Un smartphone, un portátil o un ordenador pueden contener información crucial, aunque a primera vista resulte difícil de identificar. Comunicaciones borradas, accesos a archivos, actividad del usuario, datos de aplicaciones, dispositivos de almacenamiento externo y rastros del sistema pueden revelar conexiones técnicas. LB Forensik realiza investigaciones forenses informáticas profesionales de smartphones, ordenadores y otras fuentes de datos digitales para particulares, empresas y abogados en Bielefeld.

El objetivo no es extraer la mayor cantidad de datos posible, sino abordar la cuestión probatoria específica. ¿Se busca determinar si aún existen mensajes de WhatsApp? ¿Existe sospecha de acceso no autorizado? ¿Se han eliminado o copiado archivos de la empresa? ¿O es necesario reconstruir la actividad en un ordenador dentro de un período de tiempo determinado?

Para la preservación y el análisis de datos, utilizamos soluciones forenses especializadas que varían según la fuente de datos y el objetivo de la investigación. Entre ellas se incluyen Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensics. Los resultados relevantes no se evalúan únicamente en función de la información que muestra el software, sino también de los artefactos digitales subyacentes y su contexto técnico.

Análisis forense informático para Bielefeld: Servicios en resumen

• Análisis forense de teléfonos móviles y smartphones para iPhone y Android.
• Informática forense Para PC con Windows, portátiles y Mac de Apple
• Análisis de WhatsApp y otras comunicaciones digitales
• Examen de datos eliminados y no visibles de inmediato
• Compruebe si existen señales técnicamente detectables de acceso no autorizado.
• Análisis de discos duros, SSD, memorias USB y tarjetas de memoria
• Examen de las copias de seguridad existentes y de los datos accesibles en la nube.
• Reconstrucción de las actividades relevantes de archivos, usuarios y sistemas.
• Investigación sobre posibles filtraciones de datos y mala conducta de los empleados.
• correlación temporal de diferentes trazas digitales
• copia de seguridad de datos forenses y verificación de integridad
• Documentación comprensible de los pasos del examen

También abordamos los aspectos técnicos básicos y otras preguntas frecuentes en nuestra base de conocimientos sobre informática forense.

¿Qué rastros digitales se pueden examinar?

La informática forense examina los datos generados mediante el uso de dispositivos, sistemas operativos y aplicaciones. Parte de esta información es directamente visible para el usuario, mientras que otra reside en bases de datos, sistemas de archivos, registros del sistema u otras estructuras técnicas.

Según el caso, los datos relevantes pueden incluir mensajes, archivos, fotos, vídeos, datos del navegador, información de la aplicación, inicios de sesión de usuario, accesos a archivos, dispositivos de almacenamiento conectados y eventos del sistema.

La cuestión crucial no es simplemente si existe un artefacto. Igualmente importantes son su contexto de origen, el período de tiempo relevante y las conclusiones técnicas que se pueden extraer de él.

Análisis forense de teléfonos móviles en Bielefeld para smartphones y datos móviles.

El departamento de informática forense de teléfonos móviles de Bielefeld se encarga de proteger y analizar la información digital contenida en los teléfonos inteligentes. Los dispositivos móviles modernos almacenan comunicaciones, fotos, vídeos, datos de aplicaciones, información del navegador, cuentas de usuario y numerosos datos del sistema.

Por lo tanto, un análisis profesional de un teléfono inteligente va más allá de la simple inspección manual del dispositivo. Según las especificaciones técnicas, se pueden examinar las bases de datos de las aplicaciones, el contenido de las aplicaciones de mensajería, los archivos multimedia, la información de las llamadas, las marcas de tiempo, así como ciertos datos de ubicación, conexión y del sistema.

Los datos a los que se puede acceder realmente dependen del fabricante, el modelo, el sistema operativo, el estado de seguridad, el cifrado y el método de extracción disponible.

Análisis forense de iPhone para dispositivos Apple

Apple protege los datos en los iPhones modernos mediante una combinación de hardware, iOS, cifrado y otros mecanismos de seguridad. Por lo tanto, la profundidad de la investigación que se puede alcanzar puede variar considerablemente entre los diferentes modelos de iPhone y versiones de iOS.

Según el dispositivo y la fuente de datos, se pueden examinar mensajes, datos de aplicaciones, fotos, vídeos, archivos, información del navegador, marcas de tiempo y otros elementos del sistema. Las copias de seguridad locales existentes o los datos accesibles de iCloud pueden contener información adicional.

