Prácticamente cada vez que se utiliza un teléfono inteligente o una computadora, se generan rastros digitales. Se guardan y eliminan mensajes, se abren archivos, se utilizan cuentas de usuario, se conectan dispositivos de almacenamiento externo y se sincronizan datos con servicios en la nube. Si estos procesos resultan relevantes posteriormente para un asunto privado, comercial o legal, la interfaz de usuario visible suele ser insuficiente. LB Forensics analiza teléfonos inteligentes, computadoras, dispositivos de almacenamiento, copias de seguridad y otras fuentes de datos digitales autorizadas para particulares, empresas y abogados en Magdeburgo.

El punto de partida de una investigación es una pregunta técnica específica. ¿Se eliminaron mensajes? ¿Existe evidencia de acceso no autorizado? ¿Cuándo se utilizó o modificó un archivo en particular? ¿Es posible que se hayan copiado datos confidenciales de la empresa? ¿Qué actividades se pueden reconstruir dentro de un período de tiempo relevante? La tarea de la informática forense consiste en proteger los artefactos existentes, clasificarlos técnicamente y demostrar claramente sus limitaciones.

Para asegurar y analizar las pruebas, utilizamos soluciones forenses especializadas según el objeto específico de la investigación. Entre ellas se incluyen Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic . Cada herramienta permite acceder a distintas estructuras de datos. Sin embargo, el factor crucial sigue siendo la evaluación experta del artefacto digital original, no solo su representación en un programa informático.

Análisis forense informático para Magdeburgo: Áreas de investigación en resumen

• Análisis forense de teléfonos móviles para iPhones de Apple y smartphones Android.
• Informática forense Para PC con Windows, portátiles y Mac de Apple
• análisis forense de WhatsApp y otras comunicaciones digitales
• Examen de datos eliminados o que ya no son visibles de inmediato.
• Examen de indicios técnicamente detectables de posible acceso no autorizado
• Análisis de discos duros, SSD, memorias USB y otros dispositivos de almacenamiento de datos.
• Evaluación de las copias de seguridad existentes y los datos en la nube autorizados
• Reconstrucción de las actividades relevantes de archivos, usuarios y sistemas.
• Investigación de posibles fugas de datos e incidentes internos.
• Correlación temporal de rastros digitales de múltiples fuentes de datos
• Copia de seguridad forensemente verificable de los conjuntos de datos relevantes
• Documentación del objeto investigado, obtención de pruebas y conclusiones técnicas.

Encontrará información técnica adicional en nuestra base de datos sobre informática forense . Allí se analizan con mayor detalle los métodos, las fuentes de datos y las cuestiones probatorias más comunes.

¿Qué información digital puede ser relevante para fines forenses?

La informática forense no se limita a examinar archivos, fotos o mensajes visibles. Los sistemas operativos, las aplicaciones y los servicios generan una gran cantidad de información adicional en segundo plano.

Dependiendo del dispositivo, los datos relevantes pueden incluir, por ejemplo, bases de datos de aplicaciones, datos de comunicación, metadatos de archivos, información del navegador, inicios de sesión de usuarios, registros del sistema, dispositivos de almacenamiento conectados, datos de sincronización e información horaria diversa.

Los elementos que deben examinarse dependen de las circunstancias específicas. Por ejemplo, la relevancia de ciertos rastros varía según se trate de una posible fuga de datos o de determinar si un mensaje en particular existió o si un teléfono inteligente muestra indicios de acceso no autorizado.

Por lo tanto, un principio clave es: Un único artefacto digital no debe interpretarse más allá de lo que permiten los datos técnicos.

Análisis forense de teléfonos móviles en Magdeburgo para iPhone y Android.

En Magdeburgo, la informática forense de teléfonos móviles examina la información digital contenida en los smartphones y sus fuentes de datos asociadas. Los dispositivos móviles actuales almacenan datos de comunicación, imágenes, vídeos, aplicaciones, datos del navegador, cuentas de usuario y numerosos detalles técnicos del sistema.

