Un evento digital suele dejar más rastros de los que se aprecian inmediatamente en un teléfono inteligente o una computadora. Los mensajes se almacenan en bases de datos, los archivos generan metadatos, los sistemas operativos registran la actividad y las aplicaciones dejan sus propios rastros técnicos. LB Forensics analiza datos digitales en teléfonos inteligentes, computadoras, dispositivos de almacenamiento, copias de seguridad y otras fuentes de datos autorizadas para particulares, empresas y abogados en Gelsenkirchen.

Una investigación forense no comienza simplemente recabando la mayor cantidad de información posible. La cuestión crucial es la técnica: ¿Se eliminó un mensaje? ¿Existe evidencia de acceso no autorizado? ¿Cuándo se abrió o modificó un archivo? ¿Se utilizó un dispositivo de almacenamiento externo? ¿Se puede vincular la actividad de diferentes dispositivos a un período de tiempo común?

En función del objeto de la investigación, utilizamos soluciones especializadas como Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic . Sin embargo, el software empleado es solo una parte del proceso de investigación. Factores cruciales son los artefactos digitales subyacentes, su origen técnico y las conclusiones que se pueden extraer de los datos disponibles.

Análisis forense informático para Gelsenkirchen: Servicios y áreas de investigación

• Análisis forense de teléfonos móviles para iPhones de Apple y smartphones Android.
• Informática forense Para PC con Windows, portátiles y Mac de Apple
• análisis forense de WhatsApp y otros datos de mensajería
• Investigación de información eliminada o no visible de inmediato.
• Compruebe si existen señales técnicamente detectables de acceso no autorizado.
• Análisis de discos duros, SSD, memorias USB y otros medios de almacenamiento.
• Evaluación de las copias de seguridad existentes y los datos en la nube autorizados
• Reconstrucción de las actividades relevantes del usuario, los archivos y el sistema.
• Investigación de posibles fugas de datos e incidentes internos.
• Correlación temporal de rastros digitales de múltiples fuentes de datos
• Copia de seguridad de datos verificable forensemente
• Documentación de las etapas de la investigación y los hallazgos técnicos.

Encontrará información técnica adicional en nuestra base de conocimientos sobre informática forense . Allí, analizamos con mayor profundidad las fuentes de datos y los métodos individuales, evitando así repeticiones innecesarias en las páginas de los servicios regionales.

¿Qué cuestiones pueden investigarse utilizando rastros digitales?

La informática forense intenta reconstruir procesos técnicos a partir de los datos disponibles. Sin embargo, no todos los hallazgos constituyen automáticamente una prueba de la acción sospechada.

Por ejemplo, una entrada USB puede indicar que un dispositivo de almacenamiento se conectó a una computadora. Esto no significa necesariamente que se hayan copiado archivos. Del mismo modo, la actividad realizada bajo una cuenta de usuario no implica automáticamente que el titular de la cuenta estuviera utilizando personalmente el dispositivo.

Las preguntas de investigación típicas incluyen:

• ¿Se eliminaron mensajes o archivos?
• ¿Es posible reconstruir técnicamente un historial de comunicaciones?
• ¿Existe algún indicio de posible acceso no autorizado?
• ¿Cuándo se creó, abrió o modificó un archivo específico?
• ¿Qué actividades se llevaron a cabo durante un período determinado?
• ¿Había alguna memoria USB o disco duro externo conectado?
• ¿Existe algún indicio de transmisión de datos?
• ¿Es posible vincular a lo largo del tiempo los datos de teléfonos inteligentes, ordenadores y la nube?
• ¿Qué afirmación se puede hacer realmente sobre un artefacto digital en particular?

Análisis forense de teléfonos móviles en Gelsenkirchen para iPhone y Android.

En Gelsenkirchen, la informática forense de teléfonos móviles examina los rastros digitales en los smartphones y sus fuentes de datos asociadas. Los dispositivos móviles modernos contienen datos de comunicación, fotos, vídeos, aplicaciones, información del navegador, cuentas de usuario y numerosos datos técnicos del sistema.

