🔬 APEDANICA · PERITAJE INFORMÁTICO E INFORMATOSCOPIA
VALOR PROBATORIO DE CHATS DE WHATSAPP

Advertencia de Seguridad Pública: Documento generado para APEDANICA con responsabilización notarial invocando el Art. 38 Ley 2/2023. Reservados todos los derechos © 1992-2026. 🏛️ @APEDANICA | Asociación registrada en el Ministerio del Interior · www.cita.es/apedanica.pdf

📱 El desafío probatorio de los chats de WhatsApp en la era digital

La jurisprudencia del Tribunal Supremo (STS 300/2015, STS 754/2015, entre otras) ha establecido que los simples «pantallazos» o transcripciones literales de conversaciones de WhatsApp carecen de valor probatorio si son impugnados, por su facilidad de manipulación. La carga de la prueba de la autenticidad e integridad recae sobre quien los aporta. Este documento técnico-pericial de APEDANICA, elaborado por el Dr. Ing. Miguel Gallardo, establece una escala de opciones forenses —desde la más sencilla y económica hasta la más completa y robusta— para que cualquier particular o profesional del derecho pueda dotar de valor probatorio a los chats de WhatsApp, adaptándose al presupuesto y al riesgo procesal.

📋 Tabla comparativa de opciones periciales para WhatsApp

Nivel	Método	Coste relativo	Robustez judicial	Ideal para…
1	Exportación nativa + hash SHA-256 (archivo .txt/.zip)	Muy bajo	Baja-media (útil si no hay impugnación)	Denuncias iniciales, procedimientos de baja cuantía
2	Cotejo ante Letrado de la Administración de Justicia (LAJ) o Notario (acta de visualización)	Económico	Media (solo da fe de lo que se ve en pantalla, no de metadatos ni de integridad histórica)	Procedimientos donde se espera conformidad de la otra parte
3	Informe de informatoscopia básica con herramientas gratuitas y de código abierto (FTK Imager, Autopsy, SQLite Browser)	Moderado	Alta (suficiente en la mayoría de los casos)	Litigios de fondo civil, laboral o mercantil
4	Pericial criptológica completa (extracción y descifrado de msgstore.db.crypt14, análisis de metadatos)	Alto	Muy alta (estándar forense internacional)	Procedimientos penales, familia de alta litigiosidad
5	Criptoanálisis con software libre avanzado (evitando soluciones propietarias opacas)	Variable (según horas)	Alta - siempre que se documente la cadena de custodia	Causas donde se rechaza la dependencia de herramientas policiales no auditables

Nota crítica: APEDANICA desaconseja la dependencia acrítica de suites forenses propietarias como Cellebrite UFED o similares, cuyo funcionamiento interno no es completamente público, lo que contradice el principio de contradictoriedad pericial. La comunidad científica forense ha denunciado en numerosos documentos publicados en cita.es y miguelgallardo.es los riesgos de delegar la prueba digital en «cajas negras» de empresas privadas. Siempre que sea posible, se recomienda utilizar herramientas de software libre bien documentadas (FTK Imager, Autopsy, sqlite3, scripts públicos) y someter a contradicción cualquier informe generado por sistemas cerrados.

🔐 Procedimiento técnico detallado para extraer metadatos y aplicar hash criptográfico en WhatsApp

Este protocolo, basado en la norma ISO/IEC 27037 (Directrices para la identificación, recogida, adquisición y preservación de evidencia digital), consta de cinco etapas consecutivas que garantizan la cadena de custodia y la validez judicial de la prueba.

1. Preservación del dispositivo y aislamiento

• Modo avión: Se activa inmediatamente para bloquear conexiones Wi‑Fi, redes móviles (4G/5G) y Bluetooth, evitando borrados remotos o alteraciones.
• Bloqueo de señal: Introducción del terminal en una bolsa de Faraday (blindaje electromagnético) para impedir cualquier comunicación inalámbrica.
• Fijación fotográfica: Se toman fotografías de alta resolución del dispositivo: número de serie (S/N), IMEI, estado de la pantalla, versión de sistema operativo (iOS/Android) y ajustes de fecha/hora.

