Idioma / Language: Español · English
El dispositivo más protegido de una organización es, a la vez, la prueba más frágil que llegará al juzgado
Un guardia civil recoge un teléfono de la mesa de un salón durante un registro. Lo mete en un sobre, anota la hora y sigue con su trabajo. Ocho minutos después, a doscientos kilómetros de allí, alguien pulsa un botón en un panel de administración y el terminal se borra por completo, con una orden legítima emitida por el sistema corporativo que lo gestionaba. Nadie ha cometido un delito de destrucción de pruebas: simplemente, el departamento de sistemas ha aplicado el procedimiento que tenía escrito para cuando un dispositivo sale del control de la empresa. Toda la investigación acaba de quedarse sin su pieza central, y el informe pericial que se redactará meses después tendrá que explicar por qué el aparato apareció vacío.
Ese escenario, que puede sonar a ficción, describe una de las tensiones que la guía CCN-STIC-496 del Centro Criptológico Nacional intenta ordenar desde el lado de la seguridad. Su título completo es Sistemas de Comunicaciones Móviles, pertenece a la serie 400 del catálogo, la de guías generales, y es de acceso público en el portal del CCN-CERT. Lo que persigue, según el propio organismo, es establecer un conjunto de directrices para el diseño de los sistemas de comunicaciones móviles corporativos y para la revisión y adaptación de los despliegues ya existentes, de modo que ganen seguridad tanto las comunicaciones que se establecen con los dispositivos como la información que estos almacenan. Sus ejes son la política de seguridad de las comunicaciones móviles, los procedimientos de uso y la normativa interna, una arquitectura de referencia y las consideraciones propias de la información clasificada y de la gestión de la cadena de suministro.
Conviene decir desde el principio qué clase de documento es y qué no. La 496 se escribió para quien diseña, despliega y opera una flota de teléfonos corporativos, con la mirada puesta en la administración pública y en los entornos donde se maneja información sensible. No es un manual de análisis forense y no pretende serlo. Y ahí reside justamente lo que la hace interesante para esta revista, porque cada decisión de diseño que la guía ayuda a tomar —quién es el dueño del terminal, qué controla la organización, qué se cifra, qué se registra, qué se puede borrar a distancia— acaba determinando, años después, si un juez podrá dar por buena la prueba extraída de ese aparato. Este artículo recorre ese puente entre el diseño de la flota móvil y la sala de vistas, que casi nadie recorre hasta que ya es tarde.
El testigo que llevamos en el bolsillo
Los números explican por qué el asunto ha dejado de ser marginal. Según la Encuesta sobre Equipamiento y Uso de Tecnologías de la Información y Comunicación en los Hogares publicada por el Instituto Nacional de Estadística en 2025, el 99,7 % de los hogares españoles con algún miembro de entre 16 y 74 años dispone de teléfono, y algo más de la mitad, el 50,3 %, ha prescindido ya del fijo y funciona solo con el móvil. El 96,3 % de las personas de entre 16 y 74 años usó internet en los tres meses anteriores a la encuesta, y el 92,5 % lo hizo a diario. El teléfono ha absorbido la correspondencia, la agenda, la cámara, el álbum familiar, el banco, la salud, el trabajo y la vida sentimental de casi toda la población adulta.
La consecuencia procesal es directa. La Memoria de la Fiscalía General del Estado de 2025, referida a la actividad de 2024, contabiliza 27.104 procedimientos judiciales y 443 diligencias de investigación por delitos de criminalidad informática, un 14,86 % más que el año anterior, con 4.406 escritos de acusación, un 22,97 % más. Las estafas y defraudaciones cometidas a través de las tecnologías de la información suponen el 83,43 % de esos procedimientos. Y a esa cifra, que solo mide la ciberdelincuencia en sentido estricto, hay que añadir el volumen mucho mayor de causas donde el móvil aparece como fuente de prueba de un delito perfectamente analógico: la conversación que documenta unas amenazas, la geolocalización que sitúa a alguien en un lugar, la fotografía tomada minutos antes de una agresión, el registro de llamadas que dibuja una relación entre dos personas. El terminal se ha convertido en el testigo silencioso de casi cualquier hecho investigado.
El Tribunal de Justicia de la Unión Europea lo ha expresado con una claridad que conviene retener. En su sentencia de 4 de octubre de 2024, dictada por la Gran Sala en el asunto C-548/21, Bezirkshauptmannschaft Landeck, el tribunal recordó que el acceso policial a los datos personales contenidos en un teléfono móvil puede constituir una injerencia grave, e incluso muy grave, en los derechos fundamentales del afectado, porque esos datos permiten extraer conclusiones muy precisas sobre su vida privada. El caso venía de una investigación austriaca por tráfico de estupefacientes en la que dos agentes intentaron acceder al teléfono del destinatario de un paquete de cannabis por iniciativa propia, sin autorización del ministerio fiscal ni de un juez. El Tribunal de Justicia admitió que ese acceso pueda alcanzar en principio a cualquier tipo de delito, y exigió a cambio que la ley nacional defina con precisión los elementos que lo justifican y que, con carácter general, la medida quede sometida al control previo de un juez o de una autoridad administrativa independiente.
Dónde vive la 496 dentro del catálogo del CCN
El Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia, ordena sus guías por series numéricas, un mapa que ya recorrimos en el artículo inaugural de esta serie. Los dispositivos móviles ocupan un espacio propio dentro de ese catálogo, y entender el reparto ayuda a saber qué documento consultar en cada momento.
La serie 450 agrupa las guías de configuración segura de terminales concretos: la 450 como documento general, las variantes de la 453 para las sucesivas versiones de Android, y las de la 454 y la 455 para el iPad y el iPhone. Son documentos de ajuste fino, con la lista de opciones que hay que activar o desactivar en cada sistema operativo. La CCN-STIC-457 se ocupa de la herramienta de gestión de dispositivos móviles, el MDM por sus siglas inglesas, que es la consola desde la que una organización administra a distancia todos sus terminales. La CCN-STIC-827, ya dentro de la serie 800 del Esquema Nacional de Seguridad, regula la gestión y el uso de dispositivos móviles en las administraciones públicas, y su alcance abarca expresamente tanto los aparatos propiedad de la organización como los propiedad de los usuarios, es decir, el fenómeno BYOD.
Sobre ese fondo, la 496 aporta la mirada de arriba: cómo se diseña el sistema completo, con su arquitectura de referencia, su política, sus procedimientos de uso y sus exigencias hacia los proveedores. Quien tenga que montar desde cero el parque de móviles de un organismo encontrará en ella el marco, y en las demás el detalle.
