Peritaje de Telegram: diferencias técnicas y legales con WhatsApp

Introducción al escenario forense de la mensajería en 2026

La evolución de las plataformas de mensajería instantánea ha transformado radicalmente el panorama de la prueba digital en España. En 2026, nos encontramos en un punto de inflexión donde la distinción entre aplicaciones de mensajería y ecosistemas de datos en la nube se ha difuminado. Telegram, con su arquitectura distribuida y su protocolo MTProto 2.0, plantea retos significativos que difieren sustancialmente de la estructura “Mobile-First” de WhatsApp.

Para el perito informático, ya no basta con realizar una extracción física del terminal móvil. La presencia de múltiples dispositivos vinculados, el almacenamiento en la caché de aplicaciones de escritorio y la persistencia de artefactos en la nube exigen una metodología multi-vectorial. Este artículo analiza en profundidad las entrañas técnicas de ambas plataformas y su encaje en el marco legal español actual, regido por la Ley de Enjuiciamiento Civil (LEC) y el Código Penal (CP).

El peritaje informático de Telegram y WhatsApp en 2026 requiere no solo habilidades técnicas avanzadas en sistemas de archivos (Ext4, APFS, F2FS), sino también un conocimiento profundo de la criptografía aplicada y la arquitectura de microservicios. A medida que las aplicaciones implementan medidas de privacidad más agresivas, como el borrado remoto o el cifrado post-cuántico, el perito debe evolucionar hacia técnicas de “Live Forensics” y adquisición en la nube.

Análisis técnico profundo de Telegram

Arquitectura de almacenamiento: Cloud Chats vs. Secret Chats

A diferencia del peritaje forense de WhatsApp, donde la evidencia reside principalmente en el dispositivo, Telegram opera bajo dos paradigmas de seguridad y almacenamiento que el perito debe distinguir desde el primer segundo de la intervención:

1. Cloud Chats (Chats en la nube): Son el estándar de Telegram. Los mensajes se cifran entre el cliente y el servidor (Client-to-Server). Técnicamente, Telegram almacena estos mensajes en su infraestructura global. Esto permite la sincronización instantánea entre dispositivos. Desde una perspectiva forense, esto significa que la evidencia no reside exclusivamente en el hardware del teléfono, sino que es accesible mediante la nube (Cloud Forensics). El perito puede utilizar herramientas que interactúan con la API de Telegram (como TDLib) para exportar estos datos de manera íntegra, siempre que posea el token de sesión legítimo.

2. Secret Chats (Chats secretos): Utilizan cifrado de extremo a extremo (End-to-End Encryption o E2EE) basado en el protocolo Diffie-Hellman. Estos mensajes nunca tocan los servidores de Telegram en formato legible y no se sincronizan con otros dispositivos. La evidencia solo existe en los dos terminales participantes. La recuperación de estos chats tras ser borrados es, en la práctica, casi imposible si se ha ejecutado el protocolo de borrado seguro del sistema operativo. Sin embargo, en terminales Android con acceso root, a veces es posible encontrar fragmentos de estos mensajes en el archivo cache4.db o en la memoria RAM si la sesión sigue activa.

Protocolo MTProto 2.0: Desglose técnico del cifrado

En 2026, Telegram utiliza la versión 2.0 de su protocolo propietario MTProto. Este protocolo es el corazón de la plataforma y entenderlo es vital para el perito que deba testificar sobre la integridad de la prueba.

Capas de cifrado y autenticación

• Cifrado de transporte: Utiliza AES-256 en modo IGE (Infinite Garble Extensión). A diferencia del modo CBC, el modo IGE propaga errores de manera que cualquier manipulación en un bit del mensaje cifrado altera todos los bloques posteriores, garantizando la integridad de forma inherente.
• Hashing: Se utiliza SHA-256 para generar el msg_key, que depende tanto del contenido del mensaje como de una parte del secreto compartido (auth_key). Esto evita ataques de repetición (replay attacks).
• Intercambio de claves (Diffie-Hellman): El proceso implica varios pasos para generar el auth_key. El cliente envía un nonce, el servidor responde con otro nonce y un certificado RSA. Luego se intercambian los parámetros DH de forma cifrada.

