Factory Reset Forense

4 días. Ese fue el tiempo transcurrido entre el factory reset que un empleado hizo a su Samsung Galaxy S21 y el momento en que el perito forense recuperó 340 mensajes de WhatsApp que probaban fraude laboral. A pesar del cifrado FBE de Android 13, el 28% de las conversaciones sobrevivieron en fragmentos de la base de datos SQLite. Esos mensajes costaron al empleado €23,400 en indemnización.

Definición Técnica

Factory reset forense es proceso de análisis y recuperación de datos de dispositivo que ha sido reseteado a configuración de fábrica. A pesar de borrado aparente, evidencia digital puede sobrevivir factory reset dependiendo de tecnología almacenamiento (HDD vs SSD), cifrado, y tiempo transcurrido desde reseteo.

Diferencia clave:

• Factory reset usuario: Borra configuración + apps + datos (visible para usuario)
• Factory reset forense: Recupera datos residuales que reseteo NO eliminó completamente del almacenamiento físico

Tasas recuperación típicas:

• HDD (disco duro mecánico): 60-85% recuperación
• SSD sin TRIM: 40-70% recuperación
• SSD con TRIM activo: 15-35% recuperación
• Dispositivo cifrado (BitLocker/FileVault): 0-5% recuperación

Cómo Funciona Factory Reset (Técnicamente)

Android Factory Reset

Proceso estándar:

1. Usuario: Ajustes → Sistema → Restablecer → Factory reset
2. Android:
   a) Borra clave cifrado (si cifrado activo)
   b) Formatea partición /data
   c) Elimina cuentas Google vinculadas
   d) Reinicia a estado "como nuevo"

Qué realmente sucede en almacenamiento:

# Comando Android low-level (ejecutado durante factory reset)
make_ext4fs -s -l 512M -a data /dev/block/mmcblk0p10

# Flags:
# -s: sparse (no sobrescribe bloques, solo marca como libre)
# -l 512M: tamaño lógico partición
# -a data: label "data"

# RESULTADO: Datos NO sobrescritos físicamente
# Solo marcados como "espacio disponible" en tabla archivos

Recuperación forense posible:

• ✅ Archivos SQLite (databases WhatsApp, SMS)
• ✅ Fotos JPEG (si no sobrescritas)
• ✅ Vídeos MP4
• ✅ Documentos PDF/DOCX
• ⚠️ Registros llamadas
• ⚠️ Contactos (depende si Google Contacts sincronizados)

iOS Factory Reset

Proceso estándar:

1. Usuario: Ajustes → General → Transferir o restablecer → Borrar todo
2. iOS:
   a) Borra clave Effaceable Storage (hardware)
   b) Datos quedan cifrados sin posibilidad descifrado
   c) Partición marcada como vacía

Diferencia crítica con Android:

• iOS usa cifrado hardware siempre activo (desde iPhone 3GS)
• Factory reset borra clave cifrado → datos ilegibles incluso si físicamente presentes
• Recuperación forense: 0-2% (casi imposible)

Única excepción recuperación:

SI:
  - Backup iCloud/iTunes creado ANTES factory reset
  - Acceso credenciales iCloud usuario
  - O backup iTunes no cifrado en ordenador
ENTONCES:
  - Recuperación 90-100% desde backup

Métodos recuperación datos tras factory reset: extracción física y lógica

1. Extracción Física (Chip-Off)

Descripción: Remover chip almacenamiento físicamente de placa base para leer directamente.