El Esquema Nacional de Seguridad, regulado hoy por el Real Decreto 311/2022, de 3 de mayo, refuerza esa preocupación desde la norma. Su articulado pide prestar atención especial a la información almacenada o en tránsito a través de equipos o dispositivos portátiles o móviles, de dispositivos periféricos, de soportes de información y de comunicaciones sobre redes abiertas, precisamente porque son los puntos donde la información se escapa del perímetro controlado. Las 75 medidas de su anexo II, organizadas en tres marcos y dieciséis familias, se aplican según la categoría del sistema —básica, media o alta—, y varias de ellas recaen de lleno sobre el terminal que el empleado lleva encima.
Cuatro maneras de repartirse un teléfono
La primera decisión de diseño de una flota móvil consiste en aclarar de quién es el aparato y qué puede hacer cada parte con él. La industria maneja cuatro modelos, y cada uno traslada al terreno probatorio consecuencias muy distintas.
En el modelo corporativo de uso exclusivamente profesional, conocido por las siglas COBO, la organización compra el terminal, lo entrega configurado y prohíbe cualquier uso personal. Es el escenario más cómodo para una investigación: el dueño del dispositivo es la empresa o el organismo, el usuario ha sido advertido de que no hay ámbito privado en ese aparato y el acceso posterior al contenido plantea pocas dudas. Es también el modelo más caro y el que peor tolera la vida real, porque obliga a que el empleado lleve dos teléfonos encima.
El modelo corporativo con uso personal permitido, o COPE, mantiene la propiedad en manos de la organización pero acepta que el trabajador lo use también para su vida privada. Es el arreglo más extendido en las administraciones, y es también donde empiezan los problemas: en el mismo aparato conviven el correo del servicio y las fotografías de los hijos, y cualquier extracción indiscriminada arrastra ambas cosas.
El modelo de elección restringida, o CYOD, permite al empleado escoger su terminal dentro de un catálogo cerrado, que la organización compra y administra. Reparte el conflicto a medio camino y facilita la homogeneidad técnica, que en materia forense se agradece mucho más de lo que parece: un parque con tres modelos conocidos es infinitamente más fácil de peritar que uno con ochenta.
Y queda el BYOD propiamente dicho, en el que el trabajador usa su propio teléfono para acceder a los recursos de la organización. Es el modelo más barato, el más cómodo para el usuario y, con diferencia, el peor desde el punto de vista de la prueba. El aparato pertenece a una persona física que goza de la protección del artículo 18 de la Constitución; la información corporativa vive mezclada con su intimidad; la organización no puede incautar el terminal sin más; y la extracción que un perito necesite hacer chocará con la esfera privada de alguien que quizá no tenga nada que ver con los hechos investigados. La guía 827 admite expresamente este escenario dentro de su alcance, lo que da idea de que la Administración lo asume como realidad inevitable, y no como una anomalía que baste con prohibir.
El MDM, o la herramienta que puede borrar la prueba
El sistema de gestión de dispositivos móviles es la pieza que hace posible administrar cientos de terminales dispersos. Desde su consola se distribuyen aplicaciones, se imponen políticas de contraseña, se fuerza el cifrado, se separa el perfil de trabajo del personal y se bloquea o se borra un aparato perdido. La CCN-STIC-457 está dedicada a esa herramienta, y las guías generales de la serie asumen que un despliegue corporativo serio se apoya en ella. Desde el punto de vista de la seguridad, es una bendición.
Desde el punto de vista de la prueba, es un arma cargada. Las tres funciones más valiosas para proteger la información son también las tres que pueden aniquilar una investigación.
La primera es el borrado remoto. Cualquier consola de gestión moderna permite enviar una orden de borrado total, o de borrado selectivo del contenedor corporativo, a un terminal que se declare perdido o comprometido. Esa orden viaja en cuanto el dispositivo recupera conexión, y no distingue entre un teléfono olvidado en un taxi y uno intervenido por la autoridad judicial media hora antes. Basta con que el aparato incautado siga hablando con la red para que el trabajo de campo se evapore.
La segunda es el bloqueo automático por intentos fallidos. Muchas políticas corporativas ordenan el borrado del terminal tras un número determinado de códigos de acceso erróneos. Un agente que pruebe suerte con el patrón de desbloqueo puede desencadenar exactamente lo que trataba de evitar.
La tercera es el cifrado gestionado. El cifrado de disco y de contenedor es hoy irrenunciable, y ninguna guía de seguridad seria lo pondría en duda. Ocurre que ese mismo cifrado es la razón por la que buena parte de las extracciones fracasan cuando el terminal ha vuelto al estado en que arrancó sin desbloquearse.
La lectura correcta de esta tensión pasa por incorporar el escenario judicial a la política de la flota, algo que las guías de seguridad no resuelven porque no es su cometido. Una organización previsora deja escrito quién puede ordenar un borrado remoto, qué comprobaciones se hacen antes de ejecutarlo y qué procedimiento suspende esa capacidad cuando un dispositivo ha sido intervenido en el marco de una investigación o de un litigio. Ese último punto, que en el mundo anglosajón se conoce como legal hold, apenas aparece en los manuales españoles de gestión de móviles, y es probablemente la carencia más costosa de todas.
Lo que un teléfono declara sobre su dueño
Merece la pena detenerse en qué se busca exactamente dentro de un terminal, porque la respuesta ha cambiado mucho en quince años y explica por qué el Tribunal de Justicia habla de injerencia muy grave.
El contenido evidente —mensajes, llamadas, agenda, fotografías, correo— es solo la superficie. Debajo hay una capa mucho más reveladora que el usuario no controla ni suele conocer. Las bases de datos internas de las aplicaciones conservan mensajes marcados como borrados, borradores nunca enviados y miniaturas de imágenes eliminadas. Los archivos de registro del sistema guardan qué aplicación se abrió y a qué hora, con una granularidad que permite reconstruir la actividad del usuario minuto a minuto. El historial de redes inalámbricas a las que el aparato se ha conectado dibuja un mapa de los lugares frecuentados, y lo hace incluso cuando la geolocalización estaba desactivada. Los sensores de movimiento, los datos de salud y los registros del asistente de voz añaden capas que hace una década no existían. Y las copias de seguridad automáticas replican todo ese material en servidores que pueden estar en otro continente.
Para el jurista, esa acumulación tiene una consecuencia inmediata: el examen de un móvil rara vez es una diligencia acotada. Buscar una conversación concreta obliga técnicamente a adquirir mucho más de lo que se busca, y de ahí que el artículo 588 sexies c de la Ley de Enjuiciamiento Criminal ordene al juez fijar los términos y el alcance del registro. La proporcionalidad, en este terreno, se juega en la delimitación previa y en el filtrado posterior, más que en la decisión de acceder o no acceder.
Los primeros sesenta minutos
Si hubiera que reducir todo el análisis forense de móviles a un solo consejo, sería este: lo que se hace en la primera hora determina lo que se podrá demostrar en el juicio. La secuencia correcta no es intuitiva, y buena parte de los errores nacen de aplicar al teléfono la costumbre heredada del ordenador de sobremesa.
