aparato con su número de serie, documentar su estado y dejar constancia escrita de la entrega. A partir de ahí es trazable quién tuvo acceso y cuándo.
- 03
Aseguramiento con suma de verificación
En soportes, una imagen completa leída con protección de escritura; en dispositivos móviles, una extracción forense. Se calcula una suma sobre el aseguramiento y se hace constar.
- 04
Análisis sobre la copia
Todos los pasos siguientes se hacen sobre una copia del aseguramiento. Tras el aseguramiento no se vuelve a tocar el original.
- 05
Documentar los hallazgos
Qué se encontró, con qué método y qué puede acreditarse a partir de ello, y qué expresamente no.
- 06
Entrega o custodia
Resultados entregados cifrados. El original vuelve o queda bajo llave hasta revocación.
Forense de dispositivos móviles: iPhone y Android
La forense de smartphones abarca el aseguramiento forense y la extracción de datos de dispositivos iPhone y Android. Hoy el smartphone es la fuente más rica en casi cualquier caso, y la de acceso más difícil. Los aparatos actuales cifran por defecto y el código de bloqueo entra en la derivación de la clave. En aparatos bloqueados con código conocido, el camino es corto. Sin un código de bloqueo conocido, el acceso puede ser posible pese a todo en función del modelo, la versión del sistema operativo, el estado del aparato y los procedimientos forenses disponibles. Si esto se aplica a un aparato concreto solo puede determinarse tras examinarlo.
Para el análisis usamos sistemas de extracción forense consolidados. Si el aparato está dañado físicamente, la reconstrucción del hardware precede a la extracción: el mismo trabajo Board-Level que en una recuperación de smartphone. Una reconstrucción de hardware lograda no permite automáticamente el descifrado, pero puede crear la condición previa para que los procedimientos de extracción especializados puedan aplicarse.
¿Aparato dañado físicamente?
Contraseñas y cifrado
Contenedores cifrados, archivos bloqueados, soportes con contraseña olvidada: en casos con un derecho de acceso legítimo trabajamos con Passware. El cifrado en sí no se rompe. Passware busca la contraseña de forma estructurada y, si existen, también puede obtener claves de volcados de memoria o de archivos de hibernación.
Las perspectivas de una búsqueda de contraseña dependen de lo que se sepa: longitud aproximada, patrones usados, variantes antiguas, convenciones de la casa. Con esos datos se puede construir un espacio de búsqueda lo bastante pequeño. Sin indicios y sin material de claves no funciona, y preferimos decirlo antes.
Qué recibe por escrito
Acuerdo de confidencialidad
Recíproco, antes de la recepción. Su plantilla o la nuestra.
Acta de recepción
Aparato, número de serie, estado, fecha y personas implicadas.
Suma de verificación de la imagen
La prueba de que el estado analizado coincide con el recibido.
Informe de hallazgos
Método, herramientas, resultados y, expresamente, también los límites de lo que puede afirmarse.
Certificado de borrado
Por escrito si lo desea, en cuanto se eliminan nuestras copias de trabajo.
Los límites claros forman parte de la informática forense.
Lo que no es posible técnica o jurídicamente se lo decimos antes de la recepción, no después.
Nada de romper el cifrado
El cifrado fuerte moderno no puede simplemente «romperse» por medios técnicos. No obstante, según la plataforma, el acceso puede ser posible mediante claves existentes, credenciales, procedimientos forenses u opciones de acceso específicas del dispositivo.
Solo con un derecho de acceso trazable
Solo trabajamos en aparatos sobre los que existe un derecho comprensible. Lo preguntamos, y antes de la recepción.
Respuestas breves.
¿Firman ustedes un acuerdo de confidencialidad?
Sí, y antes de aceptar el aparato. Su plantilla o la nuestra, ambas son habituales. Solo después se abre.
¿Cuánto tarda?
El aseguramiento en sí lleva de horas a días según el volumen. El análisis depende del caso. Díganos si corre un plazo y planificamos en consecuencia.
¿Es posible acceder a un dispositivo móvil bloqueado?
Con el código el camino es corto: el aparato se descifra solo. Sin un código de bloqueo conocido, el acceso puede ser posible pese a todo en función del modelo, la versión del sistema operativo, el estado del aparato y los procedimientos forenses disponibles. Si esto se aplica a un aparato concreto solo puede determinarse tras examinarlo. Solo trabajamos cuando existe un derecho de acceso acreditado.
¿Recibimos algo por escrito?
Sí: acta de recepción, suma de verificación de la imagen e informe de hallazgos con método, herramientas y resultados, incluidos los límites de lo que puede afirmarse.
¿Qué pasa con los datos tras el caso?
Están exclusivamente en nuestro servidor cifrado. Al cerrar, nuestras copias de trabajo se borran, con certificado escrito si lo solicita. También podemos custodiar la imagen hasta revocación.
¿Trabajan también para particulares?
Sí, cuando existe un derecho de acceso comprensible: por ejemplo en una herencia o con aparatos propios cuyo acceso se ha perdido.
Relacionado.
Recuperación de datos para empresas
Confidencialidad, entrega documentada, certificado de borrado.
Saber másPassware
Búsqueda estructurada de contraseñas con derecho legítimo.
Saber másSoportes cifrados
Qué funciona con la clave y qué no sin ella.
Saber másExtracción forense de un smartphone dañado
Qué daños impiden la extracción y qué es posible entonces.
Saber másChip-Off en la informática forense de smartphones
Posibilidades y límites en dispositivos cifrados.
Saber más
Data Recovery Professionals
Una asociación mundial de empresas de recuperación de datos independientes y dirigidas por sus propietarios. Los miembros comparten métodos de recuperación profesional, informática forense y desarrollo de software — en los casos raros, el conocimiento de todo el grupo respalda tu soporte.
¿Un caso del que no se habla por teléfono?
Entonces empezamos por el acuerdo de confidencialidad y hablamos después. Nos localiza directamente, sin sistema de tickets ni intermediarios.
Wasserweg 8–10 · 60594 Frankfurt am Main
Jan Petermann
Fundador y director general
Contacto para forense y autoridades