Extraccion Fisica vs Logica (Forense Movil)

Definicion en 30 segundos

La extracción fisica y la extracción lógica son los dos métodos fundamentales de adquisición forense de dispositivos móviles. La extracción fisica genera una copia bit a bit (raw dump) de toda la memoria flash del dispositivo, capturando el sistema operativo, aplicaciones, bases de datos, archivos multimedia, datos eliminados y areas no asignadas. La extracción lógica utiliza las APIs del sistema operativo (ADB en Android, iTunes/AFC en iOS) para obtener solo los datos accesibles al usuario: contactos, mensajes, fotos, registros de llamadas y datos de aplicaciones no eliminados. Existe un tercer método intermedio, la extracción de sistema de archivos (file system extraction), que accede al sistema de archivos completo sin hacer un raw dump. La eleccion entre ambos métodos depende del caso judicial, el dispositivo, el tiempo disponible y el tipo de datos que se necesitan recuperar.

Extracción fisica: copia bit a bit del almacenamiento completo

Que es la extracción fisica

La extracción fisica (también llamada adquisición fisica, physical dump o raw extraction) consiste en copiar bit a bit toda la memoria flash del dispositivo móvil. Es el equivalente forense de clonar un disco duro completo. El resultado es una imagen binaria (raw image) que contiene absolutamente todo lo almacenado en el chip de memoria, incluyendo:

• Sistema operativo completo
• Aplicaciones instaladas y sus bases de datos internas
• Archivos multimedia (fotos, videos, audios)
• Datos eliminados que no han sido sobrescritos
• Slack space (espacio residual entre archivos)
• Particiones ocultas y areas de recuperación
• Registros de actividad del sistema (logs)
• Caches de aplicaciones y navegadores
• WAL (Write-Ahead Log) de bases de datos SQLite
• Keychain/Keystore (credenciales almacenadas, si accesible)

Cómo funciona tecnicamente: 6 métodos

Ventajas de la extracción fisica

1. Recupera datos eliminados: Mensajes borrados, fotos eliminadas, conversaciones de WhatsApp borradas permanecen en el almacenamiento hasta que se sobrescriben. En mi experiencia, he recuperado mensajes eliminados hasta 6 meses atrás
2. Evidencia completa: No se puede alegar que faltan datos relevantes
3. Análisis offline: La imagen puede analizarse multiples veces sin tocar el dispositivo original
4. Timeline completo: Permite reconstruir la actividad del usuario con precisión de milisegundos
5. Hash verificable: Se calcula SHA-256 de toda la imagen, garantizando integridad
6. Independencia del SO: El análisis no depende de la versión del sistema operativo

Limitaciones de la extracción fisica

1. Cifrado completo: Dispositivos con FDE/FBE activo requieren desbloqueo previo o exploits específicos
2. Tiempo: Puede tardar de 2 a 8 horas dependiendo del almacenamiento (128 GB aprox. 3h, 512 GB aprox. 8h)
3. Root/jailbreak: Generalmente necesario, lo que puede alterar datos (documentar en cadena de custodia)
4. Coste: Herramientas cómo Cellebrite UFED cuestan 15.000+ EUR/año en licencia
5. Chip-off: Destructivo (el dispositivo puede quedar inutilizable)
6. Secure Enclave (iOS): Los iPhones con A12+ tienen protecciones de hardware que limitan la extracción fisica completa

Extracción lógica: datos accesibles via APIs

Que es la extracción lógica

La extracción lógica (también llamada adquisición lógica o logical extraction) obtiene los datos del dispositivo a través de las interfaces y APIs del sistema operativo. Es similar a conectar el teléfono al ordenador y copiar los archivos visibles. No accede al almacenamiento raw ni a datos eliminados.

Cómo funciona tecnicamente: 6 métodos

Datos tipicamente obtenidos con extracción lógica

Ventajas de la extracción lógica

1. Rapidez: 15-60 minutos frente a 2-8 horas de la fisica
2. No requiere root/jailbreak: Funciona con dispositivos con código conocido
3. No invasiva: No altera el dispositivo ni su configuración
4. Coste menor: Herramientas open source disponibles (ADB, libimobiledevice)
5. Cifrado no es obstaculo: Trabaja sobre datos ya descifrados por el sistema operativo
6. Tasa de éxito alta: 99% en Android, 95% en iOS (con código)

Tabla comparativa completa: 20 dimensiones

Matriz de decisión: cuando usar cada método

Usar extracción fisica cuando:

Usar extracción lógica cuando:

Herramientas forenses: 10 herramientas comparadas

Herramientas comerciales

Herramientas open source

Cadena de custodia: protocolo completo

Caso práctico 1: extracción fisica revela mensajes borrados en acoso laboral

Nota: Caso basado en investigación forense real. Datos anonimizados.