Un análisis forense de un teléfono inteligente va más allá de la simple inspección de la pantalla. Dependiendo del dispositivo y de los datos técnicamente disponibles, pueden ser relevantes los mensajes, las bases de datos de las aplicaciones, los archivos multimedia, la información de las llamadas, los rastros del navegador, las marcas de tiempo y cierta información del sistema, la ubicación y la conexión.

La profundidad de la investigación depende, entre otras cosas, del fabricante, el modelo, la versión del sistema operativo, el estado de seguridad, el cifrado y el método de extracción disponible.

Análisis forense de iPhones en dispositivos Apple

Los iPhones de Apple utilizan una combinación estrechamente integrada de hardware, iOS y mecanismos de protección criptográfica. Por lo tanto, no se puede garantizar con certeza, antes de un análisis, que se puedan extraer todos los datos del dispositivo.

Según la configuración técnica, se pueden examinar mensajes, datos de aplicaciones, imágenes, vídeos, archivos, información del navegador, marcas de tiempo y otros elementos del sistema. Las copias de seguridad locales y los datos autorizados de iCloud también pueden constituir fuentes de datos adicionales.

El estado actual del dispositivo puede ser relevante. Un iPhone desbloqueado y encendido puede ofrecer un punto de partida forense diferente al del mismo dispositivo inmediatamente después de reiniciarlo.

Puede encontrar información adicional sobre las posibilidades y limitaciones en el artículo publicado "¿Qué es la informática forense del iPhone?".

Análisis forense de Android en Samsung, Google, Honor y otros fabricantes.

Los smartphones Android difieren significativamente en cuanto a hardware, chipset, versión del sistema operativo y configuración de seguridad. Por consiguiente, los posibles métodos de extracción pueden variar considerablemente.

Dependiendo del dispositivo, se pueden examinar los datos de mensajería, las bases de datos de las aplicaciones, los archivos, las fotos, los vídeos, la información del navegador y otros elementos del sistema.

Sobre todo en dispositivos Android, puede resultar útil emplear diferentes herramientas forenses. Un método podría permitir acceder a datos de un dispositivo que son inaccesibles o solo parcialmente accesibles con otra herramienta.

Análisis técnico de WhatsApp y otras aplicaciones de mensajería

La comunicación a través de mensajería instantánea suele ser una fuente fundamental de datos en conflictos privados, acoso, fraude, casos de derecho laboral e investigaciones internas de empresas.

El análisis forense de datos de WhatsApp no ​​se limita a la lectura de mensajes visibles. Según los datos disponibles, se pueden analizar mensajes, información de los participantes, marcas de tiempo, estructuras de grupos, imágenes, videos, documentos, mensajes de voz y otros elementos de la aplicación.

Explicamos las posibilidades técnicas en detalle en el artículo de conocimiento "Análisis forense de mensajes de WhatsApp".

Mensajes de WhatsApp eliminados

En determinadas circunstancias, los mensajes eliminados pueden seguir estando presentes, total o parcialmente, en bases de datos, copias de seguridad, colecciones de medios u otras fuentes de datos accesibles.

Sin embargo, no se puede garantizar una recuperación exitosa. El sistema operativo, la versión de la aplicación, el estado de la base de datos, las copias de seguridad existentes y el uso continuado del teléfono inteligente influyen significativamente en las probabilidades de éxito.

El uso continuado puede alterar los datos. Las nuevas comunicaciones, las actualizaciones de la aplicación y los procesos de sincronización pueden afectar a los datos existentes. Por lo tanto, se debe evitar el uso innecesario en un teléfono inteligente potencialmente relevante.

Por qué una captura de pantalla no ofrece la misma base de datos.

Una captura de pantalla inicialmente solo documenta lo que se muestra en la pantalla. No contiene automáticamente la base de datos de noticias subyacente, los identificadores internos de la aplicación ni otra información técnica.

Si se dispone del dispositivo original o de una extracción adecuada, se pueden utilizar artefactos adicionales para la comparación técnica. Esto permite un análisis mucho más exhaustivo del proceso de comunicación que el que se puede realizar con una sola imagen.

