Experticia de Extracción de Contenido de Teléfonos Celulares

En la era digital actual, los teléfonos celulares se han convertido en dispositivos omnipresentes que albergan una vasta cantidad de información personal, profesional y de trabajo muy sensible. Esta información puede ser de vital importancia en el ámbito legal, convirtiéndose en una pieza clave para la investigación y resolución de diversos casos como delitos informáticos, investigaciones penales contra la corrupción, secuestros, asociaciones para delinquir, estafas, entre muchos otros.

Lo que primero debemos determinar es, cómo debe realizarse previamente, la Experticia de Extracción de Contenido de Teléfonos Celulares que son aparatos o dispositivos informáticos y de comunicación. Una vez que tengamos esta actividad culminada y comprendamos que es suficiente evidencia para demostrar la responsabilidad penal de un hecho punible cualquiera, luego hacemos la debida argumentación en el capítulo correspondiente en la promoción de pruebas y así lograr su admisión en la audiencia preliminar.

¿Qué es una Experticia de Extracción de Contenido de Teléfonos Celulares?

Una experticia o dictamen pericial (Art. 225 del COPP) de extracción de contenido de teléfonos celulares es un procedimiento técnico-científico complejo que tiene como objetivo recuperar y analizar la información almacenada en un dispositivo celular, para establecer la verdad de los hechos relevantes por las vías jurídicas, en la aplicación del derecho. Este proceso se lleva a cabo por peritos informáticos forenses (Arts. 114 y 224 del COPP), profesionales altamente calificados que poseen las herramientas, el conocimiento y la experiencia necesarios para realizar una extracción completa y segura de los datos, preservando su integridad y autenticidad.

Objetivos de la Experticia:

El dictamen pericial deberá contener; de manera clara y precisa, el o los motivos por los cuales se practica, la descripción de la persona o cosa que sea objeto del mismo, en el estado o del modo en que se halle, la relación detallada de los exámenes practicados, los resultados obtenidos y las conclusiones que se formulen respecto del peritaje realizado, conforme a los principios o reglas de su ciencia o arte.

La experticia de extracción de contenido de teléfonos celulares persigue diversos objetivos (Art. 111.3 del COPP), entre los que destacan los siguientes:

• Aportar pruebas para investigaciones: La información extraída del teléfono celular puede ser utilizada como evidencia crucial en investigaciones penales, proporcionando elementos concretos que con la lícita incorporación de estas pruebas, de las cuales los Jueces obtienen su convencimiento para pronunciar la sentencia. 
• Recuperar información borrada o eliminada: El perito forense posee las habilidades y herramientas necesarias para recuperar información que ha sido eliminada intencionalmente o accidentalmente del dispositivo.
• Extraer información oculta o encriptada: El perito forense puede acceder a información que se encuentra oculta o encriptada en el dispositivo, utilizando técnicas especializadas para descifrarla.
• Identificar la actividad del usuario: La experticia permite identificar la actividad del usuario en el dispositivo, incluyendo el uso de aplicaciones, el historial de navegación web, los registros de llamadas y mensajes, entre otros datos relevantes.
• Proteger la privacidad del usuario: La experticia se realiza en un entorno controlado y seguro, garantizando la protección de la privacidad del usuario y la confidencialidad de la información extraída.

¿Qué tipo de información se puede extraer?

La experticia de extracción de contenido de teléfonos celulares puede recuperar una amplia gama de información, incluyendo (según la actividad delictiva involucrada):

• Mensajes de Texto (SMS): Se recuperan los mensajes enviados y recibidos, incluyendo el contenido, la fecha y hora de envío/recepción, y la identidad de los contactos involucrados: Se recuperan los mensajes enviados y recibidos en diferentes plataformas de mensajería derivadas de software o aplicaciones informáticas, incluyendo el contenido, la fecha y hora de envío/recepción, y la identidad de los contactos involucrados. El smishing es un tipo de phishing que se realiza a través de mensajes de texto SMS. Los ciberdelincuentes envían mensajes a sus víctimas haciéndose pasar por una empresa u organización legítima, como un banco, una compañía telefónica o una tienda online. El mensaje suele incluir un enlace o un número de teléfono al que la víctima debe responder o llamar. Una vez que la víctima contacta con los ciberdelincuentes, estos intentan obtener información personal o financiera, como contraseñas, números de tarjetas de crédito o datos bancarios. Igualmente, los ciberdelincuentes pueden enviar mensajes de texto SMS que contienen malware. Al hacer clic en un enlace o abrir un archivo adjunto en el mensaje, la víctima puede infectar su dispositivo móvil con malware. Este malware puede robar información personal, financiera o incluso tomar el control del dispositivo.

• Mensajes de datos en redes sociales (WhatsApp, Telegram, Instagram, Facebook, etc.): Se recuperan los mensajes enviados y recibidos en diferentes plataformas de mensajería derivadas de software o aplicaciones informáticas, incluyendo el contenido, la fecha y hora de envío/recepción, y la identidad de los contactos involucrados. Recordemos el Malware: el software malicioso que puede infectar los dispositivos de una empresa y sustraer datos. El ransomware: ataques que bloquean el acceso a los datos de la empresa y exigen un rescate para desbloquearlos.

