IoT Forense

IoT Forense: Análisis de Dispositivos Conectados

Un hogar con altavoz, timbre con cámara, cerradura conectada y un par de wearables genera más rastro que el ordenador de la casa, y casi nadie lo sabe. Cada uno de esos aparatos es un testigo digital silencioso que puede proporcionar evidencia crítica en casos de violencia doméstica, robos, stalking o disputas laborales.

El análisis forense IoT es la disciplina que extrae, preserva y analiza datos de estos dispositivos para su uso en procedimientos judiciales. Desde grabaciones de voz de altavoces inteligentes hasta patrones de movimiento de wearables, la evidencia IoT está revolucionando investigaciones civiles y penales.

Definición técnica

El IoT Forense (Internet of Things Forensics) es el proceso sistemático de identificación, adquisición, preservación, análisis y presentación de evidencia digital procedente de dispositivos conectados a Internet. Incluye:

• Extracción de datos locales: Memoria flash, firmware, logs residuales
• Análisis de tráfico de red: Comunicaciones con servidores cloud, API calls, telemetría
• Recuperación de datos cloud: Servidores Amazon/Google/Apple vinculados al dispositivo
• Correlación temporal: Sincronización de eventos entre múltiples dispositivos IoT
• Análisis de metadatos: Ubicaciones GPS, patrones de uso, comandos de voz

El desafío principal del IoT forense es la heterogeneidad de dispositivos: cada fabricante usa protocolos propietarios, cifrado customizado y arquitecturas cerradas.

Tipos de dispositivos IoT con valor forense

Proceso de análisis forense IoT

Casos de uso forenses

1. Violencia doméstica y stalking

Escenario: Denunciante sospecha que su pareja accede a su smart home para controlar su actividad.

Evidencia recuperable:

• Logs de cerraduras inteligentes Yale (accesos remotos desde app del agresor)
• Grabaciones Ring doorbell que capturan amenazas verbales
• Historial Alexa con comandos de voz comprometedores
• Ubicaciones GPS del Apple Watch de la víctima compartidas sin consentimiento

Herramientas: Alexa Voice History Downloader, Ring Video Downloader (requiere acceso legal a cuenta), GPS Visualizer para wearables.

2. Robo en vivienda

Escenario: Investigación de robo con evidencia de que los ladrones desactivaron sistema smart.

Evidencia recuperable:

• Cámaras Nest/Ring con timestamped video del robo
• Logs de desactivación de alarma smart (códigos usados)
• Sensores Philips Hue con patrones de movimiento
• Router WiFi con MACs de dispositivos conectados (móviles de ladrones)

Técnicas: Dump firmware de cámara para recuperar vídeo sobrescrito, análisis forense del router Mikrotik/Asus para logs DHCP.

3. Accidente laboral industrial

Escenario: Accidente en fábrica con sensores IIoT que registraron el evento.

Evidencia recuperable:

• Logs SCADA de PLC Siemens con alertas pre-accidente
• Telemetría de sensores de presión/temperatura anómalos
• Logs de acceso remoto VPN al sistema de control
• Registros de modificaciones de configuración no autorizadas

Complejidad: Requiere conocimiento de protocolos industriales (Modbus, OPC UA, Profinet) y colaboración con fabricante.

Desafíos técnicos del IoT forense

Herramientas forenses IoT

Extracción de firmware

## Extracción firmware via UART (Universal Asynchronous Receiver-Transmitter)
## Herramienta: Bus Pirate + minicom

## 1. Identificar pines UART en PCB (GND, TX, RX, VCC)
## 2. Conectar Bus Pirate a pines UART del dispositivo

## Configuración Bus Pirate
screen /dev/tty.usbserial 115200

## Dentro de minicom, bootear dispositivo y capturar logs
## Muchos dispositivos IoT exponen shell root sin password

## 3. Dump de particiones
cat /dev/mtdblock0 > /tmp/firmware_dump.bin

## 4. Análisis de filesystem embebido
binwalk -e firmware_dump.bin
unsquashfs squashfs-root/

Herramientas recomendadas:

• Bus Pirate: Hardware hacking de bajo nivel (€30)
• Raspberry Pi + PicoScope: JTAG/SWD debugging
• Binwalk: Análisis de firmware binaries
• Firmware Analysis Toolkit (FAT): Emulación de firmware extraído

Análisis cloud IoT

No hay API forense y conviene saberlo antes de prometer nada. Los grandes fabricantes no publican un interfaz que permita a un tercero descargar el historial de un dispositivo ajeno: la nube del IoT doméstico se abre por dos vías, y ninguna es programática.

