Estado, bloqueo y cifrado del teléfono

Un teléfono moderno cifra su almacenamiento, y lo que se puede leer depende de su estado. En general, tras encenderse y antes del primer desbloqueo, casi todo está cerrado; después del primer desbloqueo hay más datos disponibles para el sistema mientras el equipo sigue encendido. Si se reinicia o se apaga, vuelve al estado más cerrado. Por eso un teléfono que llega encendido y desbloqueado desde su último arranque es un estado valioso que no se debe malgastar.

El riesgo del equipo encendido es la red: mientras tenga conexión puede recibir una orden remota (bloqueo, borrado) o nuevos mensajes que cambian su contenido. La respuesta habitual es aislarlo de la red, con una bolsa o caja que bloquee la señal, o con el modo avión si el equipo está abierto y se tiene autorización para tocarlo, y mantenerlo con corriente. Apagarlo «por seguridad» destruye justo el estado que se quería conservar.

Un teléfono corporativo suele estar bajo una gestión central: el área de TI puede localizarlo, bloquearlo o borrarlo si se pierde. Esas acciones se escriben en la ficha de la consola con su estado. Para el forense la lista es una advertencia: cualquier acción que destruya datos y esté habilitada es un riesgo mientras el aparato tenga red, y es una razón más para aislarlo y para pedir a TI, por escrito, que no la use mientras dure el caso.

El equipo forense no tiene acceso a la consola; la ficha la entrega TI. Abre el laboratorio y lee la lista de acciones remotas.

Un teléfono sin corriente se apaga y, al encenderse de nuevo, vuelve al estado cerrado. El margen real se calcula con dos datos de la recepción: el porcentaje de batería y cuántos minutos tarda en bajar un punto. Es un número que se anota junto con la decisión de conectar el cargador: si la estación estuviera sin cargador compatible, el margen diría cuánto tiempo hay para resolverlo.

Con corriente conectada el reloj se detiene, pero el cálculo se hace igualmente: es parte del acta de recepción.

La ficha de recepción dice que el código de desbloqueo lo conoce solo la titular y que no consta que lo haya entregado. Un examen forense no intenta adivinar ni eludir un bloqueo: lo que no se puede obtener con permiso y por vías legítimas se declara como límite del examen. Si la persona entrega el código por voluntad, se hace ante testigos y se anota; si no lo entrega, se trabaja con las demás fuentes que sí están dentro del acta y se escribe en el informe lo que no pudo verse y por qué.

Un límite declarado no debilita el informe. Una vía improvisada para saltarse el bloqueo sí lo debilita, y además puede quedar fuera de la autorización.

Los mensajes de trabajo no viven solo en el teléfono: el correo corporativo está también en el servidor, y ahí lo gestiona la empresa. Esa fuente no necesita desbloquear el teléfono ni tocar su contenido, entra en el alcance del acta y se puede pedir a quien administra el servidor por escrito. Es la fuente que se prefiere cuando existe, porque cuanto menos se toque el aparato, menos se altera.

La tabla del laboratorio compara las fuentes. La buena para este caso cumple dos cosas a la vez: no pide desbloquear y está dentro del alcance.