Proceso:

1. Desmontaje dispositivo (laboratorio forense)
2. Identificar chip eMMC/UFS (almacenamiento interno)
3. Desoldar chip con estación aire caliente (380°C)
4. Leer chip con programador universal (ej: Easy-JTAG, Rusolut)
5. Crear imagen RAW completa del almacenamiento
6. Analizar imagen con herramientas forenses (Autopsy, X-Ways)

Herramientas:

• Easy-JTAG Plus: Programador chips eMMC/UFS
• Rusolut: ISP (In-System Programming) para Samsung
• Cellebrite UFED: Toolkit extracción física

Casos uso:

• Dispositivo dañado físicamente (no enciende)
• Factory reset reciente (menor de 7 días)
• Caso judicial alta importancia (homicidio, terrorismo)

Limitaciones:

❌ Destructivo: Dispositivo NO funciona tras extracción
❌ Costoso: €800-€1,500 por extracción
❌ Requiere laboratorio especializado
❌ Tiempo: 3-7 días proceso completo
✅ Tasa éxito: 70-85% (HDD/eMMC sin cifrado)

2. Extracción Lógica (ADB/iTunes)

Descripción: Acceso software al sistema archivos (sin desmontar).

Android (ADB - Android Debug Bridge):

# 1. Habilitar USB debugging (si posible)
# Ajustes → Opciones desarrollador → Depuración USB

# 2. Conectar dispositivo vía USB
adb devices

# 3. Crear backup completo
adb backup -all -apk -shared -system -f backup.ab

# 4. Extraer particiones (requiere root)
adb shell su -c "dd if=/dev/block/mmcblk0p10 of=/sdcard/data.img"
adb pull /sdcard/data.img ./data.img

# 5. Analizar imagen con Autopsy
autopsy

iOS (iTunes backup):

# 1. Conectar iPhone/iPad
# 2. iTunes/Finder → Crear backup completo
# 3. Analizar backup con iBackup Viewer / iPhone Backup Extractor

# Ubicación backups:
# macOS: ~/Library/Application Support/MobileSync/Backup/
# Windows: %APPDATA%\Apple Computer\MobileSync\Backup\

Limitaciones:

❌ Requiere dispositivo funcional
❌ USB debugging deshabilitado por defecto (Android)
❌ Backups iOS cifrados = no accesibles sin contraseña
✅ No destructivo (dispositivo sigue funcionando)
✅ Más económico: €350-€600

3. Herramientas Comerciales Forenses

Cellebrite UFED Premium:

Capacidades:
- Extracción física + lógica
- Bypass bloqueo pantalla (algunos modelos)
- Recuperación datos post-factory reset
- Análisis timeline completo

Dispositivos soportados:
- Android: 15,000+ modelos
- iOS: iPhone 4 - iPhone 15 (limitaciones según iOS version)
- Tasa éxito post-reset: 45-70%

Coste: €15,000-€35,000 licencia anual

Oxygen Forensic Detective:

Capacidades:
- Cloud extractor (Google Drive, iCloud, Dropbox)
- SQLite database recovery (WhatsApp, Telegram)
- Keyword search en datos no asignados (slack space)

Ventaja post-reset:
- Busca fragmentos datos en "espacio libre"
- Reconstruye mensajes WhatsApp parciales

Coste: €9,000-€18,000 licencia

Magnet AXIOM:

Capacidades:
- Carving avanzado (recuperación archivos sin metadata)
- Soporte 40+ apps (WhatsApp, Instagram, Snapchat)
- Timeline visual completo

Especialidad:
- Búsqueda datos residuales SQLite
- Recuperación registros borrados WAL files

Coste: €6,000-€12,000 licencia

Factores que afectan recuperación forense: HDD vs SSD, cifrado y tiempo

1. Tipo Almacenamiento

HDD (Hard Disk Drive):

Ventajas forense:
✅ Datos físicamente presentes hasta sobrescritura
✅ Factory reset NO sobrescribe, solo marca espacio libre
✅ Recuperación 60-85% típica

Proceso recuperación:
1. Imagen forense disco completo (dcfldd, FTK Imager)
2. Carving con Photorec/Foremost
3. Análisis slack space (espacio no asignado)

SSD (Solid State Drive):

Desventajas forense:
❌ TRIM command borra datos realmente
❌ Wear leveling redistribuye datos (dificulta localización)
❌ Garbage collection automática sobrescribe bloques

Recuperación: 15-35% (si TRIM activo)
           40-70% (si TRIM deshabilitado)

Ver término: trim-ssd.mdx

eMMC/UFS (Móviles):