Aislar sin apagar. El principio general, recogido en las prácticas internacionales de recogida de evidencia digital, consiste en cortar toda comunicación del terminal con el exterior sin retirarle la alimentación. La forma canónica de hacerlo es introducirlo en una bolsa de Faraday, un contenedor de tejido metálico que bloquea las señales de radio y deja el aparato incomunicado; en su defecto, activar el modo avión y desconectar las conexiones inalámbricas. Ese gesto es el que impide que llegue la orden de borrado remoto del párrafo anterior, y también el que evita que sigan entrando mensajes que alteran el estado del dispositivo. Conviene recordar que una bolsa de Faraday obliga al teléfono a emitir a máxima potencia buscando cobertura, de modo que la batería cae en picado; llevar una fuente de alimentación portátil forma parte del equipo básico de quien recoge un terminal.
No apagar, y saber por qué. Aquí aparece la distinción que separa a un actuante formado de uno improvisado. Los teléfonos actuales cifran su almacenamiento con claves que solo se derivan cuando el usuario introduce su código. Antes del primer desbloqueo tras el encendido, situación que los manuales denominan estado BFU —before first unlock—, la mayor parte de las claves permanece protegida por el elemento seguro del procesador y el contenido personal resulta ilegible aunque el aparato responda. Una vez que el usuario ha desbloqueado el terminal al menos una vez, el dispositivo entra en estado AFU —after first unlock— y muchas de esas claves quedan cargadas en memoria, con lo que las herramientas forenses acceden a un volumen de datos incomparablemente mayor. Android aplica desde hace años el cifrado basado en ficheros, que separa el almacenamiento protegido por credencial del que se descifra al arrancar; iOS hace lo propio con su propia arquitectura de protección de datos. La consecuencia práctica es contundente: apagar un teléfono incautado en estado AFU puede convertir una extracción rica en una extracción vacía, y ese apagado es irreversible.
Documentar el estado inicial. Fotografiar la pantalla tal como se encontró, anotar si estaba bloqueado o desbloqueado, si mostraba notificaciones, qué hora marcaba el reloj del terminal frente a la hora real y qué tarjetas llevaba insertadas forma parte del acta, y esa información se pierde para siempre en cuanto alguien manipula el aparato. La discordancia entre la hora del dispositivo y la hora oficial, en particular, es un dato que después permite interpretar correctamente todas las marcas temporales del volcado.
Registrar la cadena desde el minuto cero. La documentación que responde, para cada momento, a quién tuvo el terminal, cuándo, por qué y qué hizo con él es la cadena de custodia propiamente dicha. La norma ISO/IEC 27037:2012 sistematiza estas tareas y distingue dos papeles que en España se confunden con frecuencia: el DEFR, el primer interviniente cualificado que identifica, recoge y preserva, y el DES, el especialista que después adquiere y analiza. La familia se completa con la 27041, sobre la idoneidad de los métodos empleados; la 27042, sobre el análisis e interpretación; y la 27043, sobre los principios generales del proceso. A ellas se suma el clásico RFC 3227, que fijó en 2002 el orden de volatilidad: recolectar primero lo que antes desaparece, criterio que en un móvil encendido señala directamente a la memoria y al estado de las conexiones.
Hasta dónde llega cada extracción
Cuando el terminal llega al laboratorio, el perito elige un método de adquisición, y esa elección condiciona qué se podrá afirmar después. La publicación NIST SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics, publicada en 2014 por el Instituto Nacional de Normas y Tecnología estadounidense, sigue siendo la referencia que ordena esos niveles de menor a mayor invasividad.
La extracción manual consiste en manejar el teléfono como lo haría su dueño, fotografiando o grabando lo que aparece en pantalla. Es rápida y no requiere herramientas, y sirve para dejar constancia inmediata de una conversación. Sus límites son severos: no accede a nada borrado, depende de que el aparato esté desbloqueado y, sobre todo, deja huella, porque cada pulsación modifica el dispositivo.
La extracción lógica dialoga con el sistema operativo a través de sus interfaces y recupera lo que el aparato está dispuesto a entregar: contactos, mensajes activos, registros de llamadas, archivos accesibles. Es limpia y bien soportada, y no recupera información eliminada.
La extracción del sistema de ficheros desciende un nivel y copia la estructura de directorios y las bases de datos internas de las aplicaciones. Aquí empiezan a aparecer los registros marcados como borrados que aún no han sido sobrescritos, y es el nivel que en la práctica resuelve la mayoría de los casos.
La extracción física obtiene una imagen bit a bit de la memoria del dispositivo, incluido el espacio no asignado. Es la más completa y la que permite recuperar material eliminado hace tiempo, pero el cifrado moderno la ha vuelto inútil en muchos terminales, porque la imagen obtenida no es más que ruido cifrado sin la clave correspondiente.
Por debajo quedan las técnicas invasivas: el acceso por los puertos de depuración del circuito, conocido como JTAG, y el chip-off, que consiste en desoldar el chip de memoria y leerlo en un lector externo. Son destructivas o cuasi destructivas, exigen una justificación sólida y, con el cifrado por defecto, resuelven cada vez menos.
Sea cual sea el nivel, dos exigencias son innegociables. La primera es el cálculo de una función hash —hoy SHA-256— sobre la adquisición, que genera una huella única capaz de detectar cualquier alteración posterior, por mínima que sea. La segunda es trabajar siempre sobre copias y nunca sobre el original. Y hay una tercera que suele olvidarse: documentar qué herramienta se usó, con qué versión y qué limitaciones tiene, porque una defensa competente preguntará precisamente por eso.
Quién autoriza abrir un móvil
Todo lo anterior es técnica. Sin cobertura jurídica, la mejor extracción del mundo no vale nada.
El régimen español está en los artículos 588 sexies a, b y c de la Ley de Enjuiciamiento Criminal, introducidos por la Ley Orgánica 13/2015. La regla de partida es la que más se incumple en la práctica cotidiana: la incautación material de un dispositivo no habilita por sí sola para acceder a su contenido. Hace falta una resolución judicial específica, motivada, que fije los términos y el alcance del registro, que pueda autorizar la realización de copias de los datos y que establezca las condiciones necesarias para asegurar la integridad de la información y las garantías de su preservación para una eventual pericia posterior. La ley añade un criterio de proporcionalidad que suele pasar inadvertido: debe evitarse la incautación física de los soportes cuando resulte posible obtener copias sin perjudicar gravemente a su titular.
La excepción está en el apartado cuarto del artículo 588 sexies c: en casos de urgencia en que se aprecie un interés constitucional legítimo, la policía judicial puede examinar directamente los datos contenidos en el dispositivo incautado, dando cuenta inmediata al juez, en el plazo máximo de veinticuatro horas, para que ratifique o revoque la actuación. Esa vía de urgencia es la que más litigios genera, y es también la que la doctrina española viene revisando a la luz de la sentencia Landeck del Tribunal de Justicia, que exige control previo con carácter general y admite el diferido solo en casos de urgencia debidamente justificados.