El proceso de Handshake MTProto 2.0 (Paso a paso)

1. Resq_pq: El cliente solicita un número primo y un servidor de destino.
2. Res_PQ: El servidor responde con los números primos p y q y el server_nonce.
3. Req_DH_params: El cliente envía los parámetros Diffie-Hellman cifrados con la clave pública RSA del servidor.
4. Server_DH_params_ok: El servidor confirma y establece el secreto compartido.

Tabla de Algoritmos Criptográficos en MTProto 2.0

Forense de Telegram Desktop (TDesktop)

El cliente de escritorio de Telegram es una de las fuentes de evidencia más ricas en 2026. Almacena datos en local de forma mucho más persistente que las aplicaciones móviles.

Estructura de la carpeta ‘tdata’

La carpeta tdata (ubicada en %APPDATA%\Telegram Desktop en Windows o ~/.local/share/TelegramDesktop en Linux) contiene la base de la evidencia:

• Archivo ‘map’: Es un archivo cifrado que actúa como tabla de contenidos. Sin este archivo, no se pueden descifrar los bloques de datos.
• Archivos ‘D7797C2B4…’: Son bloques de datos que contienen los perfiles de usuario, los metadatos de los chats y los mensajes cacheados.
• Cifrado local: TDesktop deriva la clave del almacén local mediante PBKDF2 a partir de la contraseña de la aplicación. Si el usuario no ha puesto contraseña, el número de iteraciones es mínimo, y ésa es la diferencia práctica que decide si el descifrado es cuestión de segundos o inviable: no la existencia del cifrado, sino cuántas iteraciones lo protegen.

Análisis de la base de datos local

A diferencia de WhatsApp, Telegram Desktop no usa una base de datos SQLite estándar para todo. Utiliza una implementación personalizada de almacenamiento de pares clave-valor (Key-Value Store). Para extraer datos, el perito debe emular el entorno de TDesktop o usar scripts de descifrado específicos que conozcan la estructura de los archivos de datos mencionados.

Tabla de archivos críticos en TDesktop

Telegram Passport: Forensia de Identidad Digital

Telegram Passport permite a los usuarios almacenar documentos oficiales. Desde el punto de vista forense, esto plantea un desafío de autenticidad.

• Verificación de documentos: Cuando un usuario carga un DNI, Telegram lo cifra con una clave que solo el usuario conoce. Al compartirlo con un tercero (por ejemplo, un banco), el banco recibe el documento y un hash del mismo.
• Artefactos en el dispositivo: El perito puede buscar en la carpeta temp o en la caché de imágenes rastros de los escaneos originales de los documentos de identidad, que a menudo se guardan con metadatos EXIF que incluyen el modelo de móvil usado para la captura.

Telegram Bots y Canales: Análisis de Redes y Autoría

En 2026, los canales de Telegram pueden albergar millones de usuarios. La autoría de un mensaje en un canal se oculta tras la identidad del canal mismo.

• Identificadores de usuario (UserIDs): Son números únicos y persistentes. Aunque el usuario cambie su alias (@usuario), el ID permanece. El perito debe centrarse en documentar los IDs.
• Metadatos de mensajes en canales: Incluyen el forward_from (si el mensaje fue reenviado), lo que permite trazar el origen de una campaña de desinformación o acoso.

Análisis técnico profundo de WhatsApp

Evolución de la arquitectura Multi-dispositivo 2.0 (2026)

WhatsApp ha perfeccionado su sistema multi-dispositivo, eliminando la necesidad de que el terminal “maestro” esté conectado. Esto ha cambiado el peritaje de WhatsApp Desktop radicalmente.

El protocolo Signal (Axolotl) en múltiples dispositivos

Cada dispositivo vinculado genera su propio par de claves Identity Key, Signed Pre-Key y una lista de One-Time Pre-Keys. El servidor de WhatsApp actúa como un “Key Distribution Center”.

• Device IDs: El perito puede ver en la base de datos axolotl.db qué dispositivos han sido vinculados (PC, Tablet, Web) y cuándo se realizó la última sincronización.
• Sincronización de borrados: A diferencia de Telegram, los borrados en WhatsApp a veces tardan en propagarse a los dispositivos vinculados si estos están offline, lo que permite al perito encontrar mensajes borrados en el PC que ya no existen en el móvil.

El ecosistema SQLite en Android e iOS

Base de datos msgstore.db (Android)

Ubicada en /data/data/com.whatsapp/databases/msgstore.db.