Por lo tanto, el análisis de un teléfono inteligente va mucho más allá de la simple inspección manual de la pantalla. Dependiendo del dispositivo y del método de extracción utilizado, los datos relevantes pueden incluir bases de datos de aplicaciones, datos de mensajería, archivos, contenido multimedia, información de llamadas, marcas de tiempo y ciertos datos del sistema, la ubicación y la conexión.

La información técnicamente accesible depende, entre otras cosas, del fabricante, el modelo, la versión del sistema operativo, el estado de seguridad, el cifrado y el estado del dispositivo.

Análisis forense de iPhones en dispositivos Apple

Los iPhones de Apple combinan hardware, iOS, Secure Enclave y mecanismos de protección criptográfica. Por lo tanto, la profundidad potencial de la investigación varía considerablemente entre los diferentes dispositivos y versiones de iOS.

Según la situación inicial, se pueden examinar mensajes, datos de aplicaciones, fotos, vídeos, archivos, información del navegador, marcas de tiempo y otros elementos del sistema. Las copias de seguridad locales existentes o los datos autorizados de iCloud pueden proporcionar fuentes de información adicionales.

El estado actual del dispositivo también puede influir. Un iPhone encendido que ya ha sido desbloqueado desde el último reinicio puede ofrecer un punto de partida diferente para la investigación forense que el mismo dispositivo inmediatamente después de un reinicio.

Explicamos los fundamentos técnicos con más detalle en el apartado " ¿Qué es la informática forense de iPhone ?".

Análisis forense de Android en Samsung, Google, Honor y otros fabricantes.

Los dispositivos Android presentan una gama particularmente amplia de variaciones técnicas. El fabricante, el procesador, la versión de Android, el parche de seguridad y la configuración individual del dispositivo pueden influir en los métodos de copia de seguridad disponibles.

Dependiendo del teléfono inteligente, se pueden examinar los datos de mensajería, las bases de datos de las aplicaciones, las imágenes, los vídeos, los archivos, la información del navegador, los datos de llamadas y otros elementos del sistema.

Precisamente por eso, utilizar múltiples soluciones forenses puede resultar beneficioso. Las distintas herramientas ofrecen soporte para diferentes fabricantes, modelos de dispositivos y estructuras de datos de diversas maneras.

Examinar los mensajes de WhatsApp y los datos de mensajería

WhatsApp figura habitualmente entre las fuentes de datos relevantes en disputas privadas, acoso, sospechas de fraude, asuntos de derecho laboral e investigaciones internas de empresas.

El análisis forense de los datos de WhatsApp no ​​se limita a la vista de chat. Según los datos disponibles, se pueden examinar mensajes, marcas de tiempo, participantes, estructuras de grupos, imágenes, vídeos, documentos, mensajes de voz, información de llamadas y otros elementos de la aplicación.

En el artículo de conocimiento publicado anteriormente , titulado "Análisis forense de mensajes de WhatsApp", se puede encontrar una descripción técnica detallada.

¿Se pueden recuperar los mensajes de WhatsApp eliminados?

En determinadas condiciones técnicas, es posible que aún existan contenidos eliminados o restos de datos. Entre las posibles fuentes de datos se incluyen bases de datos de aplicaciones, copias de seguridad, archivos multimedia u otras copias de seguridad accesibles.

Sin embargo, no se puede garantizar una recuperación completa. El sistema operativo, la versión de WhatsApp, el estado de la base de datos, la hora de eliminación y el uso posterior del dispositivo influyen en los datos disponibles.

La ausencia de un mensaje también debe interpretarse correctamente. Si no se encuentra en la fuente de datos examinada, esto no prueba automáticamente que dicha comunicación nunca haya tenido lugar.

¿Captura de pantalla de WhatsApp o datos originales?

Una captura de pantalla solo documenta la apariencia visible de un chat. Por lo general, no contiene la base de datos de mensajes subyacente, los identificadores internos ni otra información de la aplicación.