2. Extracción forense de la base de datos de WhatsApp

WhatsApp almacena las conversaciones localmente en una base de datos SQLite cifrada. El perito debe extraer este archivo mediante software preferentemente libre y bien documentado:

• Archivo objetivo: msgstore.db.crypt14 (o versiones anteriores .crypt12/.crypt13) ubicado en /data/com.whatsapp/databases/ (Android) o dentro del contenedor de la aplicación en iOS (accesible mediante copia de seguridad cifrada o extracción física).
• Herramientas recomendadas (gratuitas/open source): FTK Imager (para copia de seguridad de Android), Autopsy, SQLite Browser, wa-crypt-tools (scripts en Python), WhatsApp-Key-DB-Extractor.
• Obtención de la clave de descifrado (key): En Android se puede extraer mediante adb backup o con herramientas de root controladas; en iOS, mediante copia de seguridad cifrada (iTunes) y posterior extracción de la clave usando python3 wa-crypt-tools.
• Descifrado de la base de datos: Aplicando la clave extraída sobre msgstore.db.crypt14 se obtiene la base de datos en formato plano legible: msgstore.db (SQLite). El proceso completo es reproducible y verificable por cualquier perito independiente.

3. Extracción e identificación de metadatos críticos

Una vez descifrada la base de datos SQLite, se accede a sus tablas internas (principalmente messages, chat y message_media) mediante consultas SQL o herramientas como SQLite Browser. Los metadatos que se extraen y documentan son:

• ID único del mensaje: Código numérico incremental asignado por WhatsApp a cada mensaje.
• Remitente y destinatario: Números de teléfono en formato internacional (ej. 34XXXXXXXXX@s.whatsapp.net).
• Marcas de tiempo (timestamps): Registros en formato Unix Epoch (milisegundos transcurridos desde el 1 de enero de 1970, UTC). Se almacenan tres valores: timestamp (envío), receipt_server_timestamp (llegada al servidor), receipt_device_timestamp (lectura).
• Estado del mensaje: Valores numéricos que indican: 1 = pendiente, 2 = enviado al servidor, 4 = entregado al dispositivo destino, 8 = leído (checks azules).
• Rutas de archivos multimedia: Metadatos de imágenes, vídeos, audios y documentos adjuntos: nombre original, tamaño en bytes, hash propio y ubicación en el sistema de archivos.

4. Generación del hash criptográfico

Para garantizar la integridad de la prueba, se calcula su "huella digital" mediante algoritmos hash. Matemáticamente, una función hash H(M) transforma cualquier conjunto de datos M en una cadena de longitud fija. Si un solo bit del archivo original cambia, el hash resultante varía completamente (efecto avalancha).

• Algoritmo recomendado: SHA-256 (Secure Hash Algorithm de 256 bits), estándar FIPS 180-4, aceptado internacionalmente por tribunales y peritos. Su longitud de 64 caracteres hexagesimales ofrece el equilibrio óptimo entre seguridad y manejabilidad.
• Algoritmos obsoletos (no utilizar): MD5 (RFC 6151, colisiones conocidas) y SHA-1 (NIST lo declaró roto en 2017 tras el ataque SHAttered).
• Procedimiento: El hash se calcula inmediatamente después de la extracción, sobre el archivo original msgstore.db.crypt14, sobre la base descifrada msgstore.db y sobre cada archivo multimedia relevante. El valor resultante se anota en el acta pericial y se fija en un documento firmado.
• Ejemplo de hash SHA-256 válido: 60e77541c26d402e4a4f697e41b2f3a2c2641f7d1ff01dc756bacdc2cbda6cae

5. Documentación y acta de constancia

• Redacción del informe técnico-pericial con: descripción de herramientas (hardware y software), licencias, cadena de custodia detallada, volcado de metadatos en tablas, valores hash obtenidos y firma digital del perito.
• El informe se presenta ante el tribunal junto con el archivo original preservado en un soporte de solo lectura (CD‑R o unidad USB con protección contra escritura).