• Tabla ‘messages’: Contiene el cuerpo del mensaje, el timestamp, el estado (enviado, recibido, leído) y las IDs de los chats.
• Tabla chat (llamada chat_list en versiones antiguas): muestra los chats activos y los archivados. El nombre depende de la versión de la aplicación, y describir un esquema que ese terminal no tiene delata que nadie abrió la base de datos.
• Archivos WAL (Write-Ahead Logging): El archivo msgstore.db-wal es vital. Contiene las transacciones pendientes. Si un mensaje se borra, el registro en el .db se marca como libre, pero el contenido original a menudo sigue presente en el .db-wal hasta que se realice un “Checkpoint”.

Tabla de Tablas Críticas en msgstore.db

Base de datos ChatStorage.sqlite (iOS)

Ubicada en el contenedor de la aplicación.

• Estructura: Similar a la de Android pero con metadatos específicos de iOS.
• Recuperación: En iOS, el perito suele depender de copias de seguridad de iTunes/Finder o de la extracción del File System completo (mediante herramientas como checkra1n o similares en versiones de 2026).

Cifrado de las copias de seguridad: crypt14 y crypt15

WhatsApp cifra las copias de seguridad con una clave de 256 bits alojada en el directorio protegido del sistema.

• Derivación de la clave: Se utiliza la contraseña del usuario (si activó backups cifrados) o una clave generada por el sistema.
• Proceso de descifrado: El perito debe extraer el archivo key mediante acceso root o mediante técnicas de “Downgrade Attack” controladas (aunque estas últimas son cada vez menos viables en 2026 debido a las protecciones de integridad del sistema operativo).

Artefactos de WhatsApp Web y Desktop

Cuando se usa WhatsApp en un navegador, no hay una base de datos SQLite tradicional. Los datos se guardan en el almacenamiento local del navegador.

• IndexedDB: Aquí se almacenan las estructuras de los chats y fragmentos de los últimos mensajes.
• Caché de medios: Las imágenes vistas se guardan en carpetas temporales con nombres ofuscados. El perito puede usar técnicas de “Carving” para recuperar estas imágenes.

Marco Legal en España (2026)

El peritaje de aplicaciones de mensajería no es solo un ejercicio técnico; es un ejercicio legal de alta precisión. La jurisprudencia ha evolucionado para cerrar el paso a pruebas obtenidas de forma ilícita o sin rigor técnico.

Artículo 326 de la Ley de Enjuiciamiento Civil (LEC): Prueba Documental Electrónica

Este artículo es la base para la presentación de chats en juicios civiles (despidos, divorcios, disputas contractuales).

• Impugnación de la prueba: impugnada la autenticidad, quien aportó el documento «podrá pedir el cotejo pericial… o proponer cualquier otro medio de prueba» (art. 326.2). De ahí que el informe pericial sea, en la práctica, la vía natural para sostenerlo.
• Y el apartado que suele olvidarse: si medió un servicio electrónico de confianza cualificado, el art. 326.4 invierte el planteamiento — se presume que el documento reúne la característica impugnada y «la carga de realizar la comprobación corresponderá a quien haya presentado la impugnación», con las costas de esa comprobación a su cargo si resulta negativa.
• Valoración de la prueba: el tribunal valora conforme a la sana crítica (art. 348 LEC). Un dictamen que documenta la cadena de custodia y los hashes es mucho más difícil de discutir que una impresión de pantalla, pero conviene no prometer irrefutabilidad: quien valora es el juzgado.

Artículo 197 del Código Penal (CP): Descubrimiento y Revelación de Secretos

El acceso no autorizado a los chats es una línea roja que el perito nunca debe cruzar.

• Tipo básico: El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus mensajes de correo electrónico o cualesquiera otros documentos o efectos personales.
• Agravantes: Si los datos descubiertos se difunden a terceros.
• Excepción: Cuando el acceso es ordenado por un juez en el marco de una investigación criminal, o cuando una de las partes de la conversación entrega voluntariamente sus propios chats (Doctrina del Tribunal Supremo).

Tabla de Penalizaciones según el Código Penal (2026)

La Admisibilidad de la Prueba en la Nube (Cloud Evidence)

En 2026, la obtención de datos de los servidores de Telegram o de los backups de iCloud/Google Drive de WhatsApp requiere un tratamiento especial.

