Extracción Fisica vs Logica (Forense Móvil)

Definición en 30 segundos

La extracción física y la extracción lógica son los dos métodos fundamentales de adquisición forense de dispositivos móviles. La extracción física genera una copia bit a bit (raw dump) de toda la memoria flash del dispositivo, capturando el sistema operativo, aplicaciones, bases de datos, archivos multimedia, datos eliminados y áreas no asignadas. La extracción lógica utiliza las APIs del sistema operativo (ADB en Android, iTunes/AFC en iOS) para obtener solo los datos accesibles al usuario: contactos, mensajes, fotos, registros de llamadas y datos de aplicaciones no eliminados. Existe un tercer método intermedio, la extracción de sistema de archivos (file system extraction), que accede al sistema de archivos completo sin hacer un raw dump. La elección entre ambos métodos depende del caso judicial, el dispositivo, el tiempo disponible y el tipo de datos que se necesitan recuperar.

Extracción física: copia bit a bit del almacenamiento completo

Qué es la extracción física

La extracción física (también llamada adquisición física, physical dump o raw extraction) consiste en copiar bit a bit toda la memoria flash del dispositivo móvil. Es el equivalente forense de clonar un disco duro completo. El resultado es una imagen binaria (raw image) que contiene absolutamente todo lo almacenado en el chip de memoria, incluyendo:

• Sistema operativo completo
• Aplicaciones instaladas y sus bases de datos internas
• Archivos multimedia (fotos, vídeos, audios)
• Datos eliminados que no han sido sobrescritos
• Slack space (espacio residual entre archivos)
• Particiones ocultas y áreas de recuperación
• Registros de actividad del sistema (logs)
• Caches de aplicaciones y navegadores
• WAL (Write-Ahead Log) de bases de datos SQLite
• Keychain/Keystore (credenciales almacenadas, si accesible)

Cómo funciona técnicamente: 6 métodos

Ventajas de la extracción física

1. Recupera datos eliminados: mensajes borrados, fotos eliminadas o conversaciones de WhatsApp pueden permanecer en el almacenamiento hasta que se sobrescriben; cuánto tiempo depende del uso del dispositivo y del espacio libre.
2. Evidencia completa: No se puede alegar que faltan datos relevantes
3. Análisis offline: La imagen puede analizarse múltiples veces sin tocar el dispositivo original
4. Reconstrucción temporal: permite ordenar la actividad con la resolución que registre cada artefacto; el timestamp refleja cuándo el sistema escribió el dato, no necesariamente la acción de una persona, y debe interpretarse con su zona horaria y su margen
5. Hash verificable: se calcula el SHA-256 de la imagen, lo que permite comprobar después su integridad frente al valor documentado (no acredita por sí solo el origen ni el alcance de la adquisición)
6. Análisis offline sobre la imagen: una vez adquirida, la imagen se analiza sin volver a tocar el dispositivo (la adquisición sí depende del hardware, el OS, el cifrado y el estado de bloqueo)

Limitaciones de la extracción física

1. Cifrado completo: Dispositivos con FDE/FBE activo requieren desbloqueo previo o exploits específicos
2. Tiempo: Puede tardar de 2 a 8 horas dependiendo del almacenamiento (128 GB aprox. 3h, 512 GB aprox. 8h)
3. Root/jailbreak: Generalmente necesario, lo que puede alterar datos (documentar en cadena de custodia)
4. Coste: las herramientas comerciales de extracción (Cellebrite, Magnet, Oxygen…) tienen licencias anuales elevadas; el importe concreto depende del producto y del contrato y no se publica de forma abierta
5. Chip-off: Destructivo (el dispositivo puede quedar inutilizable)
6. Secure Enclave (iOS): Los iPhones con A12+ tienen protecciones de hardware que limitan la extracción física completa

Extracción lógica: datos accesibles via APIs

Qué es la extracción lógica

La extracción lógica (también llamada adquisición lógica o logical extraction) obtiene los datos del dispositivo a través de las interfaces y APIs del sistema operativo. Es similar a conectar el teléfono al ordenador y copiar los archivos visibles. No accede al almacenamiento raw ni a datos eliminados.