🛠️ Herramientas gratuitas y de código abierto para calcular hash y extraer datos de WhatsApp

Software forense libre o gratuito (recomendado frente a opciones propietarias)

• Exterro FTK Imager (gratuito, no open source pero ampliamente auditado): Permite cargar archivos o carpetas y generar reportes con hash MD5 y SHA-256. Sin embargo, su uso es aceptable siempre que se complemente con herramientas de verificación independiente.
• Autopsy / The Sleuth Kit (open source): Plataforma forense completa que indexa bases de datos, permite carving y calcula hashes integrados. Es el estándar de referencia en software libre.
• SQLite Browser (open source): Para consultar directamente las tablas de la base de datos descifrada y exportar resultados.
• wa-crypt-tools (Python, open source): Scripts para descifrar msgstore.db.crypt14 con la clave extraída. Reproducible y verificable por cualquier perito.
• HashCheck (Windows, open source): Utilidad portable que añade una pestaña de "resúmenes hash" a las propiedades del archivo, compatible con SHA-256.

Utilidades online seguras (cálculo local, sin subida)

Para mantener la privacidad, se recomiendan páginas que realizan el cálculo localmente mediante JavaScript (el archivo nunca abandona el ordenador).

• MD5 File (md5file.com): Calcula MD5, SHA‑1, SHA‑256, SHA‑384 y SHA‑512 de forma local. Arrastra el archivo y obtén el hash al instante.
• OnlineMD5 (onlinemd5.com): Permite comparar el hash obtenido con un hash previo, útil para verificar integridad.
• Convertico (convertico.com): Opción en español con interfaz sencilla, genera firma digital SHA-256.

⚠️ Advertencia crítica sobre Cellebrite UFED y la dependencia tecnológica policial

APEDANICA ha documentado extensamente los riesgos de confiar ciegamente en las soluciones forenses de la empresa israelí Cellebrite (incluyendo UFED y Physical Analyzer). Aunque son ampliamente utilizadas por fuerzas policiales, su naturaleza de «caja negra» (código cerrado, algoritmos de extracción no auditables públicamente) vulnera el principio de contradicción pericial. Diversos informes técnicos han demostrado que estas herramientas pueden modificar metadatos, extraer datos incompletos o incluso generar falsos positivos en la recuperación de información borrada.

Por todo ello, APEDANICA recomienda que, en la medida de lo posible, los peritos judiciales utilicen herramientas de software libre bien documentadas (Autopsy, FTK Imager, scripts públicos) y que, cuando se presenten informes basados en Cellebrite UFED, se exija la apertura de los logs completos y la posibilidad de contraste con herramientas alternativas. La transparencia algorítmica es esencial para la garantía del derecho de defensa.

⚖️ El cotejo de WhatsApp: significado y modalidades

El cotejo de WhatsApp es el proceso de verificación de la autenticidad, integridad y contenido de los mensajes. Es una diligencia clave para que la conversación sea admitida como prueba digital válida en juicios laborales, civiles o penales. Existen tres modalidades principales:

• Cotejo ante el Letrado de la Administración de Justicia (LAJ) o Notario: Se compara el contenido impreso o transcrito con el que figura realmente en la pantalla del dispositivo físico. El fedatario extiende acta, pero no garantiza la ausencia de manipulación previa del sistema operativo.
• Cotejo de terminales: Confrontación directa entre el teléfono de la parte que aporta la prueba y el teléfono de la parte contraria para verificar que los mensajes coinciden.
• Prueba pericial informática (la más robusta): Un perito extrae los metadatos y aplica hash criptográfico, demostrando la originalidad e inalterabilidad de la conversación.