Situación: Demanda por acoso laboral. La víctima presento capturas de WhatsApp del acosador. El acosador nego todo y presento su móvil con los mensajes eliminados.

Proceso forense:

Caso práctico 2: iPhone bloqueado en fraude empresarial

Nota: Caso basado en investigación forense real. Datos anonimizados.

Situación: Director comercial despedido tras detectarse desviacion de clientes a empresa propia. Entrega iPhone 14 Pro (A16 Bionic) bloqueado, alegando “olvido de código”.

Desafio técnico: iPhone 14 Pro con A16. No existe exploit público para extracción fisica completa. Secure Enclave protege las claves.

Resultado: Informe pericial documento exfiltración de 87 clientes durante 14 meses. Sentencia favorable por competencia desleal (art. 8-14 LCD). Indemnizacion: 340.000 EUR.

Caso práctico 3: chip-off en móvil sumergido (homicidio)

Nota: Caso basado en investigación forense real. Datos anonimizados.

Situación: Investigación de homicidio. Samsung Galaxy A52 recuperado del rio tras 72 horas sumergido. Pantalla destruida, no enciende.

Datos críticos recuperados:

• Historial GPS con presencia del sospechoso en ubicacion del crimen
• 47 mensajes WhatsApp con la víctima en las 24h previas
• 3 fotos geoetiquetadas en la ubicacion a la hora del delito
• Busquedas en Google relacionadas con ocultacion de evidencia

Resultado: La evidencia digital fue determinante para la acusacion. Chip-off: única opcion viable. Honorario: 3.200 EUR (chip-off + análisis completo).

Precios orientativos en España (2026)

Marco legal: admisibilidad en España

LECrim

• Art. 588 sexies a): Autorización judicial para registro de dispositivos informáticos en via penal.
• Art. 588 sexies b): La extracción debe realizarse con garantias de integridad.
• Art. 588 sexies c): Principio de proporcionalidad. No se puede “pescar” indiscriminadamente.

LEC

• Art. 299.2: Admite instrumentos que permiten archivar y conocer datos.
• Art. 382-384: Prueba por instrumentos informáticos. El perito ratifica.

Jurisprudencia clave

• STC 115/2013: Registro de móvil requiere autorización judicial (art. 18.1 y 18.3 CE).
• STS 204/2016: Acceso a contenido de teléfono sin autorización judicial inválida la prueba.
• STS 629/2025: Flexibiliza admision de prueba digital, mantiene exigencia de cadena de custodia.
• STS 489/2018: Distingue entre incautacion del dispositivo y registro del contenido.
• STEDH Barbulescu v. Rumania (2017): Límites al control de comunicaciones de empleados.

Autorización judicial: cuando es necesaria

Preguntas relacionadas

1. Puedo hacer una extracción fisica de mi propio teléfono?

Si. Cómo propietario del dispositivo, puedes realizar o encargar una extracción fisica de tu propio teléfono sin necesidad de autorización judicial. Esto es útil para preservar evidencia antes de presentar una denuncia o demanda: si recibes amenazas por WhatsApp y temes que el agresor las borre remotamente, la extracción preserva esa evidencia. Lo que no puedes hacer es extraer datos del teléfono de otra persona sin su consentimiento o autorización judicial (art. 197 CP, descubrimiento y revelacion de secretos, pena 1-4 años). Cómo perito, recomiendo realizar la extracción lo antes posible para maximizar la recuperación de datos eliminados, ya que cada día que pasa aumenta la probabilidad de que los datos se sobrescriban.

2. La extracción fisica funciona en iPhones modernos?

Depende del modelo y las circunstancias. Los iPhones con chip A12 o posterior (iPhone XS en adelante, toda la linea desde 2018) tienen protecciones de hardware (Secure Enclave) que dificultan la extracción fisica completa. Cellebrite Premium y GrayKey pueden realizar extracción de sistema de archivos (file system) en la mayoria de modelos hasta A16 con el código de desbloqueo conocido y el dispositivo en estado AFU (After First Unlock, es decir, desbloqueado al menos una vez desde el último encendido). Para iPhones A11 o anteriores (iPhone X, 8, 7, 6s, SE 1a gen), el exploit checkm8 permite extracción fisica completa independientemente de la versión de iOS. La situación evoluciona constantemente: cada actualización de iOS puede cerrar o abrir vectores de acceso.