• Registros de llamadas: Se extrae el historial de cruce de llamadas realizadas y recibidas, incluyendo el número de teléfono, la fecha y hora de la llamada, la duración de la misma y el tipo de llamada (entrante, saliente y perdida, para demostrar la conexión existente entre víctimas y victimarios en sus distintos grados de participación, antes, durante y después de cometidos los hechos. La SC del TSJ en sentencia No. 1242 del 16/8/13, en el exp. 12-1283, ha dicho que: "... la relación de llamadas no permite determinar el contenido de la comunicación, no resulta un medio adecuado y por tanto necesario para conocer lo conversado, de allí que no emerge de aquella la convicción de que en esas comunicaciones el ahora accionante giró las instrucciones a otros para que cometieran los delitos, como supuesto contenido de las conversaciones telefónicas, lo cual pasa a ser sólo un indicio y, en consecuencia, no acredita que el mismo haya participado en los hechos investigados por los cuales fue acusado o, al menos, que haya dado la orden para que se cometieran los delitos." Atentos al vishing, que es otro tipo de phishing que se realiza a través de llamadas telefónicas. Los ciberdelincuentes llaman a sus víctimas haciéndose pasar por una empresa u organización legítima. Durante la llamada, intentan obtener información personal o financiera de la víctima, induciendo a revelar contraseñas, números de tarjetas de crédito o datos bancarios.

• Correos electrónicos: Se recuperan los correos electrónicos enviados y recibidos, incluyendo el contenido, la fecha y hora de envío/recepción, el remitente, el destinatario y los archivos adjuntos. También, lógicamente es un software que respalda la utilización del correo electrónico que debe ser debidamente descrito en qué plataforma se realiza esta actividad. Recordemos el Phishing: los correos electrónicos fraudulentos que intentan obtener información confidencial.

• Contactos: Se extrae la lista de contactos almacenada en el dispositivo, incluyendo el nombre, número de teléfono, dirección de correo electrónico y otra información relevante.

• Archivos multimedia (fotos, vídeos, audios): Se recuperan las fotos, vídeos y audios almacenados en el dispositivo, incluyendo la fecha y hora de creación, la ubicación donde fueron capturados o grabados, y la información de metadatos.

• Historial de navegación web: Se extrae el historial de páginas web visitadas, incluyendo la dirección URL, la fecha y hora de la visita, y el tiempo de permanencia en cada página.

• Aplicaciones instaladas: Se identifica la lista de aplicaciones instaladas en el dispositivo, incluyendo la fecha y hora de instalación, la versión de la aplicación y los permisos de acceso a los datos del dispositivo.

• Datos de ubicación (GPS): Se recuperan los datos de ubicación GPS del dispositivo, incluyendo la fecha y hora, la latitud y longitud, y la precisión de la ubicación (localización geográfica con mucha exactitud). Esto suele ser muy útil en asuntos de extorsión y secuestro, entre otros delitos.

• Registros de actividad del dispositivo: Se extraen los registros de actividad del dispositivo, incluyendo el encendido y apagado, la actividad de las aplicaciones, los cambios de configuración y otros eventos relevantes.

Importancia de la Cadena de Custodia:

La cadena de custodia (Art. 187 del COPP) es un procedimiento fundamental en la experticia de extracción de contenido de teléfonos celulares, ya que garantiza la integridad, autenticidad y admisibilidad de la evidencia en un proceso judicial. 

La cadena de custodia implica documentar detalladamente el manejo del dispositivo desde el momento de su utilización hasta la finalización del análisis forense. Esto incluye:

• Registro del estado del dispositivo: Se documenta el estado inicial del dispositivo, incluyendo su apariencia física, los sellos de seguridad, la carga de la carga de la batería, y cualquier otro detalle relevante.
• Empaquetado y sellado: El dispositivo se empaqueta en un contenedor seguro y se sella con un identificador único.
• Registro de la cadena de custodia: Se registra cada transferencia del dispositivo entre diferentes personas o entidades, incluyendo la fecha, hora, nombre del responsable y motivo del traslado.
• Almacenamiento seguro: El dispositivo se almacena en un lugar seguro y controlado hasta el momento del análisis forense.
• Documentación del análisis forense: Se documenta detalladamente el proceso de extracción de contenido, incluyendo las herramientas utilizadas, especial los software que se utilizaron, los métodos empleados y los resultados obtenidos.
• Presentación del informe pericial: El perito forense elabora un informe detallado que describe el proceso de extracción de contenido, los hallazgos encontrados y las conclusiones del análisis del dictamen que se presentará por escrito, firmado y sellado, sin perjuicio del informe oral en la audiencia. 

Vean los Lineamientos para el correcto uso del Manual Único de Cadena de Custodia de Evidencias Físicas (MUCCEF), ver Protocolo anexo. 

Investigación de un Ciberataque en una Red Empresarial en Venezuela.

Investigar un ciberataque en una red empresarial es un proceso complejo que requiere experiencia técnica y habilidades de análisis. El objetivo principal de la investigación es identificar la fuente del ataque, su alcance, el impacto en la empresa y las medidas necesarias para remediarlo. 