Cómo funciona técnicamente: 6 métodos

Datos típicamente obtenidos con extracción lógica

Ventajas de la extracción lógica

1. Rapidez: 15-60 minutos frente a 2-8 horas de la física
2. No requiere root/jailbreak: Funciona con dispositivos con código conocido
3. No invasiva: No altera el dispositivo ni su configuración
4. Coste menor: Herramientas open source disponibles (ADB, libimobiledevice)
5. Trabaja sobre datos accesibles al usuario: obtiene lo que el sistema ya expone; el cifrado no desaparece —si el dispositivo no está desbloqueado o la app cifra por su cuenta, esos datos no se obtienen—
6. Tasa de éxito alta: 99% en Android, 95% en iOS (con código)

Tabla comparativa completa: 20 dimensiones

Matriz de decisión: cuando usar cada método

Usar extracción física cuando:

Usar extracción lógica cuando:

Herramientas forenses: 10 herramientas comparadas

Herramientas comerciales

Herramientas open source

Cadena de custodia: protocolo completo

Caso práctico 1: extracción física revela mensajes borrados en acoso laboral

Nota: escenario ilustrativo con datos sintéticos. La secuencia técnica refleja la práctica pericial; los importes, tiempos, cifras y desenlaces no proceden de un procedimiento identificable.

Situación: Demanda por acoso laboral. La víctima presentó capturas de WhatsApp del acosador. El acosador negó todo y presentó su móvil con los mensajes eliminados.

Proceso forense:

Caso práctico 2: iPhone bloqueado en fraude empresarial

Nota: reconstrucción didáctica del procedimiento. La secuencia de decisiones técnicas es la que se sigue ante un A16 bloqueado; las cantidades son ilustrativas y no proceden de una extracción concreta.

Situación: Director comercial despedido tras detectarse desviación de clientes a empresa propia. Entrega iPhone 14 Pro (A16 Bionic) bloqueado, alegando “olvido de código”.

Desafío técnico: iPhone 14 Pro con A16. No existe exploit público para extracción física completa. Secure Enclave protege las claves.

Qué acredita el informe: la exfiltración de cartera de clientes y su ventana temporal, que es lo que sostiene la acción por competencia desleal (arts. 8-14 de la Ley 3/1991). La cuantía de la indemnización la fija el tribunal caso por caso; el perito aporta el soporte de hecho, no la valoración.

Caso práctico 3: chip-off en móvil sumergido (homicidio)

Nota: escenario ilustrativo con datos sintéticos. La secuencia técnica (chip-off, lectura, análisis) refleja la práctica pericial; las cifras y el desenlace no proceden de un procedimiento identificable.

Situación: Investigación de homicidio. Samsung Galaxy A52 recuperado del río tras 72 horas sumergido. Pantalla destruida, no enciende.

Datos críticos recuperados:

• Historial GPS con presencia del sospechoso en ubicación del crimen
• 47 mensajes WhatsApp con la víctima en las 24h previas
• 3 fotos geoetiquetadas en la ubicación a la hora del delito
• Búsquedas en Google relacionadas con ocultación de evidencia

Qué aporta el peritaje: cuando el terminal no arranca, el chip-off es a menudo la única vía viable, y el material recuperado (mensajería, geolocalización, búsquedas) se aporta como soporte técnico. Su relevancia y valoración corresponden al tribunal.

Precios

El coste depende del tipo de dispositivo, del método de extracción necesario, del estado del terminal y del volumen de datos a analizar. Los rangos vigentes están en la página de precios, que es la referencia canónica; se facilita un presupuesto cerrado tras evaluar el caso.

Marco legal: admisibilidad en España

LECrim

• Art. 588 sexies a): necesidad de motivación individualizada del auto que autoriza el registro de dispositivos de almacenamiento masivo de información.
• Art. 588 sexies b): acceso a la información de dispositivos incautados fuera del domicilio del investigado.
• Art. 588 sexies c): autorización judicial, alcance y condiciones del acceso; su apartado 4 permite a la Policía Judicial el examen directo en casos de urgencia, con control judicial posterior.