Aunque el marco es sólido, la práctica ofrece un flanco recurrente. Consta el auto que autoriza el registro; consta el informe pericial que analiza el volcado; y falta la documentación intermedia que acredita qué pasó con el aparato entre una cosa y la otra. Ese hueco es la puerta por la que entra la impugnación.
Cuando la autenticidad se impugna
La sentencia de referencia en materia de prueba digital sigue siendo la STS 300/2015, de 19 de mayo, de la Sala Segunda del Tribunal Supremo. Su doctrina, formulada a propósito de unas conversaciones mantenidas por mensajería instantánea, se ha convertido en la advertencia estándar: la posibilidad de manipulación de este tipo de comunicaciones obliga a extremar la cautela en su valoración, y cuando la parte contraria impugna su autenticidad, la carga de acreditarla recae sobre quien pretende aprovecharse de ella, normalmente mediante una prueba pericial que identifique el verdadero origen de la comunicación, la identidad de los interlocutores y la integridad de su contenido.
De ahí se deriva una consecuencia práctica que conviene repetir cada vez que se tercie: una captura de pantalla no es una prueba digital. Es la imagen de una pantalla, y una imagen se compone, se recorta y se fabrica sin dificultad. El valor está en el dispositivo de origen o en el volcado forense con su huella hash, obtenido por un procedimiento documentado. Los profesionales del derecho que reciben a diario clientes con carpetas de capturas impresas conocen bien esta conversación incómoda; los que la tienen a tiempo evitan sorpresas en el acto del juicio.
Conviene precisar el alcance de esa doctrina, porque a veces se cita con más rotundidad de la que tiene. El propio Tribunal Supremo ha matizado después que la falta de pericial de autenticidad no impide de manera automática valorar el contenido cuando otros elementos permiten descartar la manipulación, por ejemplo el reconocimiento del propio interlocutor o el testimonio de quien presenció el envío. La pericia es la vía más segura, y no la única puerta de entrada de la prueba.
El campo de minas del BYOD
Queda el escenario más incómodo: el teléfono personal del trabajador que también sirve para trabajar. Aquí confluyen el derecho a la intimidad, el poder de dirección del empresario y las necesidades de una investigación, y el resultado es un terreno donde se pisa mal con facilidad.
El punto de partida europeo lo fijó el Tribunal Europeo de Derechos Humanos en el asunto Bărbulescu contra Rumanía, resuelto por la Gran Sala el 5 de septiembre de 2017. El tribunal apreció la vulneración del artículo 8 del Convenio y estableció una batería de factores que los tribunales nacionales deben ponderar antes de dar por buena una medida de control: si el trabajador fue informado previamente de la posibilidad de supervisión y de su naturaleza, el alcance del control y el grado de intrusión, la existencia de razones legítimas que lo justifiquen, la disponibilidad de medidas menos invasivas, las consecuencias que se derivan para el trabajador y las garantías ofrecidas. Y dejó una frase que resume la doctrina: las instrucciones del empresario no pueden reducir a cero la vida privada en el lugar de trabajo.
En España, el artículo 87 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales regula expresamente el derecho a la intimidad frente al uso de dispositivos digitales puestos a disposición del trabajador, exige que los criterios de utilización se establezcan con participación de los representantes de los trabajadores y condiciona el acceso del empresario al respeto de estándares mínimos de protección de la intimidad. El Tribunal Constitucional, por su parte, había reconocido ya en su sentencia 173/2011, de 7 de noviembre, que el conjunto de información acumulada en un ordenador personal forma parte del ámbito de la intimidad constitucionalmente protegido, doctrina que se traslada con más razón todavía al teléfono, donde la acumulación es mayor y más íntima.
Traducido a decisiones de diseño, esto significa que un despliegue BYOD que no quiera convertirse en un problema debe apoyarse en tres piezas. La primera es la separación técnica real entre el ámbito corporativo y el personal, mediante contenedores o perfiles de trabajo gestionados, de modo que la organización administre exclusivamente su lado y pueda demostrarlo. La segunda es una política escrita, comunicada y firmada, que explique con antelación qué puede hacer la empresa, en qué supuestos, con qué alcance y con qué garantías; sin esa información previa, el primer factor de Bărbulescu ya juega en contra. La tercera es un procedimiento pactado para el supuesto de investigación, que prevea cómo se preserva el dispositivo, quién lo custodia, cómo se acota la extracción al perímetro corporativo y qué ocurre con la información personal que inevitablemente se adquiera.
Cuando la prueba ya no está en el teléfono
Un porcentaje creciente de lo que interesa a la investigación vive en los servidores del proveedor de servicios, lejos del aparato que se ha intervenido. La copia de seguridad en la nube, el historial sincronizado de mensajes, las fotografías replicadas y los registros de acceso viven fuera del alcance de un volcado local, y con frecuencia fuera de España.
El instrumento que va a cambiar esa realidad tiene fecha. El Reglamento (UE) 2023/1543, de 12 de julio de 2023, sobre las órdenes europeas de producción y de conservación a efectos de prueba electrónica en procesos penales, es aplicable desde el 18 de agosto de 2026. Permite que una autoridad judicial de un Estado miembro se dirija directamente a un prestador de servicios establecido u ofertante en otro Estado miembro y le reclame datos, con un plazo general de respuesta de diez días y plazos mucho más breves en supuestos de emergencia, sin necesidad de recorrer el camino tradicional del auxilio judicial internacional. Para el perito, la novedad relevante es de método: la orden de conservación permite congelar los datos antes de que las políticas de retención del proveedor los eliminen, y esa jugada preliminar salva investigaciones que antes se perdían por pura demora administrativa.
La lección de diseño para la organización es simétrica. Saber qué se sincroniza, hacia dónde, bajo qué contrato y con qué plazo de retención forma parte del inventario que la 496 pide ordenar cuando habla de arquitectura de referencia y de gestión de la cadena de suministro. Una flota bien documentada permite responder en horas a un requerimiento judicial; una flota improvisada obliga a empezar preguntando al proveedor dónde está su propia información.
Preparar hoy la flota para el juicio de mañana
El concepto de preparación forense, que ya tratamos aplicado a servidores Linux en un artículo anterior de esta serie, consiste en tomar hoy las decisiones que harán posible demostrar algo mañana. Aplicado a los dispositivos móviles, se concreta en una lista corta y exigente.