• Orden Europea de Investigación (OEI): Utilizada para solicitar datos a empresas situadas en otros países de la UE.
• Principio de Proporcionalidad: El perito debe limitar su análisis a lo estrictamente necesario para el caso. Acceder a todos los chats privados de una persona para investigar una estafa leve puede ser considerado una vulneración de derechos fundamentales (Art. 18 CE).

Comparativa Forense Detallada: Feature-by-Feature

Doce escenarios, y qué acredita el peritaje en cada uno

Caso 1: Estafa piramidal mediante Bot de Telegram

• Objetivo: Identificar al operador de un bot que estafó 500.000€.
• Herramientas: Wireshark, TDLib Logger, Python API scripts.
• Metodología: Se analizó el tráfico saliente del dispositivo de la víctima para identificar la ID del bot. Se realizó un peritaje del código del bot mediante ingeniería inversa para demostrar que las respuestas eran fraudulentas.
• Conclusión: Se vinculó el bot con una cartera de criptomonedas específica y se trazaron las IPs de administración.

Caso 2: Coordinación de disturbios en canales masivos

• Objetivo: Atribuir mensajes de incitación a la violencia.
• Herramientas: Maltego, Telegram Metadata Scraper.
• Metodología: Extracción de metadatos de los mensajes para identificar a los “Owners” y “Admins”. Análisis de la fecha de creación de los mensajes y la zona horaria de los archivos multimedia adjuntos.
• Qué acredita: la zona horaria de los archivos adjuntos y los metadatos de creación sitúan al autor en una franja horaria concreta. Es un indicio de localización obtenido del propio material, sin necesidad de requerir datos a la plataforma.

Caso 3: Espionaje industrial vía Secret Chats

• Objetivo: Recuperar planos filtrados por un empleado.
• Herramientas: Volatility (Análisis de RAM), Belkasoft Evidence Center.
• Metodología: Adquisición física del terminal. Búsqueda de fragmentos de los planos en la memoria RAM (Live Memory Analysis) antes de apagar el dispositivo.
• Conclusión: Se recuperaron fragmentos de los chats secretos que aún residían en la caché volátil.

Caso 4: Recuperación de amenazas borradas en WhatsApp

• Objetivo: Probar amenazas en un caso de violencia de género.
• Herramientas: Magnet Axiom, SQLite Browser.
• Metodología: Análisis forense del archivo msgstore.db-wal. Se localizaron los registros de los mensajes antes de que el sistema ejecutara el borrado físico de los sectores de memoria.
• Conclusión: Se recuperaron 12 mensajes de amenazas explícitas.

Caso 5: Telegram Passport para suplantación de identidad

• Objetivo: Demostrar el uso de documentos falsos.
• Herramientas: ExifTool, HashCalc.
• Metodología: Peritaje de la cuenta de Telegram para verificar la procedencia del documento. Se encontró que el hash del documento coincidía con una filtración de datos de una gestoría previa.
• Qué acredita: que el hash del documento cargado coincide con el de un fichero procedente de una filtración anterior. La coincidencia de hash es binaria y reproducible: o los dos ficheros son idénticos o no lo son.

Caso 6: Narcotráfico y TDesktop en un portátil

• Objetivo: Acceder a chats sin el teléfono del sospechoso.
• Herramientas: TDesktop Decrypter, FTK Imager.
• Metodología: Extracción de la carpeta tdata. Uso de un script de descifrado para reconstruir el historial de chats sin necesidad de loguearse en la cuenta (evitando alterar el servidor).
• Conclusión: Se obtuvieron los registros de los pedidos de sustancias estupefacientes de los últimos 6 meses.

Caso 7: Disputa de custodia y manipulación de chats

• Objetivo: Verificar la autenticidad de capturas presentadas.
• Herramientas: UFED Physical Analyzer, Error Level Analysis (ELA).
• Metodología: Análisis forense del móvil de la madre. Se demostró que esos mensajes nunca existieron en la base de datos msgstore.db y que las capturas eran montajes realizados con una app de “Fake Chat”.
• Qué acredita: que los mensajes de las capturas no existen en la base de datos del terminal, ni siquiera como registros borrados. Demostrar la ausencia exige haber analizado el dispositivo entero, y por eso es una conclusión que una captura contraria no puede rebatir.