Los servicios de análisis forense de iPhone de buena reputación no garantizan la recuperación total de los datos en todos los casos. El factor crucial es qué datos se protegieron realmente con el método disponible y qué conclusiones técnicas se pueden extraer de ellos.

Explicamos con más detalle los conceptos técnicos básicos en el artículo "¿Qué es la informática forense del iPhone?".

Análisis forense de Android para dispositivos Samsung, Google, Honor y otros.

Android no es un ecosistema técnicamente unificado. Samsung, Google, Honor, Xiaomi y otros fabricantes utilizan configuraciones de hardware y seguridad diferentes. Además, la versión de Android y el parche de seguridad influyen en los métodos de extracción disponibles.

Dependiendo del dispositivo, pueden ser relevantes los datos de mensajería, las bases de datos de las aplicaciones, los archivos, los medios, la información del navegador y diversos elementos del sistema.

La gran variedad de dispositivos es también una de las razones por las que no trabajamos exclusivamente con una única solución de análisis forense móvil.

Análisis forense de WhatsApp para mensajes eliminados o en disputa.

Los datos de WhatsApp pueden resultar relevantes en disputas privadas, fraudes, acoso, casos laborales y conflictos comerciales. Los datos subyacentes son mucho más importantes que una simple visualización en pantalla.

En función de las capacidades de extracción disponibles, se pueden examinar mensajes, participantes, información de grupos, marcas de tiempo, imágenes, vídeos, documentos, mensajes de voz y otros elementos de la aplicación.

Explicamos más detalles en el apartado "Análisis forense de mensajes de WhatsApp".

¿Es posible recuperar mensajes de WhatsApp eliminados?

En determinadas condiciones, es posible que aún queden contenidos borrados o restos de información. La posibilidad de reconstrucción depende, entre otros factores, del sistema operativo, el estado de la base de datos, las copias de seguridad existentes y el uso continuado del teléfono inteligente.

No se puede garantizar una recuperación completa. Los nuevos mensajes, las sincronizaciones, las actualizaciones de aplicaciones y otras operaciones de escritura pueden modificar los datos existentes.

¿Qué valor probatorio técnico tiene una captura de pantalla de WhatsApp?

Una captura de pantalla documenta inicialmente lo que se muestra en la pantalla. No incluye automáticamente la base de datos de noticias subyacente ni otra información interna de la aplicación.

Si se dispone del teléfono inteligente original o de una extracción forense adecuada, se pueden utilizar artefactos adicionales para la comparación técnica.

Análisis forense informático en Bielefeld para Windows y macOS

En Bielefeld, la informática forense examina las huellas digitales en ordenadores de sobremesa, portátiles, ordenadores Apple Mac y sus respectivos soportes de almacenamiento. Los sistemas operativos generan numerosos artefactos durante su uso que pueden resultar relevantes para su posterior reconstrucción.

Esto puede incluir, entre otras cosas:

• Archivos y estructuras del sistema de archivos
• Metadatos y marcas de tiempo de los archivos
• Archivos eliminados y restos de archivos
• Cuentas de usuario y actividad de inicio de sesión
• Historial de navegación y descargas
• dispositivos USB conectados
• discos duros externos y otros medios de almacenamiento
• Rastreo de programas y aplicaciones
• Registros de eventos de Windows
• Información adicional sobre el sistema operativo
• rastros locales de servicios en la nube y de sincronización

La relevancia de estos datos depende de la pregunta de investigación. Un análisis basado en la sospecha de robo de datos requiere prioridades diferentes a la reconstrucción de la actividad específica del usuario.

Puedes encontrar los fundamentos de la metodología en ¿Qué es la informática forense?

¿Se puede rastrear el uso de una memoria USB?

Los sistemas informáticos pueden contener información técnica sobre los dispositivos USB conectados. En función de los datos disponibles, se pueden analizar, por ejemplo, los datos del dispositivo y las relaciones temporales.

Sin embargo, conectar una memoria USB no prueba que se haya transferido un archivo. Para determinar si se copiaron datos específicos de la empresa, es necesario considerar otros elementos.

¿Cómo se puede categorizar cronológicamente la actividad de los archivos?