Empieza por el inventario: modelo, versión de sistema operativo, identificadores del terminal y de las tarjetas, usuario asignado y fecha de entrega, con un registro histórico de los cambios. Sigue por la homogeneidad del parque, que abarata y acelera cualquier pericia futura. Continúa por la conservación de los registros del sistema de gestión, que documentan qué políticas se aplicaron a cada aparato y cuándo, y que en un procedimiento funcionan como la cronología oficial de lo ocurrido. Exige un procedimiento de suspensión del borrado remoto para dispositivos afectados por una investigación o un litigio, con responsables identificados y un canal para activarlo fuera del horario laboral. Reclama sincronización horaria fiable en toda la flota, porque las marcas de tiempo son la columna vertebral de cualquier reconstrucción. Incorpora la formación del primer interviniente, aunque sea alguien del departamento de sistemas y no un perito, para que sepa aislar sin apagar y documentar el estado inicial. Y se cierra con un acuerdo previo con el servicio de peritaje, interno o externo, que evite improvisar proveedor el día en que un juzgado pide un volcado.
Nada de esta lista es caro. Casi todo consiste en escribir procedimientos y en decidir de antemano cosas que, llegado el momento, se decidirán mal y con prisas.
Un aparato que declarará por nosotros
La CCN-STIC-496 pertenece a una familia de documentos escritos por ingenieros para ingenieros, y su lectura directa exige cierta familiaridad con el vocabulario de la seguridad. Su interés para el mundo forense y jurídico está en lo que ordena aguas arriba: la política, la arquitectura y los procedimientos de una flota móvil son las decisiones que determinan si, dos años después, un perito podrá extraer algo útil de un aparato y si un juez podrá tomárselo en serio.
El teléfono que llevamos encima acumula más información sobre nuestra vida que cualquier otra cosa que hayamos poseído nunca. Esa acumulación es la razón por la que el Tribunal de Justicia lo rodea de garantías reforzadas, la razón por la que el legislador español exigió una resolución judicial específica para registrarlo y la razón por la que el trabajo de campo de la primera hora pesa tanto. Quien diseña una flota móvil pensando solo en evitar una fuga de información está resolviendo la mitad del problema; la otra mitad se llama poder demostrarlo, y se juega en una sala donde el aparato hablará por su dueño, para bien o para mal, con la exactitud que le permita el cuidado que hayamos puesto antes.
A Phone on the Judge’s Bench: Spain’s CCN-STIC-496 Guide, BYOD and the Chain of Custody Nobody Watches
An organisation’s most heavily protected device is also the most fragile piece of evidence that will ever reach a courtroom.
An organisation’s most heavily protected device is also the most fragile piece of evidence that will ever reach a courtroom.
A police officer picks up a phone from a living-room table during a search. It goes into an envelope, the time is noted down, and the work continues. Eight minutes later, two hundred kilometres away, someone clicks a button on an administration console and the handset wipes itself completely, following a perfectly legitimate order issued by the corporate system that managed it. Nobody has destroyed evidence in the criminal sense: the IT department has simply applied the procedure it had written down for when a device leaves company control. The investigation has just lost its centrepiece, and the forensic report drafted months later will have to explain why the device turned up empty.
That scenario, which may sound like fiction, describes one of the tensions that Spain’s CCN-STIC-496 guide, issued by the National Cryptologic Centre, tries to settle from the security side. Its full title is Sistemas de Comunicaciones Móviles (Mobile Communications Systems), it belongs to the 400 series of general guides, and it is publicly available on the CCN-CERT portal. Its declared aim is to set out guidelines for designing corporate mobile communications systems and for reviewing and adapting existing deployments, so that both the communications established with the devices and the information stored on them become more secure. Its main threads are mobile communications security policy, usage procedures and internal regulations, a reference architecture, and the specific considerations that apply to classified information and supply chain management.
It is worth stating at the outset what kind of document this is and what it is not. The 496 was written for those who design, deploy and operate a fleet of corporate handsets, with public administration and sensitive-information environments in mind. It is not a forensic analysis manual and does not claim to be one. That is precisely what makes it interesting for this journal, because every design decision it helps to make —who owns the handset, what the organisation controls, what is encrypted, what is logged, what can be wiped remotely— ends up determining, years later, whether a judge can accept the evidence extracted from that device. This article walks the bridge between mobile fleet design and the courtroom, a bridge almost nobody crosses until it is too late.
The Witness in Our Pocket
The figures explain why this has stopped being a marginal issue. According to the household ICT survey published by Spain’s National Statistics Institute in 2025, 99.7 % of Spanish households with at least one member aged 16 to 74 have a telephone, and slightly more than half, 50.3 %, have already dropped the landline and run on mobile alone. Of people aged 16 to 74, 96.3 % used the internet in the three months before the survey, and 92.5 % did so daily. The phone has absorbed correspondence, diary, camera, family album, banking, health, work and romantic life for almost the entire adult population.
The procedural consequence follows directly. The 2025 report of the Spanish Prosecution Service, covering activity in 2024, records 27,104 judicial proceedings and 443 investigation files for computer-related crime, 14.86 % more than the previous year, with 4,406 indictments, up 22.97 %. Fraud committed through information technologies accounts for 83.43 % of those proceedings. And to that figure, which measures cybercrime in the strict sense, one must add the far larger volume of cases where the phone appears as the source of evidence for an entirely analogue offence: the conversation documenting a threat, the location data placing someone somewhere, the photograph taken minutes before an assault, the call log tracing a relationship between two people. The handset has become the silent witness to almost any fact under investigation.
The Court of Justice of the European Union has put this with a clarity worth remembering. In its judgment of 4 October 2024, delivered by the Grand Chamber in Case C-548/21, Bezirkshauptmannschaft Landeck, the Court recalled that police access to personal data held on a mobile phone may constitute a serious, and even very serious, interference with the fundamental rights of the person concerned, because such data allow very precise conclusions to be drawn about their private life. The case arose from an Austrian drug-trafficking investigation in which two officers tried to access the phone of the addressee of a cannabis parcel on their own initiative, without authorisation from the public prosecutor or a court. The Court accepted that such access may in principle extend to any type of offence, and in exchange required national law to define precisely the elements justifying it and, as a general rule, to subject the measure to prior review by a court or an independent administrative authority.
Where the 496 Sits in the CCN Catalogue
The National Cryptologic Centre, attached to Spain’s National Intelligence Centre, organises its guides into numbered series, a map we covered in the opening article of this series. Mobile devices occupy their own space within that catalogue, and understanding the division helps in knowing which document to reach for.
The 450 series gathers the secure configuration guides for specific handsets: the 450 as a general document, the various editions of the 453 for successive Android versions, and the 454 and 455 for iPad and iPhone. These are fine-tuning documents, listing the options to enable or disable in each operating system. CCN-STIC-457 deals with the mobile device management tool, the MDM, which is the console from which an organisation administers all its handsets remotely. CCN-STIC-827, already within the 800 series of the National Security Framework, governs the management and use of mobile devices in public administration, and its scope expressly covers both organisation-owned devices and user-owned ones, that is, the BYOD phenomenon.