Caso 8: Acceso no autorizado a Telegram Web corporativo

• Objetivo: Determinar la autoría de un acceso fraudulento.
• Herramientas: EnCase, Browser History Examiner.
• Metodología: Análisis de los logs de Windows para ver quién inició sesión en el PC en ese momento. Análisis de las cookies del navegador.
• Qué acredita: quién había iniciado sesión en el equipo en el momento del acceso, según los registros del sistema operativo, y qué sesión de navegador se utilizó. Es el dato que separa «se hizo desde este PC» de «lo hizo esta persona», que son cosas distintas.

Caso 9: Metadatos de fotos “Unviewable”

• Objetivo: Recuperar fotos temporales de contenido sensible.
• Herramientas: PhotoRec, Scalpel.
• Metodología: Búsqueda en el directorio /data/media/0/Android/data/org.telegram.messenger/cache. A veces, Telegram no borra la miniatura (thumbnail) de la imagen.
• Conclusión: Se recuperaron las miniaturas que probaban el envío de material sensible.

Caso 10: Estafas vía WhatsApp Communities

• Objetivo: Rastrear al administrador de una comunidad maliciosa.
• Herramientas: Wireshark, ADB.
• Metodología: Análisis de la cadena de reenvíos del mensaje. WhatsApp marca los mensajes como “reenviado muchas veces”, lo cual se refleja en un campo binario en la base de datos.
• Conclusión: Se rastreó el origen hasta un número de teléfono virtual usado por una red de cibercrimen.

Caso 11: SIM Swapping y usurpación de cuenta

• Objetivo: Probar que el usuario no envió los mensajes tras el robo de la SIM.
• Herramientas: Google Timeline, Telegram Active Sessions log.
• Metodología: Auditoría de las sesiones de Telegram. Se identificó un inicio de sesión desde un modelo de dispositivo que el usuario nunca tuvo.
• Conclusión: Prueba fundamental para la reclamación de daños a la operadora de telefonía.

Caso 12: Borrado remoto de evidencia (Anti-forensics)

• Objetivo: Recuperar datos tras una orden de borrado remoto.
• Herramientas: Chip-off Extraction, R-Studio.
• Metodología: Análisis de los logs de la red WiFi. Se detectó la recepción del paquete de borrado. Se procedió a recuperar datos de la partición /data.
• Conclusión: Recuperación parcial pero suficiente para la acusación.

Guía Paso a Paso: Extracción Forense de TDesktop (2026)

Esta guía describe el procedimiento técnico para adquirir evidencia de la versión de escritorio de Telegram.

1. Identificación del Perfil de Usuario: Localizar la carpeta %APPDATA%\Telegram Desktop\tdata.
2. Preservación de Archivos de Clave: Copiar los archivos key_data y map. Estos contienen los secretos necesarios para el descifrado.
3. Identificación de Bloques de Datos: Buscar archivos con nombres de 16 caracteres hexadecimales (ej. D7797C2B4F...). Cada archivo representa una tabla de la base de datos interna.
4. Extracción de la Clave Maestra: Si el usuario tiene contraseña de aplicación, usar herramientas de fuerza bruta basadas en GPU sobre el hash PBKDF2 contenido en key_data.
5. Reconstrucción de la Base de Datos: Utilizar un script de mapeo para asociar los bloques de datos con su función (mensajes, contactos, configuración).
6. Exportación a JSON/HTML: Generar un informe legible para el abogado que mantenga la trazabilidad del hash de cada mensaje.

Glosario Técnico para Peritos

• Artifact (Artefacto): Cualquier rastro digital dejado por un usuario o el sistema (ej. una entrada en el registro o un archivo temporal).
• Carving (Tallado): Técnica para recuperar archivos borrados buscando sus firmas de encabezado y pie directamente en el disco.
• Checkpoint: En SQLite, la operación que vuelca los datos del archivo WAL al archivo .db principal.
• Hash (Función Resumen): Algoritmo que genera una huella única para un archivo. Si el archivo cambia un bit, el hash cambia completamente.
• Live Forensics: Análisis de un sistema mientras está encendido para capturar datos volátiles como la memoria RAM o conexiones de red.
• Unallocated Space: Espacio en el disco que no está asignado a ningún archivo, pero que puede contener restos de archivos borrados.