Análisis de tráfico IoT

Marco legal español

Código Penal

Artículo 197 bis.1 CP — acceso ilícito a un sistema de información:

«El que por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años.»

Aplicación: entrar en la cuenta de Alexa, Ring o de una cerradura smart de un tercero sin su consentimiento. Nótese que el tipo castiga también mantenerse en el sistema contra la voluntad de quien puede excluirte — relevante cuando el acceso empezó siendo legítimo, como el de un excónyuge que sigue en la app de la casa.

Artículo 197 bis.2 CP — interceptación de transmisiones de datos:

«El que mediante la utilización de artificios o instrumentos técnicos, y sin estar debidamente autorizado, intercepte transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información, incluidas las emisiones electromagnéticas de los mismos, será castigado con una pena de prisión de tres meses a dos años o multa de tres a doce meses.»

Aplicación: capturar el tráfico WiFi o Zigbee de los dispositivos de un tercero sin autorización judicial.

RGPD y protección de datos

Artículo 5 RGPD - Principios de tratamiento:

• Minimización: Los dispositivos IoT solo deben recoger datos necesarios
• Limitación de finalidad: Los datos de Alexa para reconocimiento de voz no pueden usarse para perfilado publicitario sin consentimiento
• Transparencia: Fabricantes deben informar qué datos se envían a la nube

Por qué los datos de un dispositivo IoT son datos personales: no hace falta una norma específica de IoT. Se sigue del art. 4.1 RGPD, que considera dato personal toda información sobre una persona identificable «en particular mediante un identificador», y del considerando 26, que manda tener en cuenta «todos los medios, como la singularización, que razonablemente pueda utilizar el responsable (…) para identificar directa o indirectamente a la persona».

Esa palabra —singularización— es la que resuelve el caso del IoT: un patrón de encendido de luces o una serie de pulsaciones de una cerradura no llevan nombre, pero individualizan a quien vive allí. Es dato personal aunque el fabricante lo llame telemetría.

Aplicación forense: El perito debe garantizar que el acceso a datos IoT cumple RGPD (consentimiento del titular o base legal judicial). Si no, la evidencia puede ser inadmisible por vulneración de derechos fundamentales (art. 11.1 LOPJ).

Admisibilidad de evidencia IoT

Requisitos para que un juez admita evidencia IoT:

1. Cadena de custodia documentada: Desde incautación hasta análisis (art. 334 LECrim)
2. Obtención lícita: Con orden judicial o consentimiento del titular
3. Herramientas validadas: Software forense con hashes verificables (SHA-256)
4. Informe pericial completo: Explicando proceso de extracción y limitaciones técnicas

Caso práctico: Análisis forense de Amazon Echo

Escenario hipotético con fines didácticos:

Un abogado solicita análisis forense de un Amazon Echo 4 incautado en domicilio de un investigado por amenazas. Se requiere determinar si existen grabaciones de conversaciones comprometedoras.

Metodología aplicada

Qué puede sostener el perito, y qué no: que las grabaciones proceden de la cuenta requerida, que llegaron con unos metadatos concretos y que su contenido es el transcrito. Lo que ocurra después con esa prueba no es cosa suya — el art. 348 LEC somete el dictamen a las reglas de la sana crítica, y ninguna técnica compra una valoración.

Y la limitación de la sección anterior es la que más pesa aquí: el asistente solo graba a partir de la palabra de activación. Un informe que sugiera que el dispositivo «escuchaba la conversación» afirma algo que la propia arquitectura del producto desmiente, y basta con que la contraparte lo señale para que se venga abajo todo lo demás.

Tendencias futuras

1. Edge AI y procesamiento local

Los nuevos dispositivos IoT con chips de IA local (Google Tensor, Apple Neural Engine) procesan datos sin enviarlos a la nube. Impacto forense: La evidencia queda solo en dispositivo, aumentando la importancia de extracción física de firmware.