Los sistemas de archivos y las aplicaciones pueden almacenar diversas marcas de tiempo. Estas pueden proporcionar pistas sobre la creación, modificación, apertura o procesamiento posterior de un archivo.

Sin embargo, los procesos de copia, las sincronizaciones, los programas y los procesos del sistema pueden afectar las marcas de tiempo. Por lo tanto, una evaluación fiable debe considerar la mayor cantidad posible de registros correspondientes.

Recuperación de archivos eliminados y datos

Los datos eliminados no se pueden recuperar con la misma eficacia en todos los medios de almacenamiento. Los discos duros magnéticos, las unidades SSD y la memoria flash en los dispositivos móviles difieren significativamente en su diseño técnico.

La posibilidad de recuperar un archivo, ya sea total, parcialmente o en absoluto, depende, entre otras cosas, del sistema de archivos, el tipo de almacenamiento, el cifrado, la fecha de eliminación y el uso posterior del dispositivo.

Especialmente en el caso de las unidades SSD, los mecanismos de limpieza de memoria pueden dificultar considerablemente, o incluso imposibilitar, la recuperación de contenido eliminado.

La informática forense va más allá de la mera recuperación de datos. Además de la recuperación de datos, el origen, los metadatos, las relaciones temporales y otros artefactos del sistema correspondientes pueden ser cruciales para establecer pruebas.

Investigaciones digitales para particulares en Bielefeld.

Las pruebas digitales ya no son relevantes solo para las empresas. Los teléfonos inteligentes personales, en particular, contienen información exhaustiva sobre comunicaciones, cuentas de usuario y actividades personales.

Por ejemplo, particulares de Bielefeld se ponen en contacto con LB Forensik para:

• Se sospecha de acceso no autorizado al teléfono inteligente o al ordenador.
• Posible software espía o vigilancia digital
• Mensajes de WhatsApp eliminados
• fotos, archivos u otros datos eliminados
• Fraude y robo de identidad
• Acoso y hostigamiento digital
• Separación o divorcio
• comunicación digital controvertida
• Protección de las pruebas digitales existentes

¿Han pirateado o vigilado mi teléfono?

Un comportamiento inusual de un teléfono inteligente por sí solo no es prueba de que haya sido comprometido. Un alto consumo de batería, la generación de calor, las notificaciones desconocidas o el aumento del tráfico de datos pueden tener diversas causas técnicas.

Por lo tanto, una investigación forense debe ser exhaustiva y buscar cualquier evidencia existente. Dependiendo del dispositivo, las aplicaciones, la información del sistema, las configuraciones, los perfiles, los datos de comunicación y otros elementos pueden ser relevantes.

Incluso un resultado negativo debe interpretarse con cautela. Si no se encuentran rastros correspondientes en los datos disponibles, esto no prueba automáticamente que no se haya producido un ataque con anterioridad.

Pruebas digitales en casos de separación, divorcio y conflictos personales.

Los conflictos privados pueden hacer que los mensajes, las fotos, los archivos u otra información digital sean relevantes. Al mismo tiempo, existe una distinción importante entre el acceso técnico y la autorización legal.

LB Forensics solo examina dispositivos, cuentas de usuario y conjuntos de datos para los que cuenta con la autorización correspondiente. El acceso no autorizado a teléfonos inteligentes, aplicaciones de mensajería o cuentas en la nube de otras personas no constituye una investigación forense permitida.

Investigaciones forenses para empresas en Bielefeld.

Bielefeld es un importante centro económico en Westfalia Oriental-Lippe. La industria, el comercio, los servicios, el sector sanitario y las pequeñas y medianas empresas procesan grandes volúmenes de datos digitales. Por lo tanto, en casos de sospecha interna o incidentes cibernéticos, múltiples sistemas y fuentes de datos pueden verse afectados simultáneamente.

Entre las razones típicas se incluyen una posible fuga de datos, la eliminación de información de la empresa, copias de datos no autorizadas, cuentas de usuario comprometidas, mala conducta de los empleados o la investigación técnica de un incidente de seguridad informática.

Fugas de datos y copias de datos no autorizadas

En casos de sospecha de robo de datos, el primer paso debe ser determinar qué métodos de transmisión eran técnicamente posibles. Los dispositivos de almacenamiento USB son solo una posibilidad. Dependiendo del sistema, los servicios en la nube, el correo electrónico, las aplicaciones de navegador u otros métodos de transmisión pueden ser relevantes.