Mega FAQ: 50 Preguntas Técnicas y Legales

1. ¿Puede un perito leer mis mensajes si borro la cuenta? Si la cuenta se borra de los servidores, el historial de la nube desaparece. Sin embargo, los mensajes siguen residiendo en los dispositivos de tus interlocutores y en tu propio dispositivo si no se realizó un borrado seguro de la memoria.
2. ¿Es Telegram más seguro que WhatsApp? Técnicamente, WhatsApp cifra todo de extremo a extremo por defecto. Telegram solo lo hace en los “Chats Secretos”. Para el usuario medio, WhatsApp es más privado frente a la propia empresa (Meta), pero Telegram ofrece mejores herramientas para la seguridad del dispositivo.
3. ¿Qué es el archivo key de WhatsApp? Es el fichero, alojado en el directorio protegido de la aplicación, que contiene la clave AES de 256 bits con la que se descifran las copias de seguridad crypt14. Sin él, el backup es ruido. Y un matiz importante: no sirve para las copias crypt15, las de la copia de seguridad cifrada de extremo a extremo, que requieren la clave de 64 dígitos que solo tiene el titular de la cuenta.
4. ¿Se pueden recuperar chats de Telegram de hace años? Sí, si son Cloud Chats y no han sido borrados manualmente, aparecerán al loguearse en cualquier dispositivo nuevo.
5. ¿Qué validez tiene un acta notarial de un chat? El notario da fe de lo que ve (un mensaje en una pantalla), pero no de la integridad del sistema. Un perito es necesario para asegurar que la aplicación no ha sido modificada.
6. ¿Qué es un ‘Downgrade Attack’ forense? Es una técnica que consiste en instalar una versión antigua de la aplicación sobre la actual para forzar al sistema a extraer los datos de forma menos protegida.
7. ¿Cómo influye el 2FA en el peritaje? Si el usuario tiene activado el Segundo Factor de Autenticación, el perito no puede acceder a la cuenta en la nube sin esa clave adicional.
8. ¿Qué es el protocolo MTProto? Es el protocolo de comunicaciones de Telegram, diseñado para ser rápido y seguro incluso en conexiones débiles.
9. ¿Qué son los artefactos de ‘KnowledgeC.db’ en iOS? Es una base de datos de Apple que registra qué aplicaciones se usaron y durante cuánto tiempo.
10. ¿Es posible falsificar la fecha de un mensaje de WhatsApp? Un usuario puede cambiar la hora de su móvil, pero los servidores de WhatsApp y Telegram registran su propia marca de tiempo.
11. ¿Qué rastro deja una llamada de Telegram? En el dispositivo queda un registro en la tabla de llamadas con la duración y el ID del contacto.
12. ¿Se puede peritar un móvil roto? Sí, mediante técnicas de “Chip-off” o “JTAG”, siempre que la memoria no esté cifrada por hardware.
13. ¿Qué es la ‘Cadena de Custodia’ digital? Es el registro detallado de quién ha tenido acceso a la evidencia desde su incautación.
14. ¿Puede Telegram ver mis chats secretos? No. Las claves de cifrado solo residen en los dispositivos de los usuarios.
15. ¿Qué pasa si el sospechoso usa una VPN? La VPN oculta la IP real ante Telegram, pero no oculta la actividad dentro de la aplicación.
16. ¿Qué es el ‘Vacuum’ en una base de datos SQLite? Es un comando que compacta la base de datos y borra definitivamente los registros marcados para eliminar.
17. ¿Cómo se extraen los contactos de Telegram? Se encuentran en la tabla contacts de la base de datos interna.
18. ¿Qué importancia tiene el Art. 326 LEC? Es el que permite que los documentos electrónicos sean considerados prueba documental.
19. ¿Qué es el cifrado AES-IGE? Es una variante del cifrado AES usada por Telegram donde cada bloque depende del bloque cifrado anterior.
20. ¿Se puede saber si un mensaje fue reenviado? Sí, ambas aplicaciones incluyen metadatos que indican si el mensaje es original o un reenvío.
21. ¿Qué es la ‘autodestrucción’ de mensajes? Es una función que borra el mensaje tras un tiempo determinado.
22. ¿Es legal entrar en el Telegram de un hijo menor? La Sala Segunda del Tribunal Supremo ha amparado el acceso de un progenitor a las comunicaciones de un hijo menor cuando responde al deber de protección (STS 864/2015, ECLI:ES:TS:2015:5809). No es, sin embargo, una patente general: pesan la edad del menor, la existencia de un indicio real de riesgo y la proporcionalidad del acceso. Un registro indiscriminado del móvil de un adolescente sin ningún indicio no encaja en esa doctrina.