LEC

• Art. 299.2: Admite instrumentos que permiten archivar y conocer datos.
• Arts. 382-384: reproducción de la palabra, la imagen y el sonido e instrumentos que archivan datos; el tribunal los valora según la sana crítica. Que el perito ratifique en vista depende del tipo de informe y de si se impugna.

Jurisprudencia clave

• STC 115/2013: el Pleno denegó el amparo por el acceso policial a la agenda de contactos sin autorización judicial. La exigencia de resolución judicial para el contenido de las comunicaciones y la memoria del terminal viene de los arts. 588 ter y 588 sexies LECrim, no de esta sentencia.
• STS 629/2025: admite que la autenticidad de la prueba digital se acredite por cualquier medio admitido en derecho; no impone un medio concreto.
• STS 489/2018, de 23 de octubre (Sala 2.ª): la incautación del dispositivo y el registro de su contenido son actos distintos; el segundo afecta al derecho a la intimidad y al secreto de las comunicaciones y no queda cubierto por el primero.
• STEDH Barbulescu v. Rumanía (2017): Límites al control de comunicaciones de empleados.

Autorización judicial: cuando es necesaria

Preguntas relacionadas

1. Puedo hacer una extracción física de mi propio teléfono?

Sí. Como propietario del dispositivo, puedes realizar o encargar una extracción física de tu propio teléfono sin necesidad de autorización judicial. Esto es útil para preservar evidencia antes de presentar una denuncia o demanda: si recibes amenazas por WhatsApp y temes que el agresor las borre remotamente, la extracción preserva esa evidencia. Lo que no puedes hacer es acceder al contenido del teléfono de otra persona, para descubrir sus secretos o vulnerar su intimidad, sin su consentimiento ni autorización judicial: puede constituir un delito de descubrimiento y revelación de secretos (art. 197 CP), castigado con prisión de uno a cuatro años y multa de doce a veinticuatro meses cuando concurren sus elementos. Como perito, recomiendo realizar la extracción lo antes posible para maximizar la recuperación de datos eliminados, ya que cada día que pasa aumenta la probabilidad de que los datos se sobrescriban.

2. La extracción física funciona en iPhones modernos?

Depende del modelo y las circunstancias. Los iPhones con chip A12 o posterior (iPhone XS en adelante, toda la línea desde 2018) tienen protecciones de hardware (Secure Enclave) que dificultan la extracción física completa. Cellebrite Premium y GrayKey (esta última no disponible para el sector privado) pueden realizar extracción de sistema de archivos (file system) en modelos recientes soportados por la herramienta —conviene consultar su matriz de compatibilidad vigente—, normalmente con el código de desbloqueo conocido y el dispositivo en estado AFU (After First Unlock, desbloqueado al menos una vez desde el último encendido). Para iPhones A11 o anteriores (iPhone X, 8, 7, 6s, SE 1.ª gen), el exploit de arranque checkm8 facilita la adquisición mediante jailbreak, pero no descifra por sí solo un terminal bloqueado ni garantiza una «extracción física completa»: el resultado depende del estado de bloqueo y de las claves. La situación evoluciona constantemente: cada actualización de iOS puede cerrar o abrir vectores de acceso.

3. Que pasa si el móvil esta roto o dañado?

Si la pantalla está rota pero el chip de memoria está intacto, la extracción física es posible mediante JTAG (acceso a pines de depuración) o chip-off (desoldado del chip). El chip-off es un procedimiento destructivo pero permite leer directamente los datos del chip NAND/eMMC. Para dispositivos sumergidos en agua, la probabilidad de recuperación depende del tiempo de exposición, el tipo de agua (dulce vs salada) y de si se produjo un cortocircuito en el chip de memoria; no existe una tasa de éxito general publicada. El chip-off se reserva para casos graves donde la evidencia del móvil es crítica —homicidios, agresiones sexuales o fraudes de gran cuantía— por su coste y su carácter destructivo.

4. Cuanto cuesta una extracción forense de móvil?

En España, los costes orientativos para 2026 son: extracción lógica básica (400-800 EUR), extracción de sistema de archivos (600-1.200 EUR), extracción física completa (800-2.000 EUR), chip-off (1.500-3.500 EUR). El análisis posterior y la elaboración del informe pericial se facturan aparte (400-1.500 EUR según complejidad). La ratificación judicial tiene un coste adicional de 300-600 EUR. Un servicio completo (extracción + análisis + informe + ratificación) oscila entre 2.000 y 5.000 EUR. El precio depende del tipo de dispositivo (iPhone vs Android), el método de extracción necesario y el volumen de datos a analizar.