Si se dispone del teléfono inteligente original o de una herramienta de extracción de datos adecuada, se puede examinar información técnica adicional. Esto permite una evaluación mucho más exhaustiva que la que se puede realizar con una sola captura de pantalla.

Servicios de informática forense en Gelsenkirchen para Windows y macOS

En Gelsenkirchen, la informática forense examina los rastros técnicos en ordenadores de sobremesa, portátiles, Mac de Apple y sus respectivos soportes de almacenamiento. Los sistemas operativos generan numerosos artefactos durante su uso, que posteriormente pueden resultar relevantes para la reconstrucción.

Dependiendo de la pregunta de investigación, se pueden examinar, entre otros, los siguientes datos:

• Archivos y estructuras del sistema de archivos
• Metadatos y marcas de tiempo de los archivos
• Archivos eliminados y restos de archivos
• Cuentas de usuario y actividad de inicio de sesión
• Historial de navegación y descargas
• dispositivos USB conectados
• discos duros externos y otros medios de almacenamiento
• Rastreo de programas y aplicaciones
• Registros de eventos de Windows
• Artefactos del sistema macOS
• información de sincronización y nube local

En el artículo "¿Qué es la informática forense?" se ofrece información técnica adicional.

¿Es posible determinar si se utilizó una memoria USB?

Los sistemas informáticos pueden contener información sobre qué dispositivos USB se han conectado a ellos. Dependiendo del sistema, se pueden determinar los identificadores de los dispositivos y las correlaciones temporales.

El simple hecho de conectar una memoria USB no prueba que se haya transferido un archivo. Para investigar si se copiaron datos específicos, es necesario considerar otros indicios.

Esto puede incluir accesos a archivos, archivos utilizados recientemente, información del sistema de archivos, seguimientos de aplicaciones e información de tiempo adicional.

Reconstrucción cronológica de archivos y actividad del usuario

Los sistemas de archivos, los programas y los sistemas operativos almacenan diferentes marcas de tiempo. Estas pueden proporcionar pistas sobre cuándo se creó, modificó, abrió o procesó un archivo.

Sin embargo, las marcas de tiempo no deben interpretarse de forma aislada. Las operaciones de copia, las aplicaciones, los servicios de sincronización o los procesos del sistema operativo pueden influir en las marcas de tiempo individuales.

Por lo tanto, una evaluación más fiable combina tantos artefactos independientes como sea posible.

Recuperación de archivos eliminados y datos

Un archivo borrado no se gestiona de la misma manera en todos los soportes de almacenamiento. Los discos duros magnéticos, las unidades SSD modernas y la memoria flash de los dispositivos móviles difieren considerablemente.

En las unidades SSD, los mecanismos de limpieza de datos pueden provocar que los datos eliminados se vuelvan inaccesibles con relativa rapidez. El cifrado, el sistema de archivos, el momento de la eliminación y el uso posterior también influyen en las posibilidades de recuperación.

La informática forense difiere de la recuperación de datos tradicional. La recuperación de datos se centra principalmente en restaurar el contenido perdido. Una investigación forense, en cambio, considera el origen, los metadatos, la referencia temporal, la integridad y los rastros del sistema correspondientes.

Exámenes digitales para particulares de Gelsenkirchen

Los teléfonos inteligentes y ordenadores personales pueden contener información relevante en disputas personales y legales. Por lo tanto, una parte importante de las investigaciones forenses digitales no se centra en redes corporativas, sino en dispositivos personales individuales.

Las preguntas típicas incluyen, por ejemplo:

• Smartphone sospechoso de haber sido pirateado o comprometido
• posible software espía o acceso no autorizado
• Mensajes de WhatsApp eliminados
• Fraude o robo de identidad
• Acoso y hostigamiento digital
• Separación o divorcio
• comunicación digital controvertida
• Protección de las pruebas digitales existentes

¿Han pirateado o vigilado mi teléfono?

El alto consumo de batería, la generación de calor, las notificaciones desconocidas o el tráfico de datos inusual no constituyen, por sí solos, un problema.