2. Matter protocol

Matter (estándar unificado de Apple/Google/Amazon) simplificará la interoperabilidad, pero también homogeneizará el cifrado end-to-end. Desafío: Más dispositivos con cifrado E2EE donde los fabricantes no pueden acceder a datos aunque exista orden judicial.

3. Wearables de salud

Los smartwatches médicos (ECG, glucosa, oxígeno) generan datos de salud especialmente protegidos (art. 9 RGPD). Implicación: Requisitos legales más estrictos para acceso forense, incluso con orden judicial.

4. Vehículos autónomos

Un vehículo con conducción asistida genera un volumen de telemetría muy superior al de cualquier otro dispositivo doméstico —cámaras perimetrales, LiDAR, GPS y sensores de dinámica—, y solo una parte se retiene. Oportunidad: Reconstrucción forense precisa de accidentes, pero desafío: Volumen masivo de datos y complejidad de protocolos propietarios.

Preguntas frecuentes adicionales

¿Cuánto tiempo almacenan los fabricantes datos IoT en cloud?

Depende del fabricante, del plan contratado y de la configuración de la cuenta, y las políticas cambian con frecuencia — varios proveedores han modificado la retención de voz y de vídeo en los últimos años. Por eso, en un peritaje, la retención no se cita de memoria: se consulta en la política vigente del proveedor y se declara la fecha de consulta.

Lo que sí puede darse por bueno como criterio de trabajo:

• La retención de vídeo suele contarse en días o pocas semanas, y a menudo depende del plan de suscripción: el mismo aparato conserva mucho menos con el plan gratuito.
• El historial de voz y de eventos suele durar más que el vídeo, y en varios servicios el titular puede configurar borrado automático o eliminarlo a mano — lo que significa que puede no existir aunque el dispositivo llevara años funcionando.
• Lo que se procesa en local no está en la nube, de modo que un requerimiento al fabricante devuelve poco o nada y la evidencia hay que buscarla en el dispositivo o en el móvil vinculado.

La consecuencia operativa es siempre la misma: preguntar por la retención antes de prometer nada, y si el incidente tiene semanas, asumir que el vídeo probablemente ya no está.

¿Es legal usar un dispositivo IoT forense para capturar tráfico WiFi ajeno?

No sin consentimiento o autorización judicial. Usar herramientas como WiFi Pineapple para crear evil twin de la red vecina y capturar tráfico IoT constituye delito de interceptación de comunicaciones (art. 197.1 CP). Incluso con orden judicial, el juez debe autorizar expresamente la interceptación de comunicaciones (auto específico, no vale el genérico de entrada y registro).

Conclusión

El análisis forense IoT es una disciplina emergente que enfrenta desafíos únicos: dispositivos heterogéneos, cifrado propietario, datos distribuidos entre local/cloud y vacíos legales. Sin embargo, los dispositivos conectados son testigos digitales invaluables en investigaciones de violencia doméstica, robos, accidentes laborales y fraudes.

Un perito informático forense especializado en IoT debe combinar habilidades técnicas (hardware hacking, análisis de firmware, sniffing de red), conocimiento legal (RGPD, Código Penal, admisibilidad de prueba) y capacidad de explicar hallazgos técnicos complejos en lenguaje comprensible para jueces y abogados.

Para casos que requieran análisis forense IoT profesional, es fundamental trabajar con un perito certificado que garantice cadena de custodia, uso de herramientas validadas y cumplimiento del marco legal español.

Cuándo interviene el perito, y con qué urgencia

Antes de nada conviene saber qué se puede esperar: en la mayoría de los casos domésticos la evidencia está en la nube y se obtiene por la cuenta, no desmontando el aparato. El trabajo del perito empieza en decidir qué pedir, a quién y con qué fundamento, y termina en un informe que declare qué acredita cada dato y qué no.

Y hay un reloj corriendo desde el primer día: el vídeo de las cámaras se conserva días o pocas semanas, y el historial de eventos puede estar configurado para borrarse solo. Cuando un procedimiento arranca meses después del hecho, buena parte de lo que se busca ya no existe — de modo que lo primero no es analizar, es pedir la conservación y exportar lo que aún esté. Lo firma un perito informático forense, que responde de la cadena de custodia ante el tribunal.