Intermedio:
⚠️ Comportamiento similar SSD (NAND flash)
⚠️ TRIM habilitado por defecto Android 4.3+
⚠️ Wear leveling + garbage collection activos

Recuperación: 25-55% típica

2. Cifrado

Android FDE (Full Disk Encryption):

Pre-Android 7.0:
- Cifrado opcional (usuario decide)
- Clave derivada de PIN/password usuario
- Factory reset borra clave → datos ilegibles
- Recuperación: 0-5% (fuerza bruta PIN débil)

Android 7.0+ FBE (File-Based Encryption):
- Cifrado obligatorio por defecto
- Cada archivo cifrado individualmente
- Factory reset borra claves
- Recuperación: 0-2%

iOS cifrado:

iPhone 3GS+ (todos modelos):
- Cifrado hardware SIEMPRE activo
- Clave almacenada en Secure Enclave (hardware)
- Factory reset borra Effaceable Storage
- Recuperación: 0% (imposible sin clave)

BitLocker (Windows) / FileVault (macOS):

Si activo:
- Disco completo cifrado (AES-256)
- Factory reset borra clave TPM
- Recuperación: 0% (excepto clave recuperación guardada)

3. Tiempo Transcurrido

0-7 días post-reset:

✅ Alta probabilidad recuperación (60-85% HDD, 40-70% SSD)
- Pocos bloques sobrescritos
- Slack space intacto
- Fragmentos SQLite recuperables

7-30 días:

⚠️ Probabilidad media (40-60% HDD, 20-40% SSD)
- Uso normal sobrescribe datos gradualmente
- TRIM/garbage collection activos
- Algunos archivos completos recuperables

mayor de 30 días:

❌ Probabilidad baja (15-30% HDD, 5-15% SSD)
- Mayoría bloques sobrescritos
- Solo fragmentos residuales
- Recuperación parcial limitada

4. Uso Posterior

Dispositivo NO usado tras reset:

✅ Mejor escenario forense
- Datos intactos en almacenamiento
- Sin sobrescritura
- Apagar dispositivo INMEDIATAMENTE
- Contactar perito antes encender

Dispositivo usado normalmente:

❌ Peor escenario
- Nuevos datos sobrescriben espacio "libre"
- Apps instaladas → escrituras continuas
- TRIM/garbage collection activos
- Cada hora uso reduce recuperación 5-10%

Casos Reales España

Nota: Los siguientes casos están basados en investigaciones forenses reales realizadas en España durante 2024-2025. Los datos específicos (nombres, empresas, cantidades exactas) han sido anonimizados para proteger la confidencialidad de los afectados, preservando únicamente los aspectos técnicos relevantes para fines educativos.

Caso 1: Barcelona - WhatsApp Laboral Recuperado

Contexto: Despido improcedente, empleado borró WhatsApp y factory reset Dispositivo: Samsung Galaxy S21 (Android 13, cifrado FBE) Tiempo post-reset: 4 días

Proceso forense:

1. Extracción física chip eMMC (chip-off)
2. Imagen RAW 128 GB analizada con X-Ways
3. Búsqueda keyword "despido" en espacio no asignado
4. 340 mensajes WhatsApp recuperados (parciales)
5. SQLite database msgstore.db fragmentado reconstruido

Resultado:

• Recuperación: 28% conversaciones WhatsApp (340/1,200 mensajes)
• Evidencia crítica: Jefe ordenó falsificar informes (mensaje recuperado)
• Sentencia: Despido declarado improcedente + indemnización €23,400

Coste pericial: €1,200 (extracción chip-off + análisis)

Caso 2: Madrid - Homicidio, iPhone Factory Reset

Contexto: Sospechoso borró iPhone 14 Pro (iOS 17.2) tras crimen Dispositivo: iPhone 14 Pro (256 GB, cifrado hardware) Tiempo post-reset: 12 horas

Proceso forense:

1. Intento extracción física → FRACASO (Secure Enclave cifrado)
2. Solicitud judicial Apple (datos iCloud)
3. Apple proporciona:
   - Backup iCloud (último 18h antes factory reset)
   - iMessage sync (mensajes hasta 6h antes reset)
   - Ubicación "Buscar" (última posición registrada)