Por lo tanto, una investigación forense debe ser exhaustiva y buscar anomalías técnicamente detectables. Según el dispositivo, se pueden examinar aplicaciones, configuraciones, perfiles, información del sistema, artefactos de comunicación y otros datos.

Incluso un resultado negativo tiene sus límites. Si no se encuentra ninguna evidencia en los datos disponibles, esto no significa automáticamente que no se haya producido un ataque con anterioridad.

Acoso, separación y conflictos personales

En las disputas privadas, los mensajes, archivos, fotos o cuentas de usuario pueden desempeñar un papel importante. Al mismo tiempo, es necesario distinguir entre el acceso técnico y la autorización legal.

LB Forensics solo examina dispositivos, cuentas de usuario y conjuntos de datos para los que cuenta con la autorización correspondiente. El acceso no autorizado a los teléfonos inteligentes o cuentas de otras personas no forma parte de una investigación forense.

Análisis forense digital para empresas en Gelsenkirchen.

Gelsenkirchen combina su estructura industrial con la creciente digitalización de su entorno empresarial. Empresas, el sector sanitario, los servicios, la logística, la industria y los sectores tecnológicos procesan grandes volúmenes de datos digitales. Al mismo tiempo, la propia ciudad se describe a sí misma como un centro interconectado con una infraestructura digital bien desarrollada.

En un caso sospechoso interno, los ordenadores de a bordo, los portátiles, los teléfonos inteligentes, los medios de almacenamiento externos, las cuentas de usuario, los sistemas de correo electrónico y las aplicaciones en la nube pueden ser relevantes simultáneamente.

Sospecha de violación de datos

En caso de una posible filtración de datos, el primer paso debería ser determinar qué métodos de transmisión estaban técnicamente disponibles. Los dispositivos de almacenamiento USB son solo una posibilidad.

Según las circunstancias, los servicios en la nube, el correo electrónico, las aplicaciones de navegador, las aplicaciones de mensajería u otras plataformas también pueden ser relevantes. Por lo tanto, una investigación puede comparar los accesos a archivos, los dispositivos de almacenamiento externo, la información del navegador, los artefactos de la nube y otros rastros del sistema.

Un único hallazgo técnico suele ser insuficiente para llegar a una conclusión fiable. El objetivo es, más bien, conectar varias pruebas independientes, tanto en cuanto a su contenido como a su cronología.

Análisis forense informático tras un incidente cibernético

Tras un presunto ataque, los registros del sistema, la actividad del usuario, los archivos sospechosos, los mecanismos de persistencia, las pistas de red y otros artefactos digitales pueden resultar relevantes.

En un incidente de seguridad en curso, la contención y la preservación de pruebas deben considerarse conjuntamente. Un ordenador encendido y ya descifrado puede presentar un punto de partida forense diferente al del mismo dispositivo tras un reinicio.

Por lo tanto, técnicamente no es correcto apagar inmediatamente todos los dispositivos sospechosos como medida rutinaria.

Cellebrite para fuentes de datos móviles

Utilizamos Cellebrite especialmente con datos móviles y otras fuentes de datos digitales. Los métodos de extracción y análisis disponibles dependen del dispositivo, el sistema operativo y el estado de seguridad específicos.

La mera extracción no resuelve ninguna cuestión probatoria. Solo el análisis técnico posterior revela qué artefactos son relevantes para el caso específico.

X-Ways Análisis forense para ordenadores y medios de almacenamiento

X-Ways Forensics permite realizar investigaciones detalladas de ordenadores, discos duros, unidades SSD y otros dispositivos de almacenamiento de datos.

Mediante este método se pueden examinar específicamente las estructuras del sistema de archivos, los archivos existentes y eliminados, los metadatos y otra información técnica. Un análisis detallado del sistema de archivos puede ser especialmente relevante al investigar cuestiones relacionadas con el uso de archivos, los medios de almacenamiento y la información eliminada.

Belkasoft para análisis exhaustivos de artefactos

Belkasoft permite el análisis estructurado de diversas fuentes de datos digitales. En los casos más complejos, la información de comunicación, archivos y sistemas puede correlacionarse cronológicamente.