Por lo tanto, un análisis forense puede comparar los accesos a archivos, los dispositivos de almacenamiento externo, las aplicaciones en la nube, la actividad del navegador, los rastros de correo electrónico y otros registros del sistema.

Análisis técnico tras un ciberataque

Tras un presunto ciberataque, se pueden examinar los registros del sistema, la actividad del usuario, los archivos sospechosos, los mecanismos de persistencia, las pistas de la red y otros artefactos digitales.

En un incidente en curso, la contención y la preservación de pruebas deben considerarse conjuntamente. Un ordenador encendido y ya descifrado presenta un punto de partida forense diferente al del mismo dispositivo después de haber sido apagado o reiniciado.

Cellebrite para el análisis de datos móviles

Utilizamos Cellebrite principalmente para proteger y analizar datos móviles y otras fuentes de datos digitales. El método específico disponible depende del dispositivo, el sistema operativo y el estado de seguridad.

Sin embargo, una extracción exitosa no constituye aún un hallazgo definitivo. Solo el análisis de los artefactos recuperados revela qué información es realmente relevante para la pregunta de investigación correspondiente.

X-Ways Análisis forense para ordenadores y medios de almacenamiento

X-Ways Forensics permite realizar investigaciones detalladas de sistemas de archivos, ordenadores, discos duros, unidades SSD y otros dispositivos de almacenamiento de datos.

Esto permite el análisis específico de archivos, metadatos, estructuras del sistema de archivos, datos eliminados y otra información técnica.

Belkasoft para la correlación de artefactos digitales

Belkasoft permite el análisis estructurado de diversas fuentes de datos digitales. En los casos más complejos, se puede combinar y comparar información relevante de diferentes áreas a lo largo del tiempo.

MOBILedit Forensic como método adicional para teléfonos inteligentes

MOBILedit Forensic amplía las posibilidades para extraer y analizar datos de dispositivos móviles. Un método adicional puede resultar especialmente relevante dada la diversidad técnica de los distintos dispositivos Android.

¿Por qué se utilizan varios programas forenses?

Ninguna herramienta es compatible con todos los dispositivos, sistemas operativos y estructuras de datos con el mismo nivel de detalle. Además, distintos programas forenses pueden reconocer y mostrar el mismo conjunto de datos de forma diferente.

Por lo tanto, en caso de hallazgos importantes, un segundo método técnico para verificar la plausibilidad puede resultar útil. Sin embargo, el artefacto digital subyacente sigue siendo determinante. Un resultado de software automatizado no reemplaza la evaluación de expertos.

Copia de seguridad e integridad de datos forenses

La preservación de pruebas digitales no consiste simplemente en copiar archivos individuales a otro soporte de almacenamiento. En las investigaciones relativas a las pruebas, debe ser posible rastrear qué objeto de investigación estaba presente, cómo se protegieron los datos pertinentes y sobre qué base se realizó el análisis posterior.

Los valores hash criptográficos pueden ayudar a verificar la integridad de un conjunto de datos definido. Un valor hash coincidente puede confirmar que este conjunto de datos específico no ha cambiado con respecto al estado de referencia documentado.

Sin embargo, esto no prueba automáticamente la exhaustividad, la autenticidad, la autoría ni la corrección de una interpretación posterior.

En el apartado «Integridad de la evidencia digital» se explica información técnica adicional.

Cadena de evidencias y proceso de investigación documentado

En una investigación basada en pruebas, debe documentarse de forma comprensible qué dispositivo fue sustraído, su estado, qué medidas de seguridad se adoptaron y sobre qué base de datos se realizó el análisis.

Esta cadena de custodia cumple una función distinta a la de un valor hash. Un valor hash se utiliza para el control de integridad técnica de un conjunto de datos definido; la cadena de custodia, en cambio, documenta cómo se manejó el objeto de la investigación.

Puede encontrar más información en el apartado Cadena de custodia en informática forense.

Desde la orden de investigación hasta el informe técnico

Defina la pregunta de investigación

En primer lugar, se determina qué problema técnico necesita ser aclarado y qué período de tiempo es relevante para ello.

Seleccione fuentes de datos

Los datos de teléfonos inteligentes, ordenadores, dispositivos de almacenamiento de datos, copias de seguridad o la nube se priorizan en función de su relevancia para la cuestión en cuestión.