23. ¿Qué es una extracción ‘Logical Over-the-Air’? Es la obtención de datos a través de la nube usando credenciales legítimas.
24. ¿Qué herramientas usa un perito en 2026? Cellebrite UFED, Magnet Axiom, Oxygen Forensic Detective.
25. ¿Cuánto tiempo tarda un peritaje de Telegram? Suele llevar entre 5 y 15 días laborables.
26. ¿Qué es el ‘axolotl’ en WhatsApp? Es el nombre del protocolo original de cifrado de extremo a extremo.
27. ¿Puedo saber si me han bloqueado mediante peritaje? En el dispositivo del usuario no hay una marca directa, pero se deduce por la falta de estados de entrega en los metadatos de los mensajes enviados.
28. ¿Qué es el ‘Session Hijacking’ en Telegram Web? Es el robo de la cookie de sesión para acceder a los chats sin el código de SMS.
29. ¿Se borran las fotos de Telegram si borro el chat? En la nube sí, pero en la caché del móvil pueden permanecer meses.
30. ¿Es posible recuperar mensajes de un grupo abandonado? Sí, si no se borró el historial local, los mensajes siguen en el dispositivo.
31. ¿Qué es el ‘File-Based Encryption’ (FBE)? Es un sistema de cifrado donde cada archivo tiene una clave distinta, dificultando el peritaje físico.
32. ¿Qué rastro deja un ‘Bot’ en mi cuenta? Deja una entrada en la tabla de chats y registros de interacción en la base de datos de logs.
33. ¿Se puede identificar a alguien por su estilo de escritura? Sí, mediante la ‘Estilometría Forense’, una técnica lingüística que el perito puede aplicar a los chats.
34. ¿Se puede analizar la memoria RAM de un móvil? Sí, y es lo primero que se pierde: la adquisición de memoria volátil (live forensics) hay que hacerla con el terminal encendido y desbloqueado, porque al apagarlo desaparece. Es la vía por la que a veces se recuperan fragmentos de chats secretos que no están en ningún fichero.
35. ¿Es Telegram legal en España en 2026? Sí, es plenamente legal y cumple con las normativas europeas vigentes.
36. ¿Qué pasa si el sospechoso usa un alias? El perito debe buscar la vinculación entre el alias y el ID de usuario numérico único.
37. ¿Se pueden recuperar mensajes borrados ‘para todos’? En Telegram es casi imposible en la nube, pero en WhatsApp pueden quedar rastros en las notificaciones del sistema Android.
38. ¿Qué es el ‘Notification Log’? Un registro del sistema que guarda el texto de las notificaciones entrantes, a menudo útil para recuperar mensajes borrados.
39. ¿Qué importancia tiene el Art. 197.3 CP? Castiga la difusión de imágenes o mensajes privados sin consentimiento, incluso si se obtuvieron con permiso.
40. ¿Cómo se perita un canal de Telegram? Se documenta el ID del canal, sus suscriptores, administradores y la persistencia de sus mensajes mediante sellado de tiempo.
41. ¿Qué es un ‘Golden Ticket’ en forensia de nubes? Un token de acceso que permite entrar en la cuenta de backup del usuario sin su contraseña.
42. ¿Diferencia entre borrado lógico y físico? El lógico elimina la referencia del índice; el físico sobreescribe los datos con ceros.
43. ¿Qué rastro deja el uso de Telegram en un PC público? Deja artefactos en la carpeta AppData\Local\Temp y registros de ejecución en el Prefetch de Windows.
44. ¿Es posible recuperar mensajes de una cuenta suspendida? Solo si se dispone del dispositivo físico donde se inició sesión previamente.
45. ¿Qué es la ‘Triangulación Forense’? Correlacionar datos de tres fuentes: el móvil, la nube y los dispositivos de los interlocutores.
46. ¿Cómo afecta el borrado remoto a la cadena de custodia? Si ocurre tras la incautación por falta de aislamiento, puede invalidar el peritaje por negligencia.
47. ¿Qué es un ‘Hidden Volume’? Una partición oculta dentro de otra, técnica usada por delincuentes avanzados para esconder chats.
48. ¿Se puede saber el IMEI de un móvil desde Telegram? No directamente desde la aplicación, pero sí a través de los metadatos de sincronización de la cuenta de Google/Apple vinculada.
49. ¿Qué es el ‘Manifest.db’ en backups de iOS? El archivo que asocia los nombres de archivos ofuscados del backup con sus rutas originales en el iPhone.
50. ¿Cuál es el error más común en un peritaje de chats? No documentar correctamente la versión de la aplicación y el sistema operativo, lo que afecta a la interpretación de los metadatos.