MOBILedit Forensic como método adicional de análisis forense de teléfonos móviles.

MOBILedit Forensic amplía las posibilidades para extraer y analizar datos de dispositivos móviles. Especialmente al trabajar con dispositivos de diferentes fabricantes de Android, un método adicional de copia de seguridad o análisis puede resultar útil.

¿Por qué se utilizan múltiples herramientas forenses?

Ningún programa es compatible con todos los dispositivos, sistemas operativos y estructuras de datos con el mismo nivel de detalle. Además, diferentes soluciones pueden reconocer y mostrar los mismos datos de maneras distintas.

En casos de hallazgos importantes, un segundo método puede contribuir a la plausibilidad técnica. Sin embargo, el artefacto original siempre resulta decisivo. Un resultado de software generado automáticamente no constituye una evaluación forense concluyente.

Integridad de las pruebas digitales

En una investigación basada en pruebas, debe ser posible rastrear el conjunto de datos en el que se fundamenta el análisis. Por lo tanto, dependiendo del objeto de la investigación, puede ser conveniente crear previamente una copia de seguridad forense adecuada.

Los valores hash criptográficos pueden utilizarse para verificar la integridad de un conjunto de datos definido. Permiten realizar una comparación para determinar si este conjunto de datos específico ha cambiado con respecto a un estado de referencia documentado.

Sin embargo, un valor hash no prueba automáticamente la integridad de una copia de seguridad, la autenticidad del contenido ni la corrección de una interpretación posterior.

Explicamos los detalles técnicos con mayor profundidad en el apartado Integridad de la evidencia digital.

Cadena de custodia y cadena de evidencia

La cadena de custodia documenta el manejo organizativo de un objeto de investigación. Esto puede incluir la adquisición, identificación, seguridad, almacenamiento y las entregas pertinentes.

Por lo tanto, cumple una función distinta a la de un valor hash. El valor hash sirve para verificar la integridad técnica de un conjunto de datos definido. La cadena de custodia, en cambio, documenta cómo se gestionaron el dispositivo y las copias de seguridad generadas a partir de él.

Puede encontrar información adicional en el artículo publicado " Cadena de custodia en la informática forense".

Del objeto digital de investigación a los hallazgos verificables.

Acotar la pregunta

En primer lugar, se define qué problema técnico se va a investigar y qué período de tiempo es relevante.

Seleccione fuentes de datos

Los teléfonos inteligentes, las computadoras, los dispositivos de almacenamiento de datos, las copias de seguridad o los datos en la nube se priorizan en función de su importancia para la situación específica.

Capturar el estado técnico inicial

El modelo del dispositivo, el sistema operativo, el cifrado, el estado de seguridad y las opciones de acceso disponibles pueden influir en la estrategia de copia de seguridad.

Realizar una copia de seguridad de los datos relevantes.

El método de copia de seguridad de datos se adapta al objeto específico que se investiga. Cuando procede, el análisis posterior se realiza sobre un conjunto de copias de seguridad definido.

Examen específico de los artefactos

Los archivos, las bases de datos, la información de comunicación y los rastros del sistema se evalúan en función de la pregunta definida previamente.

Varias pistas se correlacionan entre sí

Si distintos artefactos se relacionan con el mismo proceso, pueden compararse entre sí en términos de tiempo y contenido.

Presentar los resultados y su interpretación por separado.

Una documentación comprensible distingue entre los datos obtenidos directamente, su interpretación profesional y las limitaciones de los datos disponibles.

Gelsenkirchen en la región económica digital del área del Ruhr.

Gelsenkirchen se ubica en el corazón de la región metropolitana del Ruhr y está estrechamente conectada con las zonas económicas y residenciales circundantes. Al mismo tiempo, la ciudad lleva años impulsando proyectos de digitalización y conectividad, y cuenta con una infraestructura digital bien desarrollada.

La zona regional inmediata incluye, entre otras localidades, Gladbeck, Bottrop, Essen , Bochum , Herne, Herten, Recklinghausen y Dorsten . Estas localidades se utilizan aquí únicamente como referencia geográfica y no se presentan como sucursales de LB Forensik.