Informática forense en Magdeburgo para Windows y macOS

En Magdeburgo, la informática forense examina las huellas digitales en ordenadores de sobremesa, portátiles, Mac de Apple y dispositivos de almacenamiento conectados. Los sistemas operativos generan numerosos artefactos durante su uso, que posteriormente pueden utilizarse para reconstruir actividades específicas.

Dependiendo de la pregunta de investigación, se pueden examinar, entre otras, las siguientes fuentes de datos:

• Archivos y estructuras del sistema de archivos
• metadatos del archivo e información de tiempo
• Archivos eliminados y restos de archivos
• Cuentas de usuario y actividad de inicio de sesión
• Historial de navegación y descargas
• Dispositivos USB y medios de almacenamiento externos
• Rastreo de programas y aplicaciones
• Registros de eventos de Windows
• Artefactos del sistema macOS
• información de sincronización y nube local

Puede encontrar información básica adicional sobre la investigación de sistemas informáticos en el apartado " ¿Qué es la informática forense?".

Dispositivos USB y medios de almacenamiento externos

Los sistemas informáticos pueden contener información sobre qué dispositivos USB o medios de almacenamiento externo se han conectado a ellos. Según los datos disponibles, se pueden analizar los identificadores de los dispositivos y ciertas correlaciones temporales.

Una entrada en una unidad USB por sí sola no prueba la transferencia de archivos. Para determinar si se copiaron datos específicos, se deben considerar otros elementos.

Esto puede incluir accesos a archivos, archivos utilizados recientemente, información del sistema de archivos, marcas de tiempo y otras actividades del usuario o del sistema.

Ordenar archivos cronológicamente

Los archivos y las aplicaciones pueden contener diversas marcas de tiempo. Estas pueden proporcionar pistas sobre cuándo se crearon, modificaron, abrieron o procesaron los datos.

Sin embargo, las marcas de tiempo no deben interpretarse de forma aislada. Los procesos de copia, las aplicaciones, las sincronizaciones en la nube y los procesos del sistema pueden alterar la información horaria.

Por lo tanto, una evaluación técnicamente más sólida tiene en cuenta la mayor cantidad posible de elementos independientes.

Archivos eliminados, unidades SSD y recuperación de datos

Los datos eliminados no se pueden recuperar de la misma manera en todos los medios de almacenamiento. Los discos duros tradicionales, las unidades SSD modernas y la memoria flash de los dispositivos móviles se comportan de manera diferente desde un punto de vista técnico.

En las unidades SSD, los mecanismos de limpieza de datos pueden provocar que los datos eliminados se vuelvan inaccesibles con relativa rapidez. Otros factores que influyen son el sistema de archivos, el cifrado, el momento de la eliminación y el uso posterior del dispositivo.

La recuperación de datos pura tiene como objetivo principal volver a poner a disposición la información perdida. Una investigación forense considera, además, el origen, los metadatos, el contexto temporal y otros rastros técnicos.

Por lo tanto, un archivo recuperado no constituye automáticamente el hallazgo forense completo.

Exámenes digitales para particulares de Magdeburgo

La informática forense ya no es una necesidad exclusiva de las empresas. Los teléfonos inteligentes y los ordenadores personales, en particular, contienen gran cantidad de información que puede ser relevante en conflictos personales o litigios.

Las consultas privadas más comunes se refieren, por ejemplo, al posible acceso no autorizado a un teléfono inteligente, la eliminación de comunicaciones, el acoso y el hostigamiento digital, la sospecha de fraude, el robo de identidad, la separación o el divorcio, así como a mensajes controvertidos u otro contenido digital.

¿Han pirateado o vigilado mi teléfono?

Un consumo de batería inusualmente alto, la generación de calor o mensajes de error desconocidos no demuestran un ataque. Dichos síntomas pueden tener numerosas causas técnicas.

Por lo tanto, debe realizarse una investigación forense imparcial. Dependiendo del teléfono inteligente, se pueden examinar las aplicaciones, la información del sistema, los perfiles, las configuraciones, los registros de comunicación y otros datos técnicos.