Comparativa de Protocolos: WhatsApp vs Telegram

WhatsApp (Signal Protocol)

• Forward Secrecy: Si una clave de sesión se compromete, solo afecta a una pequeña cantidad de mensajes.
• Deniability: El protocolo permite que un usuario niegue haber enviado un mensaje (criptográficamente hablando).
• Cifrado por defecto: No hay opción de chats no cifrados.

Telegram (MTProto 2.0)

• Velocidad: Optimizado para la entrega rápida de archivos grandes.
• Cloud Sync: Permite tener el mismo historial en múltiples dispositivos simultáneamente.
• Secret Chats: Implementación más estricta de la privacidad local.

Metodología de Trabajo del Perito Judicial

Conclusión y Futuro del Peritaje de Mensajería

En 2026, el peritaje de Telegram y WhatsApp ha dejado de ser una tarea opcional para convertirse en el pilar de la mayoría de los procesos judiciales en España. La capacidad de un perito para navegar entre capas de cifrado, protocolos de red y marcos legales internacionales es lo que separa una prueba admisible de una simple anécdota digital.

A medida que avanzamos hacia 2027, veremos la integración de la inteligencia artificial en el análisis forense, permitiendo detectar patrones de comportamiento y falsificaciones profundas (deepfakes) dentro de los propios chats. La formación continua y el uso de metodologías regladas son las únicas garantías para un sistema judicial justo en la era digital.

Para detalles del peritaje específico de WhatsApp (qué se extrae del dispositivo, casuística por jurisdicción, plazos), consulta el hub dedicado.

Referencias y fuentes

Normativa y jurisprudencia

1. Tribunal Supremo (Sala Segunda) — STS 116/2025, de 13 de febrero (ROJ: STS 634/2025): admisibilidad de capturas de WhatsApp en proceso penal y criterios de autenticidad e integridad.
2. Ley 1/2000, de Enjuiciamiento Civil — arts. 326 y 327 (fuerza probatoria de los documentos privados e impugnación) y art. 335 (objeto y juramento del dictamen pericial).
3. Ley Orgánica 10/1995, del Código Penal — texto consolidado, arts. 197 y 197 bis (descubrimiento y revelación de secretos) y 264 y 264 bis (daños informáticos).

Estándares y metodología

4. ISO/IEC 27037:2012 — Guidelines for identification, collection, acquisition and preservation of digital evidence.
5. NIST — Guidelines on Mobile Device Forensics, SP 800-101 Rev. 1 (mayo de 2014). Es la revisión vigente: no existe una Rev. 3.
6. Casey, E. — Digital Evidence and Computer Crime: Forensic Science, Computers, and the Internet, 3.ª edición, Academic Press / Elsevier, 2011. Obra de referencia del área.

Documentación técnica de las plataformas

7. Signal Foundation — especificaciones del Signal Protocol, que es el que emplea el cifrado de extremo a extremo de WhatsApp.
8. Telegram — documentación de MTProto, el protocolo propio de Telegram, y su distinción entre chats en la nube y chats secretos.

Formación y recursos

9. EFF — Surveillance Self-Defense, guía sobre mensajería segura.
10. Mozilla Foundation — Privacy Not Included, revisión comparada de aplicaciones de mensajería.
11. SANS Institute — curso FOR585, Smartphone Forensic Analysis In-Depth.
12. EC-Council — certificación CHFI, Computer Hacking Forensic Investigator; e IACIS — programa CFCE, Certified Forensic Computer Examiner.