5. Se puede saber si alguien ha hecho una extracción de mi móvil?

En teoría, una extracción lógica via ADB o iTunes no deja rastros visibles para el usuario común. Sin embargo, un perito experimentado puede detectar indicadores: activación del modo desarrollador (Android), certificados de confianza añadidos (iOS), root/jailbreak residual, timestamps de acceso modificados en archivos del sistema, o registros de conexión USB en los logs. En iOS, el “lockdown récord” registra cada ordenador de confianza. Herramientas como MVT (Mobile Verification Toolkit) de Amnesty International buscan indicios de compromiso por spyware conocido (como Pegasus o Predator) a partir de indicadores públicos; no detectan cualquier acceso forense ni bastan por sí solas para declarar «limpio» un terminal.

6. Que diferencia hay entre extracción física, lógica y cloud?

La extracción física copia la memoria del dispositivo (datos locales + eliminados). La extracción lógica obtiene datos visibles via APIs. La cloud extraction descarga datos sincronizados en la nube (iCloud, Google Drive, WhatsApp backup, Samsung Cloud). Los tres métodos son complementarios: un análisis forense completo debería combinar los tres para obtener la imagen más completa posible. Los datos de la nube pueden incluir mensajes de dispositivos anteriores ya no disponibles físicamente, fotos sincronizadas desde otros dispositivos y backups históricos. En mi práctica combino las tres fuentes siempre que es posible, para maximizar la evidencia recuperada y reforzar la autenticidad mediante correlación cruzada entre fuentes independientes.

Referencias y fuentes

1. NIST SP 800-101 Rev. 1. “Guidelines on Mobile Device Forensics”. National Institute of Standards and Technology, 2014. DOI: 10.6028/NIST.SP.800-101r1

2. Cellebrite. Página oficial de producto Cellebrite UFED (consultada en 2026).

3. Magnet Forensics. Página oficial de producto Magnet Graykey (consultada en 2026).

4. SWGDE. “Best Practices for Mobile Device Evidence Collection & Preservation Handling and Acquisition”, doc. 18-F-003-2.0, v2.0 (21 de agosto de 2025).

5. Ley Orgánica 13/2015, de 5 de octubre, de modificación de la LECrim. Artículos 588 sexies a-c. BOE num. 239.

6. Tribunal Constitucional. STC 115/2013, de 9 de mayo (Pleno, ECLI:ES:TC:2013:115) — denegó el amparo. Texto directo en HJ — Resolución 23444.

7. Tribunal Supremo. STS 489/2018, de 23 de octubre (Sala 2.ª, ponente Antonio del Moral García, rec. 1674/2017 — ROJ STS 3754/2018 · ECLI:ES:TS:2018:3754): «Derecho a la intimidad y al secreto de las comunicaciones, extensión. Ámbito de las relaciones laborales. Nulidad de pruebas personales. Facultades de supervisión del empresario».

8. ISO/IEC 27037:2012. “Guidelines for identification, collection, acquisition and preservation of digital evidence”.

9. SANS Institute. “FOR585: Smartphone Forensic Analysis In-Depth” (página del curso; consultada en 2026).

10. Oxygen Forensics. Página oficial de producto Oxygen Forensic Detective (consultada en 2026).

11. CGPJ. Estadística Judicial — actividad de los órganos judiciales. poderjudicial.es

12. TEDH. Barbulescu v. Rumanía (Gran Sala, 2017). ECLI:CE:ECHR:2017:0905JUD006149608.

13. checkra1n. Sitio oficial checkra.in (jailbreak para iPhone 5s–X; consultado en 2026).

Última actualización: Marzo 2026 Categoría: Análisis Forense (FOR-046) Nivel técnico: Avanzado Relevancia: Muy Alta (el móvil es una de las fuentes de evidencia digital más frecuentes en los procedimientos judiciales)