Incluso un resultado negativo tiene sus límites. Si no se encuentra evidencia de una vulneración en los datos disponibles, esto no significa automáticamente que no pudiera haber ocurrido un ataque con anterioridad.

Acoso, separación y conflictos personales

En conflictos privados, las aplicaciones de mensajería, las fotos, los archivos, las cuentas de usuario u otra información digital pueden ser relevantes. Al mismo tiempo, es fundamental distinguir claramente entre el acceso técnico y la autorización legal.

LB Forensics solo examina dispositivos, cuentas y conjuntos de datos para los que cuenta con la autorización correspondiente. El acceso no autorizado a los teléfonos inteligentes o cuentas de usuario de otras personas no constituye una investigación forense permitida.

Investigaciones forenses informáticas para empresas en Magdeburgo.

Magdeburgo es un centro neurálgico de negocios, ciencia, logística y tecnología. Empresas, especialmente de los sectores de informática y comunicaciones, ingeniería mecánica, industria, tecnología médica, movilidad eléctrica y servicios, procesan una gran cantidad de datos empresariales y personales.

Además, existen universidades, centros de enseñanza superior e instituciones de investigación no universitarias. Esto significa que las investigaciones digitales en Magdeburgo pueden abarcar desde estaciones de trabajo individuales hasta proyectos más complejos que involucran múltiples dispositivos y cuentas de usuario.

En un incidente interno, por ejemplo, los ordenadores portátiles, los teléfonos inteligentes, los dispositivos de almacenamiento externo, los datos de correo electrónico, las cuentas de usuario y las aplicaciones en la nube pueden ser relevantes simultáneamente.

Sospecha de fuga de datos o copia de datos no autorizada.

En caso de una posible violación de datos, primero se debe aclarar qué vías de transmisión estaban técnicamente disponibles.

Los dispositivos de almacenamiento USB son solo una opción. Dependiendo del sistema, los servicios en la nube, el correo electrónico, las aplicaciones web, la mensajería instantánea u otras plataformas también pueden ser relevantes para la transferencia de datos.

Por lo tanto, una investigación forense puede comparar los accesos a archivos, los dispositivos de almacenamiento externo, la actividad del navegador, los artefactos en la nube y otros rastros del sistema.

Un único hallazgo técnico no debe interpretarse de forma exagerada. Por ejemplo, la presencia de un soporte de almacenamiento conectado no prueba automáticamente que se hayan transferido archivos confidenciales al mismo.

Análisis posterior a un incidente cibernético

Tras un presunto ciberataque, la actividad del usuario, los registros del sistema, los archivos sospechosos, los mecanismos de persistencia, las pistas de red y otros artefactos técnicos pueden resultar relevantes.

En incidentes en curso, la preservación y la contención de las pruebas deben considerarse conjuntamente. Un ordenador encendido y descifrado puede presentar una situación forense diferente a la del mismo sistema tras un reinicio.

Por lo tanto, la recomendación general de apagar inmediatamente cualquier sistema sospechoso no es técnicamente correcta en todos los casos.

Cellebrite para fuentes de datos móviles

Utilizamos Cellebrite especialmente para datos móviles y otras fuentes de datos digitales. El método de extracción disponible depende de factores como el dispositivo, el sistema operativo y el estado de seguridad.

Sin embargo, el proceso de extracción solo proporciona la base técnica. Únicamente el análisis posterior revela qué datos son realmente relevantes para la pregunta de investigación específica.

X-Ways Análisis forense para ordenadores y dispositivos de almacenamiento de datos

X-Ways Forensics permite un análisis detallado de ordenadores, discos duros, unidades SSD y otros medios de almacenamiento.

Mediante este método se pueden examinar específicamente la estructura del sistema de archivos, los archivos, los metadatos, los datos eliminados y otra información técnica. Un análisis detallado del sistema de archivos puede ser especialmente relevante al abordar cuestiones relacionadas con el uso de archivos o los medios de almacenamiento externos.