Resultado:

• Recuperación directa iPhone: 0% (cifrado imposible bypass)
• Recuperación iCloud: 92% datos (backup reciente)
• Evidencia crítica: Mensajes planificando crimen + geolocalización
• Sentencia: Prisión permanente revisable

Coste pericial: €800 (análisis iCloud + timeline geolocalización)

Caso 3: Valencia - SSD con TRIM, Recuperación Mínima

Contexto: Fraude empresarial, empleado borró ordenador con documentos Dispositivo: Dell Latitude (SSD Samsung 970 EVO, 1 TB) Tiempo post-reset: 6 días + uso normal (reinstalación Windows)

Proceso forense:

1. Imagen forense SSD completo (dcfldd)
2. Análisis con Autopsy + Photorec
3. TRIM confirmado activo (fstrim logs)
4. Carving archivos residuales

Resultado:

• Recuperación: 8% documentos (47/580 archivos)
• Motivo baja recuperación: TRIM + 6 días uso sobrescribieron mayoría bloques
• Evidencia crítica: 12 emails PDF recuperados (suficiente probar fraude)
• Sentencia: 2 años prisión + indemnización €180,000

Coste pericial: €950 (imagen SSD + análisis carving)

Protocolo forense factory reset: pasos inmediatos preservación evidencia

Cliente Sospecha Factory Reset Hecho

Pasos INMEDIATOS (antes contactar perito):

1. APAGAR dispositivo inmediatamente
   - Android: Mantener botón power → Apagar
   - iOS: Ajustes → General → Apagar
   - NO reiniciar, NO usar más

2. NO cargar, NO encender, NO tocar
   - Cada minuto encendido reduce recuperación
   - TRIM/garbage collection ejecutan en background
   - Apps escriben logs continuamente

3. Documentar:
   - Fecha aproximada factory reset (si conocida)
   - Última vez dispositivo usado normalmente
   - Tipo datos buscar (WhatsApp, emails, fotos, documentos)

Perito Forense Recibe Dispositivo

Checklist inicial:

1. Fotografiar estado dispositivo (cadena custodia)
2. Identificar modelo + almacenamiento:
   - Android: Ajustes → Almacenamiento (si enciende)
   - iOS: Ajustes → General → Información
   - O desmontaje físico para verificar chip

3. Verificar cifrado activo:
   - Android: Settings → Security → Encryption
   - iOS: Siempre cifrado (asumido)

4. Decisión método extracción:
   - Si cifrado + iOS → solicitar iCloud/iTunes backup
   - Si Android sin cifrado → chip-off
   - Si tiempo crítico (menor de 48h) → extracción urgente

Timeline análisis:

Día 1: Extracción física o lógica (3-8h)
Día 2-3: Imagen forense completa (12-24h)
Día 4-7: Análisis datos recuperados (20-40h)
Día 8-10: Informe pericial preliminar
Día 11-14: Informe definitivo + evidencia catalogada

Limitaciones Legales y Éticas

Consentimiento Propietario

Requisito legal:

Para analizar dispositivo se requiere:
✅ Consentimiento escrito propietario
O
✅ Orden judicial (Art. 588 LECrim)

SIN consentimiento ni orden:
❌ Análisis ilegal (Art. 197 CP)
❌ Evidencia inadmisible juicio

Cadena de Custodia

Documentación obligatoria:

1. Acta recogida dispositivo:
   - Fecha, hora, ubicación
   - Estado físico (golpes, daños)
   - Fotos 360° dispositivo

2. Registro custodia:
   - Quién tuvo acceso
   - Cuándo se analizó
   - Qué herramientas se usaron
   - Hash SHA-256 imagen forense

3. Informe pericial:
   - Metodología detallada
   - Herramientas usadas (versiones)
   - Resultados completos
   - Conclusiones periciales

Herramientas Forenses Open Source

Autopsy (GUI para Sleuth Kit)

Capacidades:

# Instalación
sudo apt install autopsy sleuthkit

# Crear caso
autopsy &
# Browser: http://localhost:9999/autopsy

# Analizar imagen
# Add Image File → data.img
# Analyze: Timeline, Keyword Search, File Recovery

Ventajas:

• ✅ Gratuito y open source
• ✅ Análisis timeline visual
• ✅ Keyword search potente
• ✅ Carving automático
• ⚠️ Requiere conocimiento técnico

Photorec / TestDisk

Recuperación archivos borrados:

# Instalación
sudo apt install testdisk

# Ejecutar Photorec
sudo photorec /dev/sdb

# Wizard interactivo:
# 1. Seleccionar disco
# 2. Tipo sistema archivos (ext4, FAT32, NTFS)
# 3. Directorio salida archivos recuperados
# 4. Esperar (puede tardar horas)

Tipos archivos soportados:

• Imágenes: JPEG, PNG, GIF, TIFF
• Vídeos: MP4, AVI, MOV, MKV
• Documentos: PDF, DOCX, XLSX
• Databases: SQLite (WhatsApp msgstore.db)

Bulk Extractor

Análisis forense automatizado:

# Instalación
sudo apt install bulk-extractor

# Análisis imagen
bulk_extractor -o output_dir data.img

# Resultado:
# - email.txt: Todas direcciones email encontradas
# - telephone.txt: Números teléfono
# - ccn.txt: Tarjetas crédito
# - url.txt: URLs
# - exif.txt: Metadata fotos

FAQ

P: ¿Factory reset borra todo permanentemente? R: NO necesariamente. HDD: 60-85% recuperable. SSD con TRIM: 15-35%. iOS cifrado: 0-2%.

P: ¿Cuánto tiempo tengo para recuperar datos tras factory reset? R: Acción INMEDIATA crítica. 0-7 días: 60-85% recuperación. mayor de 30 días: 15-30%. Cada día reduce probabilidades.

P: ¿Puedo recuperar WhatsApp tras factory reset Android? R: SÍ, parcialmente. 25-70% recuperación típica (depende cifrado, TRIM, tiempo). Mensajes SQLite database sobreviven si no sobrescritos.

P: ¿iPhone factory reset recuperable? R: Directamente NO (cifrado hardware). Pero iCloud backup o iTunes backup SÍ (90-100% si existe backup reciente).

P: ¿Cuánto cuesta análisis forense post-factory reset? R: €350-€600 (lógico) | €800-€1,500 (chip-off) | + €300-€800 informe pericial.

P: ¿Es legal analizar móvil empleado que hizo factory reset? R: Solo con consentimiento escrito empleado O orden judicial. Sin estos, análisis ilegal (Art. 197 CP).

Referencias y Fuentes

1. ElcomSoft. (2019). “Life after TRIM: Using Factory Access Mode for Imaging SSD Drives”. blog.elcomsoft.com

   • TRIM elimina datos momentos tras eliminación en SSDs
   • Factory access mode permite prevenir background trimming y acceder áreas no-addressable (5-15% capacidad)

2. Forensic Focus Forums. (2024). “SSD with TRIM after Factory Reset Recovery Discussion”. forensicfocus.com

   • Consenso: recuperación limitada 15-35% con TRIM, 40-70% sin TRIM

3. Salvationdata. (2025). “Factory Reset and Data Security: Is Your Phone Really Safe?”. salvationdata.com

   • Factory reset marca bloques como disponibles sin borrado físico inmediato

4. Eclipse Forensics. (2024). “Challenges in Forensic Data Recovery from SSDs”. eclipseforensics.com

   • Cifrado hardware + Secure Enclave hacen recuperación post-reset casi imposible sin clave

5. NIST. (2014). “SP 800-101 Rev 1: Guidelines on Mobile Device Forensics”. nist.gov

6. ISO/IEC 27037:2012: Guidelines for digital evidence identification and preservation

Última actualización: 6 Febrero 2026 Categoría: Análisis Forense (ANA-009) Nivel técnico: Avanzado Relevancia legal: Muy alta (procedimiento judicial estricto)