Against that background, the 496 contributes the view from above: how the complete system is designed, with its reference architecture, its policy, its usage procedures and its requirements towards suppliers. Anyone who has to build a public body’s mobile estate from scratch will find the framework there, and the detail in the rest.
The National Security Framework, currently regulated by Royal Decree 311/2022 of 3 May, reinforces that concern in binding terms. It requires special attention to information stored on or in transit through portable or mobile equipment and devices, peripherals, storage media and communications over open networks, precisely because those are the points where information escapes the controlled perimeter. The 75 measures in its Annex II, organised into three frameworks and sixteen families, apply according to the system’s category —basic, medium or high— and several of them fall squarely on the handset an employee carries around.
Four Ways to Share a Phone
The first design decision for a mobile fleet is to settle who owns the device and what each party may do with it. Industry works with four models, and each carries very different consequences on the evidentiary side.
Under the corporate-owned, business-only model, known as COBO, the organisation buys the handset, hands it over pre-configured and forbids any personal use. This is the most comfortable scenario for an investigation: the device belongs to the company or public body, the user has been warned that there is no private sphere on that handset, and later access to its content raises few doubts. It is also the most expensive model and the one that copes worst with real life, because it forces employees to carry two phones.
The corporate-owned, personally enabled model, or COPE, keeps ownership with the organisation but accepts that the worker will also use the device privately. It is the most widespread arrangement in public administration, and it is where the problems begin: work email and photographs of the children live on the same handset, and any indiscriminate extraction sweeps up both.
The choose your own device model, or CYOD, lets the employee pick a handset from a closed catalogue that the organisation buys and administers. It splits the difference and encourages technical homogeneity, which in forensic terms is far more welcome than it sounds: an estate with three known models is vastly easier to examine than one with eighty.
Then there is BYOD proper, where the worker uses their own phone to reach the organisation’s resources. It is the cheapest model, the most convenient for the user and, by some distance, the worst from an evidentiary standpoint. The device belongs to a natural person protected by Article 18 of the Spanish Constitution; corporate information lives mixed in with their private life; the organisation cannot simply seize the handset; and any extraction a forensic examiner needs will collide with the private sphere of someone who may have nothing to do with the facts under investigation. Guide 827 expressly admits this scenario within its scope, which suggests that the administration treats it as an unavoidable reality rather than an anomaly to be banned away.
The MDM, or the Tool That Can Erase the Evidence
The mobile device management system is the piece that makes it possible to administer hundreds of scattered handsets. From its console, applications are distributed, password policies imposed, encryption enforced, work and personal profiles separated, and a lost device locked or wiped. CCN-STIC-457 is devoted to that tool, and the general guides in the series assume that any serious corporate deployment relies on it. From a security standpoint, it is a blessing.
From an evidentiary standpoint, it is a loaded weapon. The three functions most valuable for protecting information are also the three that can destroy an investigation.
The first is the remote wipe. Any modern management console can send a full wipe order, or a selective wipe of the corporate container, to a handset reported lost or compromised. That order travels as soon as the device regains connectivity, and it does not distinguish between a phone left in a taxi and one seized by judicial authority half an hour earlier. It is enough for the seized device to keep talking to the network for the fieldwork to evaporate.
The second is the automatic lockout after failed attempts. Many corporate policies mandate wiping the handset after a set number of wrong passcodes. An officer trying their luck with the unlock pattern may trigger exactly what they were trying to prevent.
The third is managed encryption. Full-disk and container encryption is non-negotiable today, and no serious security guide would question it. It happens that this same encryption is why many extractions fail once the handset has returned to the state it was in when it booted without being unlocked.
Reading this tension correctly means building the judicial scenario into fleet policy, something security guides do not solve because it is not their job. A far-sighted organisation writes down who may order a remote wipe, what checks are made before executing it, and what procedure suspends that capability when a device has been seized in an investigation or is subject to litigation. That last point, known in the common-law world as a legal hold, barely features in Spanish mobile management manuals, and it is probably the costliest gap of all.
What a Phone Says About Its Owner
It is worth pausing on what exactly is sought inside a handset, because the answer has changed a great deal in fifteen years and explains why the Court of Justice speaks of very serious interference.
The obvious content —messages, calls, contacts, photographs, email— is only the surface. Beneath it lies a far more revealing layer that the user neither controls nor usually knows about. Applications’ internal databases retain messages marked as deleted, drafts never sent and thumbnails of erased images. System logs record which application was opened and when, at a granularity that allows a user’s activity to be reconstructed minute by minute. The history of wireless networks the device has joined maps out the places frequented, and does so even when location services were switched off. Motion sensors, health data and voice assistant records add layers that did not exist a decade ago. And automatic backups replicate all that material onto servers that may sit on another continent.
For the lawyer, that accumulation has an immediate consequence: examining a phone is rarely a narrowly bounded step. Finding one specific conversation technically requires acquiring far more than what is sought, which is why Article 588 sexies c of the Spanish Criminal Procedure Act obliges the judge to set the terms and scope of the search. Proportionality, in this field, is settled through prior delimitation and later filtering rather than through the bare decision to access or not.
The First Sixty Minutes
If the whole of mobile forensics had to be reduced to a single piece of advice, it would be this: what is done in the first hour determines what can be proved at trial. The correct sequence is not intuitive, and many mistakes come from applying to a phone the habits inherited from desktop computers.
Isolate without powering down. The general principle, embedded in international practice on digital evidence collection, is to cut off all communication between the handset and the outside world without removing its power. The canonical way to do this is to place it in a Faraday bag, a metallic-fabric container that blocks radio signals and leaves the device incommunicado; failing that, to enable flight mode and disable wireless connections. That single gesture is what stops the remote wipe order described above from arriving, and also what prevents incoming messages from altering the device’s state. Bear in mind that a Faraday bag forces the phone to transmit at full power hunting for coverage, so the battery plummets; carrying a portable power supply is part of the basic kit for anyone collecting a handset.
Do not power down, and know why. Here lies the distinction that separates a trained responder from an improvising one. Current phones encrypt their storage with keys that are only derived when the user enters their passcode. Before the first unlock after power-on, a situation the manuals call the BFU state —before first unlock— most keys remain protected by the processor’s secure element and personal content is unreadable even though the device responds. Once the user has unlocked the handset at least once, it enters the AFU state —after first unlock— and many of those keys sit loaded in memory, so forensic tools reach an incomparably larger body of data. Android has for years applied file-based encryption, separating credential-protected storage from what is decrypted at boot; iOS does the same through its own data protection architecture. The practical consequence is blunt: powering down a seized phone in the AFU state can turn a rich extraction into an empty one, and that shutdown cannot be undone.
Document the initial state. Photographing the screen as found, noting whether it was locked or unlocked, whether notifications were showing, what time the handset’s clock displayed against real time, and which cards were inserted, all belongs in the record, and that information is lost forever the moment somebody handles the device. The discrepancy between device time and official time is, in particular, the detail that later allows every timestamp in the dump to be read correctly.