Belkasoft sobre la correlación de diferentes artefactos

Belkasoft permite el análisis estructurado de diversas fuentes de datos digitales. En investigaciones más exhaustivas, la información relevante sobre comunicaciones, archivos y sistemas puede vincularse cronológica y temáticamente.

MOBILedit Forensic como otro método de análisis forense de teléfonos móviles.

MOBILedit Forensic complementa nuestras capacidades para extraer y analizar datos de dispositivos móviles. Dada la gran variedad de dispositivos Android, un método adicional puede resultar muy beneficioso.

¿Por qué se utilizan varios programas forenses?

Ninguna herramienta forense ofrece el mismo nivel de profundidad para todos los dispositivos, sistemas operativos y estructuras de datos. Además, distintos sistemas pueden reconocer o procesar los mismos datos de forma diferente.

En los casos pertinentes, un segundo método puede contribuir a las comprobaciones de plausibilidad. El artefacto digital subyacente sigue siendo determinante. Un resultado de software generado automáticamente no constituye una evaluación pericial concluyente.

Integridad de los conjuntos de datos digitales

En una investigación basada en la evidencia, debe quedar claro qué fuente de datos se examinó y en qué conjunto de datos se basa el análisis posterior.

Los valores hash criptográficos pueden utilizarse para verificar la integridad de una copia de seguridad definida. Si los valores de referencia y de control coinciden, esto sugiere firmemente que este conjunto de datos específico no ha cambiado desde el cálculo original.

Sin embargo, un valor hash no prueba automáticamente la integridad de una copia de seguridad, ni su autenticidad, autoría o la corrección de una interpretación posterior.

Puede encontrar información adicional en el artículo publicado "Integridad de la evidencia digital".

Cadena de custodia y documentación de pruebas

La cadena de custodia documenta el manejo de un objeto bajo investigación. Por ejemplo, en el caso de un teléfono inteligente o una computadora, puede registrar cuándo se incautó el dispositivo, su estado, cómo se identificó y qué medidas de seguridad se tomaron.

La cadena de custodia cumple una función distinta a la de un valor hash. Si bien un valor hash puede verificar técnicamente la integridad de un conjunto de datos específico, la cadena de custodia documenta el manejo organizativo del objeto de investigación.

En el apartado "Cadena de custodia" de la informática forense, encontrará información detallada.

Desde el objeto de investigación hasta los hallazgos técnicos.

Defina la pregunta y el período de tiempo.

En primer lugar, se determina qué problema técnico se va a investigar y qué período de tiempo es relevante.

Seleccione las fuentes de datos pertinentes.

No es necesario examinar automáticamente todos los dispositivos existentes. Los teléfonos inteligentes, las computadoras, los medios de almacenamiento, las copias de seguridad o los datos en la nube se priorizan según su relevancia para el caso.

Documentar el estado inicial

El modelo del dispositivo, el sistema operativo, el cifrado, el estado de seguridad y las opciones de acceso disponibles pueden influir en la estrategia de copia de seguridad adecuada.

Proteger los datos de forma técnicamente adecuada.

El método de preservación de datos depende del objeto de investigación y de la pregunta de investigación. Cuando es técnicamente factible, el análisis posterior se basa en un conjunto de datos definido.

Analizar los artefactos relevantes

Los archivos, las bases de datos, la información de comunicación y los rastros del sistema se evalúan específicamente en función de la pregunta de investigación.

Comparación de rastros de diferentes fuentes

Si varios artefactos digitales están relacionados con el mismo proceso, se pueden correlacionar entre sí en términos de tiempo y contenido.

Hallazgo separado de la interpretación

Una documentación comprensible distingue entre los datos obtenidos directamente, su interpretación profesional y las limitaciones técnicas de los datos disponibles.

Análisis forense informático en la zona de Magdeburgo y Sajonia-Anhalt.

Magdeburgo es la capital del estado y uno de los principales centros económicos y científicos de Sajonia-Anhalt. La combinación de industria, logística, tecnología de la información, investigación y servicios implica que los problemas digitales pueden afectar tanto a fuentes de datos privadas como a fuentes de datos empresariales más complejas.