Capturar el estado inicial

El modelo del dispositivo, el sistema operativo, el cifrado, el estado de seguridad y las opciones de acceso disponibles influyen en el curso de acción posterior.

Proteja los datos adecuadamente.

El método de copia de seguridad de datos se adapta al objeto específico que se investiga. Cuando es técnicamente factible, el análisis se realiza a partir de un conjunto de datos de respaldo definido.

Evaluar los artefactos relevantes

Los archivos, las bases de datos, la información de comunicación y los rastros del sistema se examinan en función de la pregunta definida previamente.

Comparar varias pistas entre sí

Los artefactos correspondientes pueden vincularse cronológica y temáticamente. Esto suele permitir clasificar un proceso de forma más fiable que mediante un único hallazgo técnico.

Hallazgo e interpretación por separado

La documentación debe diferenciar claramente qué datos se registraron directamente, qué conclusiones profesionales se extraen de ellos y qué limitaciones técnicas existen.

Análisis forense informático en la zona de Bielefeld y Westfalia Oriental-Lippe.

Bielefeld, junto con la región circundante, conforma un importante núcleo económico y residencial en Westfalia Oriental-Lippe. Por lo tanto, los problemas digitales pueden afectar rápidamente a múltiples lugares residenciales, laborales o comerciales.

El área regional incluye, entre otros, Gütersloh, Herford, Bad Salzuflen, Detmold, Halle (Westfalia), Rheda-Wiedenbrück, Minden y Paderborn . Estas ubicaciones se mencionan aquí por contexto geográfico y no se presentan automáticamente como sucursales de LB Forensik.

Los límites de la ciudad no son determinantes para la investigación técnica en sí. Lo que importa son los equipos y las fuentes de datos disponibles, su estado, el período de tiempo pertinente y la cuestión específica de la prueba.

¿Qué se debe evitar antes de un examen forense?

Un teléfono inteligente que pueda servir como prueba no debe restablecerse prematuramente. Tampoco se deben eliminar aplicaciones, mensajes, archivos o cuentas de usuario sospechosos sin una evaluación técnica previa.

Los programas de recuperación de datos, limpieza o protección contra software espía también pueden crear nuevos archivos e información del sistema, alterando así los rastros digitales existentes.

Un ordenador que ya ha sido apagado no debe reiniciarse normalmente solo para inspeccionarlo. Incluso iniciar el sistema operativo genera nueva actividad y puede modificar la información existente.

Por el contrario, apagar inmediatamente un sistema en funcionamiento no siempre es la mejor opción. En el caso de dispositivos cifrados que permanecen encendidos, su estado actual puede ser relevante para las opciones de copia de seguridad.

Preguntas frecuentes para clientes de Bielefeld

¿LB Forensics examina los teléfonos inteligentes que pertenecen a particulares?

Sí. Dependiendo de la pregunta, se pueden examinar iPhones, teléfonos inteligentes Android, copias de seguridad existentes y otras fuentes de datos autorizadas.

¿Es posible determinar si mi teléfono ha sido pirateado?

Una investigación forense puede buscar evidencia técnicamente detectable de acceso no autorizado o posible vulneración de la seguridad. Los resultados dependen del dispositivo y de los datos disponibles.

¿Se pueden recuperar los archivos borrados de un ordenador?

Esto puede ser posible dependiendo del medio de almacenamiento, el sistema de archivos, el cifrado y otros factores de uso. No se puede garantizar una recuperación completa.

¿Se pueden examinar conjuntamente el teléfono inteligente y el ordenador que pertenecen a la misma funda?

Sí. Si ambos dispositivos se refieren al mismo asunto, se pueden comparar los datos correspondientes en términos de tiempo y contenido.

¿Es posible determinar quién utilizó un ordenador?

Los artefactos digitales suelen estar asociados a un dispositivo, una cuenta de usuario o un proceso técnico. Sin embargo, esto no implica automáticamente qué persona física operó el sistema en ese momento.

¿Qué software utiliza LB Forensics?

En función de la fuente de datos y del objetivo de la investigación, utilizamos herramientas como Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic.

¿Debo examinar yo mismo un dispositivo sospechoso?

Debe evitarse el uso innecesario de un dispositivo que pueda ser relevante como prueba. Intentar borrar, limpiar o recuperar datos de forma independiente puede alterar los datos existentes.