Ya existen páginas regionales publicadas sobre análisis forense informático, entre otras, para análisis forense informático en Essen y análisis forense informático en Dortmund.

Gelsenkirchen ya está designada como área de operación nacional para la Oficina Federal de Investigación Forense (LB Forensik). Sin embargo, para una investigación digital, los límites de la ciudad son menos importantes que la fuente de datos específica, el estado del dispositivo, el período de tiempo relevante y la cuestión técnica en cuestión.

¿Qué se debe evitar antes de un examen forense?

Un teléfono inteligente que pueda servir como prueba no debe restablecerse apresuradamente a la configuración de fábrica. Tampoco se deben eliminar de forma independiente las aplicaciones, archivos o mensajes sospechosos si se va a investigar su origen o uso posteriormente.

Los programas de recuperación de datos, limpieza o antispyware pueden crear nuevos archivos e información del sistema, alterando así los rastros existentes.

Un ordenador que ya se ha apagado no debe reiniciarse normalmente, ni siquiera para una inspección inicial. El propio proceso de arranque del sistema operativo puede generar nuevas actividades y afectar a los archivos existentes.

Por el contrario, apagar inmediatamente un sistema en funcionamiento no siempre es la mejor opción. En el caso de dispositivos cifrados, el estado actual puede ser importante para futuras copias de seguridad.

Preguntas frecuentes para clientes de Gelsenkirchen

¿LB Forensics también examina teléfonos inteligentes pertenecientes a particulares?

Sí. Dependiendo de la pregunta específica, los particulares pueden solicitar que se examinen sus iPhones, teléfonos inteligentes Android, ordenadores, dispositivos de almacenamiento de datos, copias de seguridad existentes y otras fuentes de datos autorizadas.

¿Es posible determinar si un teléfono móvil ha sido pirateado?

Una investigación forense puede buscar evidencia técnicamente detectable de un posible acceso no autorizado o vulneración de la seguridad. La fiabilidad de los resultados depende del dispositivo específico y de los datos disponibles.

¿Se pueden recuperar los mensajes de WhatsApp eliminados?

En determinadas circunstancias, las bases de datos, las copias de seguridad, los soportes de almacenamiento u otros elementos pueden permitir una reconstrucción total o parcial. Sin embargo, no se puede garantizar una recuperación exitosa.

¿Es posible determinar si se han copiado archivos a una memoria USB?

Conectar un dispositivo USB puede dejar rastros técnicos. La posibilidad de rastrear una transferencia de archivos específica depende de otros datos existentes.

¿Se pueden examinar juntos varios dispositivos de la misma caja?

Sí. Si los datos del teléfono inteligente, la computadora, el dispositivo de almacenamiento de datos o la nube se relacionan con el mismo tema, la información relevante puede evaluarse conjuntamente y correlacionarse entre sí a lo largo del tiempo.

¿Es posible determinar si un archivo ha sido modificado posteriormente?

Según el archivo y la fuente de datos, los metadatos, la información del sistema de archivos, las copias de seguridad y otros artefactos técnicos pueden proporcionar pistas sobre los cambios. No todas las manipulaciones pueden reconstruirse definitivamente después.

¿Puede la informática forense determinar qué persona llevó a cabo una acción?

No automáticamente. Los rastros digitales a menudo pueden vincularse a un dispositivo, una cuenta de usuario o un proceso técnico. Esto no implica necesariamente qué persona operó realmente el dispositivo.

¿Qué software forense utiliza LB Forensics?

En función del dispositivo, la fuente de datos y el objetivo de la investigación, utilizamos, entre otros, Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic.

¿Debe reiniciarse un teléfono inteligente sospechoso antes de examinarlo?

No. Un reinicio puede alterar o eliminar datos relevantes y rastros técnicos. Si el dispositivo en cuestión es potencialmente relevante como evidencia, se deben evaluar técnicamente los pasos a seguir antes de reiniciarlo.