Log the chain from minute zero. The documentation answering, at any given moment, who held the handset, when, why and what they did with it is the chain of custody proper. Standard ISO/IEC 27037:2012 systematises these tasks and distinguishes two roles frequently blurred in Spain: the DEFR, the qualified first responder who identifies, collects and preserves, and the DES, the specialist who subsequently acquires and analyses. The family is completed by 27041, on the suitability of the methods used; 27042, on analysis and interpretation; and 27043, on the general principles of the process. Alongside them stands the classic RFC 3227, which in 2002 set the order of volatility: collect first what disappears soonest, a criterion that in a powered-on phone points straight at memory and at the state of its connections.
How Far Each Extraction Reaches
When the handset reaches the laboratory, the examiner chooses an acquisition method, and that choice conditions what can be asserted afterwards. NIST SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics, published in 2014 by the United States National Institute of Standards and Technology, remains the reference that ranks those levels from least to most invasive.
Manual extraction means operating the phone as its owner would, photographing or recording what appears on screen. It is quick, needs no tools, and serves to place a conversation on record immediately. Its limits are severe: it reaches nothing deleted, it depends on the device being unlocked and, above all, it leaves traces, because every tap modifies the device.
Logical extraction talks to the operating system through its interfaces and recovers what the device is willing to hand over: contacts, active messages, call logs, accessible files. It is clean and well supported, and it does not recover deleted information.
File system extraction goes one level down and copies the directory structure and applications’ internal databases. This is where records marked as deleted but not yet overwritten begin to appear, and it is the level that in practice resolves most cases.
Physical extraction obtains a bit-by-bit image of the device’s memory, including unallocated space. It is the most complete and the one that recovers material erased long ago, yet modern encryption has rendered it useless on many handsets, because the resulting image is no more than encrypted noise without the corresponding key.
Below these lie the invasive techniques: access through the circuit’s debug ports, known as JTAG, and chip-off, which involves desoldering the memory chip and reading it in an external reader. They are destructive or nearly so, demand solid justification and, with encryption on by default, resolve fewer and fewer cases.
Whatever the level, two requirements are non-negotiable. The first is computing a hash —today SHA-256— over the acquisition, generating a unique fingerprint capable of detecting any subsequent alteration, however small. The second is to work always on copies and never on the original. And there is a third that tends to be forgotten: documenting which tool was used, in which version and with what limitations, because competent defence counsel will ask precisely about that.
Who Authorises Opening a Phone
Everything above is technique. Without legal cover, the finest extraction in the world is worth nothing.
The Spanish regime sits in Articles 588 sexies a, b and c of the Criminal Procedure Act, introduced by Organic Law 13/2015. The starting rule is the one most often breached in daily practice: the physical seizure of a device does not by itself authorise access to its content. A specific, reasoned judicial decision is required, setting the terms and scope of the search, which may authorise copies of the data and must establish the conditions needed to ensure the integrity of the information and the guarantees of its preservation for any later expert examination. The law adds a proportionality criterion that often goes unnoticed: the physical seizure of storage media must be avoided where copies can be obtained without seriously harming the owner.
The exception lies in paragraph four of Article 588 sexies c: in urgent cases where a legitimate constitutional interest is at stake, the judicial police may examine the data on a seized device directly, reporting immediately to the judge, within a maximum of twenty-four hours, so that the action may be ratified or overturned. That urgency route generates the most litigation, and it is also the one Spanish scholarship has been reassessing in light of the Court of Justice’s Landeck judgment, which requires prior review as a general rule and admits deferred review only in duly justified urgent cases.
Although the framework is sound, practice reveals a recurring weak flank. The order authorising the search is on file; the expert report analysing the dump is on file; and what is missing is the intermediate documentation showing what happened to the device between the two. That gap is the door through which challenges walk in.
When Authenticity Is Challenged
The leading decision on digital evidence remains Supreme Court judgment 300/2015 of 19 May, from the Criminal Chamber. Its doctrine, framed around conversations held over instant messaging, has become the standard warning: because such communications can be manipulated, their assessment demands the utmost caution, and where the opposing party challenges their authenticity, the burden of establishing it falls on whoever seeks to rely on them, normally through expert evidence identifying the true origin of the communication, the identity of the parties and the integrity of its content.
From this follows a practical consequence worth repeating at every opportunity: a screenshot is not digital evidence. It is a picture of a screen, and pictures are composed, cropped and fabricated without difficulty. The value lies in the source device or in the forensic dump with its hash fingerprint, obtained through a documented procedure. Lawyers who deal daily with clients bringing folders of printed screenshots know this awkward conversation well; those who have it in good time avoid surprises at the hearing.
The scope of that doctrine deserves precision, because it is sometimes cited more emphatically than it warrants. The Supreme Court itself has since clarified that the absence of an authenticity report does not automatically prevent the content from being assessed where other elements rule out manipulation, such as acknowledgement by the other party to the conversation or testimony from someone who witnessed the message being sent. Expert evidence is the safest route, and not the only door through which the evidence may enter.
The BYOD Minefield
That leaves the most uncomfortable scenario: the worker’s personal phone that also serves for work. Here the right to privacy, the employer’s management powers and the needs of an investigation all converge, and the result is ground on which it is easy to misstep.
The European starting point was set by the European Court of Human Rights in Bărbulescu v. Romania, decided by the Grand Chamber on 5 September 2017. The Court found a violation of Article 8 of the Convention and set out a battery of factors that national courts must weigh before endorsing a monitoring measure: whether the employee had been notified in advance of the possibility of monitoring and of its nature, the extent of the monitoring and the degree of intrusion, the existence of legitimate reasons justifying it, whether less intrusive measures were available, the consequences for the employee and the safeguards provided. And it left behind a sentence that sums up the doctrine: an employer’s instructions cannot reduce private social life in the workplace to zero.
In Spain, Article 87 of Organic Law 3/2018 on Personal Data Protection and the guarantee of digital rights expressly governs the right to privacy in the use of digital devices made available to workers, requires the criteria for their use to be established with the participation of workers’ representatives, and conditions employer access on respect for minimum privacy standards. The Constitutional Court, for its part, had already recognised in judgment 173/2011 of 7 November that the body of information accumulated on a personal computer forms part of the constitutionally protected sphere of privacy, doctrine that applies with even greater force to a phone, where the accumulation is larger and more intimate.
Translated into design decisions, this means that a BYOD deployment that does not wish to become a problem must rest on three pieces. The first is genuine technical separation between the corporate and personal spheres, through managed containers or work profiles, so that the organisation administers only its own side and can demonstrate as much. The second is a written, communicated and signed policy explaining in advance what the company may do, in what circumstances, to what extent and with what safeguards; without that prior information, the first Bărbulescu factor already counts against it. The third is an agreed procedure for the event of an investigation, setting out how the device is preserved, who holds it, how the extraction is confined to the corporate perimeter and what happens to the personal information that will inevitably be acquired along the way.