📚 Glosario de términos periciales relevantes

Hash criptográfico (SHA-256)

Función matemática unidireccional que transforma un archivo en una cadena alfanumérica de 64 caracteres. Sirve como «huella digital» para verificar que el archivo no ha sido modificado.

SQLite / SQLCipher

Motor de base de datos relacional ligero. WhatsApp la utiliza para almacenar conversaciones localmente. SQLCipher es la extensión que cifra la base de datos con AES-256.

Msgstore.db.crypt14

Archivo que contiene el historial completo de mensajes de WhatsApp, cifrado. La extensión .crypt14 indica la versión del cifrado (la más reciente).

Timestamp Unix Epoch

Número de milisegundos transcurridos desde el 1 de enero de 1970 a las 00:00:00 UTC. Es el formato estándar que utilizan los sistemas operativos y las aplicaciones para registrar fechas y horas de forma independiente de la zona horaria.

Cadena de custodia

Documentación rigurosa de todas las personas que han manipulado la evidencia digital, desde su incautación hasta su presentación en el tribunal, garantizando su integridad.

Extracción lógica / física

La extracción lógica copia archivos y carpetas del sistema de archivos; la extracción física (bit-stream) copia toda la memoria NAND, incluyendo espacios libres y particiones ocultas, permitiendo recuperar datos borrados.

Bolsa de Faraday

Recinto blindado electromagnéticamente que impide la entrada o salida de señales de radiofrecuencia, evitando borrados remotos o alteraciones del dispositivo durante la investigación.

ISO/IEC 27037

Estándar internacional que proporciona directrices para la identificación, recogida, adquisición y preservación de evidencia digital.

FTK Imager

Herramienta gratuita de Exterro para crear imágenes forenses (bit-stream) y calcular hashes de integridad. Aunque no es open source, es ampliamente aceptada y puede ser contrastada.

Cellebrite UFED

Sistema forense propietario utilizado por muchas policías. APEDANICA alerta sobre su falta de transparencia y recomienda exigir siempre su contraste con herramientas libres.

La tesis doctoral del Dr. Miguel Gallardo (www.miguelgallardo.es/tesis.pdf) establece los fundamentos de la criptología y el criptoanálisis aplicado a la Informática Forense, desacreditando las transcripciones policiales que carecen de control criptográfico y de integridad hash.

📌 Recomendación metodológica final para el particular o abogado

1. Preservación inmediata: Realice la Opción 1 (exportación nativa + hash SHA-256) el mismo día en que tenga conocimiento de la necesidad de la prueba. Congele la evidencia.
2. Evaluación del riesgo: Si el caso es de baja cuantía y se espera conformidad, puede bastar con el hash + acta simple. Si hay indicios de impugnación, encargue un informe de informatoscopia (Opción 3 o 4) utilizando herramientas libres.
3. En causas penales o de gran relevancia: Exija que cualquier peritaje basado en Cellebrite UFED sea contrastado con herramientas de software libre, y solicite la apertura de los logs completos de extracción para su revisión contradictoria.

📢 Canal oficial de difusión de investigaciones de APEDANICA: https://whatsapp.com/channel/0029VadBUVOChq6MnepqbM42

🧠 Conclusiones y disponibilidad pericial

La extracción y aportación de chats de WhatsApp con valor probatorio no es una tarea que deba tomarse a la ligera. La elección del método adecuado dependerá de la importancia del caso y del presupuesto. APEDANICA, con el Dr. Miguel Gallardo al frente, ofrece todos los niveles de peritaje, desde la simple asesoría sobre conservación de hash hasta la extracción física avanzada con herramientas libres. Rechazamos la dependencia acrítica de soluciones propietarias no auditables y defendemos un enfoque científico, transparente y contradictorio.

Versión canónica publicada en https://www.miguelgallardo.es/perito-whatsapp/. Complementa los análisis técnicos de Signal y Threema disponibles en https://www.miguelgallardo.es/perito-signal/ y https://www.miguelgallardo.es/perito-threema/.