3. Que pasa si el móvil esta roto o danado?

Si la pantalla esta rota pero el chip de memoria esta intacto, la extracción fisica es posible mediante JTAG (acceso a pines de depuracion) o chip-off (desoldado del chip). El chip-off es un procedimiento destructivo pero permite leer directamente los datos del chip NAND/eMMC. Para dispositivos sumergidos en agua, la probabilidad de recuperación depende del tiempo de exposición, el tipo de agua (dulce vs salada) y si se produjo cortocircuito en el chip de memoria. En mi experiencia, la tasa de éxito de chip-off en dispositivos danados fisicamente es del 60-75%. El coste del chip-off (1.500-3.500 EUR) se justifica en casos graves donde la evidencia del móvil es crítica, cómo homicidios, agresiones sexuales o fraudes de gran cuantia.

4. Cuanto cuesta una extracción forense de móvil?

En España, los costes orientativos para 2026 son: extracción lógica básica (400-800 EUR), extracción de sistema de archivos (600-1.200 EUR), extracción fisica completa (800-2.000 EUR), chip-off (1.500-3.500 EUR). El análisis posterior y la elaboración del informe pericial se facturan aparte (400-1.500 EUR según complejidad). La ratificación judicial tiene un coste adicional de 300-600 EUR. Un servicio completo (extracción + análisis + informe + ratificación) oscila entre 2.000 y 5.000 EUR. El precio depende del tipo de dispositivo (iPhone vs Android), el método de extracción necesario y el volumen de datos a analizar.

5. Se puede saber si alguien ha hecho una extracción de mi móvil?

En teoria, una extracción lógica via ADB o iTunes no deja rastros visibles para el usuario común. Sin embargo, un perito experimentado puede detectar indicadores: activacion del modo desarrollador (Android), certificados de confianza anadidos (iOS), root/jailbreak residual, timestamps de acceso modificados en archivos del sistema, o registros de conexión USB en los logs. En iOS, el “lockdown record” registra cada ordenador de confianza. Herramientas cómo MVT (Mobile Verification Toolkit) de Amnesty International pueden detectar indicios de acceso forense o spyware cómo Pegasus o Predator.

6. Que diferencia hay entre extracción fisica, lógica y cloud?

La extracción fisica copia la memoria del dispositivo (datos locales + eliminados). La extracción lógica obtiene datos visibles via APIs. La cloud extraction descarga datos sincronizados en la nube (iCloud, Google Drive, WhatsApp backup, Samsung Cloud). Los tres métodos son complementarios: un análisis forense completo deberia combinar los tres para obtener la imagen más completa posible. Los datos de la nube pueden incluir mensajes de dispositivos anteriores ya no disponibles fisicamente, fotos sincronizadas desde otros dispositivos y backups históricos. En mi práctica, combino las tres fuentes en el 70% de mis peritajes para maximizar la evidencia recuperada y reforzar la autenticidad mediante correlación cruzada entre fuentes independientes.

Referencias y fuentes

1. NIST SP 800-101 Rev. 1. “Guidelines on Mobile Device Forensics”. National Institute of Standards and Technology, 2014. DOI: 10.6028/NIST.SP.800-101r1

2. Cellebrite. (2025). “UFED Premium - Mobile Forensic Extraction Solution”. Documentación técnica oficial. Petah Tikva, Israel.

3. Grayshift/Magnet. (2025). “GrayKey Full Extraction Capabilities - Supported Devices Matrix”. Atlanta, USA.

4. SWGDE. (2024). “Best Practices for Mobile Device Evidence Collection and Preservation”. Scientific Working Group on Digital Evidence.

5. Ley Orgánica 13/2015, de 5 de octubre, de modificación de la LECrim. Artículos 588 sexies a-c. BOE num. 239.

6. Tribunal Constitucional. STC 115/2013. Registro de dispositivos móviles y derechos fundamentales.

7. Tribunal Supremo. STS 204/2016 (Sala 2a). Nulidad de prueba obtenida de móvil sin autorización judicial.

8. Tribunal Supremo. STS 489/2018 (Sala 2a). Distinción entre incautacion y registro de contenido.

9. ISO/IEC 27037:2012. “Guidelines for identification, collection, acquisition and preservation of digital evidence”.

10. SANS Institute. (2025). “Advanced Smartphone Forensics - FOR585”. Materiales de referencia sobre forense móvil.

11. Oxygen Forensics. (2025). “Mobile Forensic Extraction Methods Compared”. Análisis comparativo.

12. CGPJ. (2024). “Memoria Anual 2024 - Estadisticas sobre prueba digital”. Madrid.

13. TEDH. Barbulescu v. Rumania (Gran Sala, 2017). ECLI:CE:ECHR:2017:0905JUD006149608.

14. checkm8/checkra1n Project. (2025). “iOS Bootrom Exploit: Supported Devices”. Documentación técnica.

Última actualización: Marzo 2026 Categoria: Análisis Forense (FOR-046) Nivel técnico: Avanzado Relevancia: Muy Alta (el móvil es la fuente de evidencia #1 en procedimientos judiciales)