When the Evidence No Longer Sits in the Phone
A growing share of what matters to an investigation resides not on the device but on the service provider’s servers. Cloud backups, synchronised message histories, replicated photographs and access logs live beyond the reach of a local dump, and frequently beyond Spain’s borders.
The instrument set to change that has a date attached. Regulation (EU) 2023/1543 of 12 July 2023, on European production and preservation orders for electronic evidence in criminal proceedings, applies from 18 August 2026. It allows a judicial authority in one Member State to address a service provider established in or offering services to another Member State directly and demand data, with a general response deadline of ten days and far shorter deadlines in emergencies, without travelling the traditional route of mutual legal assistance. For the forensic examiner, the relevant novelty is methodological: a preservation order freezes the data before the provider’s retention policies delete them, and that preliminary move rescues investigations that used to be lost to sheer administrative delay.
The design lesson for the organisation is symmetrical. Knowing what is synchronised, where to, under which contract and with what retention period is part of the inventory the 496 asks to be put in order when it addresses reference architecture and supply chain management. A well-documented fleet can answer a judicial request in hours; an improvised one has to start by asking the provider where its own information is kept.
Preparing the Fleet Today for Tomorrow’s Trial
The concept of forensic readiness, which we covered for Linux servers in an earlier article in this series, consists of taking today the decisions that will make it possible to prove something tomorrow. Applied to mobile devices, it comes down to a short and demanding list.
It begins with the inventory: model, operating system version, device and card identifiers, assigned user and issue date, with a historical record of changes. It continues with the homogeneity of the estate, which makes any future examination cheaper and faster. Next comes retaining the management system’s logs, which document which policies were applied to each device and when, and which in proceedings work as the official timeline of what happened. It demands a procedure for suspending remote wipe on devices affected by an investigation or litigation, with identified owners and a channel for triggering it outside working hours. It calls for reliable time synchronisation across the fleet, because timestamps are the backbone of any reconstruction. It builds in training for the first responder, even if that person belongs to the IT department rather than a forensic unit, so that they know how to isolate without powering down and how to document the initial state. And it closes with a standing arrangement with the forensic service, internal or external, so that nobody has to improvise a provider on the day a court asks for a dump.
Nothing on that list is expensive. Almost all of it consists of writing procedures and settling in advance matters that, when the moment comes, will be settled badly and in a hurry.
A Device That Will Testify for Us
CCN-STIC-496 belongs to a family of documents written by engineers for engineers, and reading it directly calls for some familiarity with security vocabulary. Its interest for the forensic and legal world lies in what it orders upstream: the policy, architecture and procedures of a mobile fleet are the decisions that determine whether, two years later, an examiner will be able to extract anything useful from a device and whether a judge will be able to take it seriously.
The phone we carry accumulates more information about our lives than anything else we have ever owned. That accumulation is why the Court of Justice surrounds it with reinforced safeguards, why the Spanish legislature required a specific judicial decision to search it, and why the fieldwork of the first hour weighs so heavily. Anyone designing a mobile fleet solely to prevent a data leak is solving half the problem; the other half is called being able to prove it, and it is played out in a room where the device will speak for its owner, for better or worse, with whatever precision the care we took beforehand allows.
Bibliografía
Centro Criptológico Nacional. (2021). CCN-STIC-496. Sistemas de comunicaciones móviles. Centro Criptológico Nacional, CNI. https://www.ccn-cert.cni.es/es/series-ccn-stic/guias-de-acceso-publico-ccn-stic
Centro Criptológico Nacional. (2014). CCN-STIC-827. Esquema Nacional de Seguridad. Gestión y uso de dispositivos móviles. Centro Criptológico Nacional, CNI.
Centro Criptológico Nacional. (s. f.). CCN-STIC-457. Herramienta de gestión de dispositivos móviles (MDM). Centro Criptológico Nacional, CNI.
Fiscalía General del Estado. (2025). Memoria elevada al Gobierno de S. M. presentada al inicio del año judicial. Capítulo III.8, Criminalidad informática. Ministerio de Justicia. https://www.fiscal.es/memorias/memoria2025/FISCALIA_SITE/index.html
Instituto Nacional de Estadística. (2025). Encuesta sobre equipamiento y uso de tecnologías de información y comunicación en los hogares. Año 2025. INE. https://www.ine.es/dyngs/Prensa/TICH2025.htm
International Organization for Standardization & International Electrotechnical Commission. (2012). ISO/IEC 27037:2012. Information technology — Security techniques — Guidelines for identification, collection, acquisition and preservation of digital evidence. ISO.
Ayers, R., Brothers, S., & Jansen, W. (2014). Guidelines on mobile device forensics (NIST Special Publication 800-101 Rev. 1). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-101r1
Howell, G., Franklin, J. M., Sritapan, V., Souppaya, M., & Scarfone, K. (2023). Guidelines for managing the security of mobile devices in the enterprise (NIST Special Publication 800-124 Rev. 2). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-124r2
Brezinski, D., & Killalea, T. (2002). Guidelines for evidence collection and archiving (RFC 3227). Internet Engineering Task Force. https://doi.org/10.17487/RFC3227
Ley Orgánica 13/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica. Boletín Oficial del Estado, 239, de 6 de octubre de 2015.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Boletín Oficial del Estado, 294, de 6 de diciembre de 2018.
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Boletín Oficial del Estado, 106, de 4 de mayo de 2022.
Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, sobre las órdenes europeas de producción y las órdenes europeas de conservación a efectos de prueba electrónica en procesos penales y de ejecución de penas privativas de libertad a raíz de procesos penales. Diario Oficial de la Unión Europea, L 191, de 28 de julio de 2023.
Sentencia del Tribunal Constitucional 173/2011, de 7 de noviembre. Boletín Oficial del Estado, 294, de 7 de diciembre de 2011.
Sentencia del Tribunal Supremo (Sala de lo Penal) 300/2015, de 19 de mayo.
Tribunal de Justicia de la Unión Europea. (2024). Sentencia de 4 de octubre de 2024, C. G. contra Bezirkshauptmannschaft Landeck, C-548/21 (Gran Sala). ECLI:EU:C:2024:830.
Tribunal Europeo de Derechos Humanos. (2017). Bărbulescu contra Rumanía (Gran Sala), demanda n.º 61496/08, sentencia de 5 de septiembre de 2017.
Créditos de las imágenes
Portada: composición propia de Actum Forense Press.
Bolsa de Faraday: fotografía de MIC85, CC BY-SA 4.0, vía Wikimedia Commons.
Equipo de extracción forense Cellebrite UFED: fotografía de jon crel, CC BY 2.0, vía Wikimedia Commons.
Esquemas de modelos de despliegue y de niveles de extracción: elaboración propia de Actum Forense Press.
Deja una respuesta