El área regional incluye, entre otros, Schönebeck (Elba), Burg, Haldensleben, Wolmirstedt, Oschersleben, Stendal, Dessau-Roßlau y Halle (Saale) . Wolfsburgo y Braunschweig también pueden desempeñar un papel en asuntos suprarregionales.

Las ciudades mencionadas se utilizan aquí únicamente como referencia geográfica. No se presentan automáticamente como sucursales de LB Forensik.

Magdeburgo ya forma parte del área de servicio nacional de LB Forensik. Además, existe una página regional publicada sobre análisis forense informático en Leipzig, que abarca la región central de Alemania.

¿Qué se debe evitar en la medida de lo posible antes de un examen?

Un teléfono inteligente potencialmente sensible no debe reiniciarse prematuramente. Tampoco se deben eliminar de forma independiente aplicaciones, mensajes o archivos sospechosos si su origen o uso se va a investigar posteriormente.

Los programas de recuperación de datos, limpieza y protección contra software espía pueden crear nuevos archivos y registros, alterando así el estado original del sistema.

Un ordenador que ya se ha apagado no debe reiniciarse normalmente solo para una inspección inicial. Incluso el arranque normal del sistema operativo genera nueva actividad y puede afectar a los archivos existentes.

Por el contrario, apagar inmediatamente un dispositivo en funcionamiento no siempre es lo más adecuado. En el caso de sistemas cifrados que siguen en marcha, el estado actual puede ser relevante para futuras copias de seguridad de datos.

Preguntas frecuentes sobre informática forense en Magdeburgo

¿Pueden los particulares de Magdeburgo solicitar que se examinen sus teléfonos inteligentes?

Sí. Dependiendo de la cuestión, los particulares pueden solicitar que se examinen sus iPhones, teléfonos inteligentes Android, ordenadores, dispositivos de almacenamiento de datos, copias de seguridad existentes y otras fuentes de datos autorizadas.

¿Es posible comprobar si un teléfono móvil ha sido pirateado?

Una investigación forense puede buscar evidencia técnicamente detectable de acceso no autorizado o posible vulneración de la seguridad. La fiabilidad de los resultados depende del dispositivo y de los datos disponibles.

¿Se pueden recuperar los mensajes de WhatsApp eliminados?

Esto podría ser posible bajo ciertas condiciones. Las bases de datos, las copias de seguridad, los soportes de almacenamiento y otros elementos podrían ser relevantes. No se puede garantizar una recuperación completa.

¿Es posible determinar si se han copiado archivos a una memoria USB?

Conectar un dispositivo de almacenamiento USB puede dejar rastros técnicos. La posibilidad de rastrear una transferencia de archivos específica depende de otros datos existentes.

¿Se pueden examinar conjuntamente un teléfono inteligente y un ordenador?

Sí. Si varios dispositivos están relacionados con el mismo problema, se puede comparar y correlacionar la información relevante a lo largo del tiempo.

¿Se pueden investigar técnicamente los cambios realizados en un archivo?

Según el tipo de archivo y el sistema, los metadatos, la información del sistema de archivos, las copias de seguridad y otros artefactos pueden proporcionar pistas sobre los cambios. No todas las manipulaciones pueden reconstruirse definitivamente después.

¿Se puede determinar con claridad quién utilizó el ordenador?

No automáticamente. Los rastros digitales a menudo pueden vincularse a un dispositivo, una cuenta de usuario o un proceso técnico. Esto no revela necesariamente qué persona operó realmente el sistema.

¿Qué software forense utiliza LB Forensik?

En función del dispositivo, la fuente de datos y el objetivo de la investigación, utilizamos, entre otros, Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic.

¿Debe reiniciarse un dispositivo sospechoso?

Esto no debe hacerse con un dispositivo que pueda ser relevante como prueba sin una evaluación técnica previa. Reiniciarlo puede alterar datos relevantes y, en el caso de dispositivos modernos, también afectar su estado forense.