Pasos clave en la investigación de un ciberataque:

1. Contención del Ataque:

Aislar los sistemas infectados: Desconecte los sistemas infectados de la red para evitar que el malware se propague.

Bloquear el acceso a los datos comprometidos: Restrinja el acceso a los datos que se sospecha que han sido comprometidos.

Cambiar contraseñas: Cambie las contraseñas de las cuentas afectadas, incluyendo las cuentas de usuario, las cuentas de administrador y las contraseñas de los sistemas operativos.

    

2. Recopilación de evidencia: 

Recopilar registros: Recopile registros de seguridad, registros de red y registros de aplicaciones para identificar la actividad sospechosa.

Analizar los archivos infectados: Examine los archivos infectados para identificar el tipo de malware y su comportamiento.

Buscar indicadores de compromiso (IoC): Busque indicadores de compromiso, como direcciones IP maliciosas, nombres de dominio o hashes de malware, para determinar la fuente del ataque.

3. Análisis de la Evidencia:

Correlacionar la evidencia: Correlacione la evidencia recopilada para determinar la cronología del ataque y su alcance.

Identificar la fuente del ataque: Determine la fuente del ataque, como una vulnerabilidad de software, un ataque de phishing o un malware conocido.

Evaluar el impacto del ataque: Determine el impacto del ataque en la empresa, como la pérdida de datos, el daño a la reputación o la interrupción del negocio.

4. Erradicación del Malware:

Eliminar el malware: Elimine el malware de los sistemas infectados utilizando herramientas de eliminación de malware y procedimientos de limpieza.

Actualizar el software: Actualice el software a la última versión para corregir las vulnerabilidades que podrían haber sido explotadas.

Verificar la integridad de los datos: Verifique la integridad de los datos para detectar posibles alteraciones o corrupciones.

5. Recuperación y Arreglo de los Incidentes:

Restaurar los sistemas: Restaure los sistemas a partir de copias de seguridad seguras.

Implementar medidas de seguridad adicionales: Implemente medidas de seguridad adicionales para evitar futuros ataques, como firewalls, sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS).

Comunicar el incidente: Informe a las partes interesadas relevantes sobre el incidente, como empleados, clientes y socios comerciales.

6. Aprendizaje y Mejora:

Realizar una revisión posterior al incidente: Realice una revisión posterior al incidente para identificar las lecciones aprendidas y mejorar la postura de seguridad cibernética de la empresa.

Actualizar el plan de respuesta a incidentes: Actualice el plan de respuesta a incidentes para reflejar las lecciones aprendidas del ataque.

Implementar mejoras de seguridad: Implemente mejoras de seguridad basadas en las recomendaciones de la revisión posterior al incidente.

       

Herramientas y recursos para la investigación de ciberataques:

Herramientas de análisis de malware: Existen diversas herramientas de análisis de malware que pueden ayudar a identificar y eliminar malware de los sistemas infectados.

Herramientas de registro y análisis de red: Estas herramientas pueden ayudar a identificar la actividad sospechosa en la red y a rastrear el origen del ataque.

Herramientas del forense digital: Las herramientas forenses digitales pueden ayudar a preservar y analizar evidencia digital de un ciberataque. Recuérdese que la proposición de diligencias como un mecanismo de instrumentalización del derecho a la defensa, existiendo una causa penal en curso, el imputado puede exigir al ministerio público, la práctica de estas diligencias de investigación para que se refuten los llamados "elementos de convicción" que obrarían en su contra. Por ello, debe responder el ministerio público motivadamente sobre la negación si fuera el caso o la aprobación de esta diligencia de investigación, porque en fase preparatoria, él tendría que desvirtuar su responsabilidad penal de los hechos que se investigan.

Servicios de expertos en seguridad cibernética: En algunos casos, puede ser necesario contratar a expertos en seguridad cibernética, para ayudar con la investigación de un ciberataque.

Servicios de expertos en Ciberseguridad: En algunos casos, puede ser necesario contratar a expertos en esta área del conocimiento humano, para ayudar con la investigación de un ciberataque.

Recuerda:

La investigación de un ciberataque es un proceso complejo que requiere experiencia técnica y habilidades de análisis.

Es importante seguir un proceso estructurado y utilizar las herramientas y recursos adecuados para identificar la fuente del ataque, su alcance y el impacto en la empresa. Y si existiera un proceso penal en curso, es importante para el esclarecimiento de los hechos, tanto al imputado y a las personas a quienes se les ha ido intervención y sus representantes, la solicitud al fiscal del ministerio público sobre la pertinencia y utilidad de dicha actividad. También, la consideración de la oportunidad y la utilidad de las mismas, a los fines de desvirtuar las imputaciones que se formulen o se pre-califiquen los delitos en la llamada fase preparatoria y a tal fines, la recolección de todos estos elementos de convicción, permitirían fundar la acusación del fiscal y preparar la defensa del imputado.

La investigación debe conducir a la erradicación del malware, la recuperación de los sistemas y la implementación de medidas de seguridad adicionales para evitar futuros ataques.