Aprende las técnicas de recuperación de SMS eliminados y análisis forense de tarjetas SIM. Desde conceptos básicos hasta recuperación avanzada de datos.
La base de la identificación en redes móviles y su importancia forense
Una tarjeta SIM (Subscriber Identity Module) es una tarjeta inteligente desmontable usada en teléfonos móviles que almacena de forma segura la clave de servicio del suscriptor usada para identificarse ante la red.
Permite cambiar la línea de un terminal a otro simplemente cambiando la tarjeta. Su uso es obligatorio en redes GSM y su equivalente en redes UMTS se denomina USIM.
La tarjeta contiene información independiente del sistema operativo del teléfono:
Número de identificación personal. Se requiere al acceder a la información. Tras 3 intentos erróneos, la tarjeta se bloquea requiriendo el código PUK.
Código para desbloquear la SIM tras introducir erróneamente el PIN. Si se introduce mal varias veces, la información se elimina irreversiblemente.
Los nuevos terminales almacenan información en el sistema operativo, delegando a la SIM solo cuando el disco se llena, complicando el análisis forense.
Cómo se organizan los SMS en la tarjeta SIM
La tarjeta SIM contiene un archivo especial donde se guardan los SMS. Este archivo tiene varias "franjas horarias" o ranuras, siendo el número finito (generalmente 20-25 SMS, aunque las modernas tienen más).
Cada ranura de SMS se compone de varios campos:
Cuando todas las zonas están llenas:
Análisis del archivo SMS a nivel de bytes:
Ejemplo de tarjeta con 20 ranuras: 4 mensajes (2 activos, 2 eliminados)
Entendiendo cómo se eliminan los mensajes para poder recuperarlos
Algunos teléfonos eliminan un SMS simplemente cambiando el valor de estado de "en uso" (07) a "vacío" (00), dejando intactos los otros campos (número, fecha, texto).
El mensaje tiene estado 07 (en uso) y es visible en el teléfono.
El usuario elimina el mensaje desde el menú del teléfono.
El sistema cambia el byte de estado de 07 a 00.
El teléfono ya no muestra el mensaje, pero los datos permanecen.
00 (vacío) a 07 (en uso).
Algunas compañías utilizan software que marca el SMS como borrado permanentemente, sobrescribiendo la zona un número determinado de veces con datos aleatorios o ceros, eliminándolo correctamente.
Muchos teléfonos modernos almacenan SMS en su propia memoria en lugar de en la SIM. Cada fabricante tiene una forma distinta según el sistema operativo, requiriendo técnicas específicas de recuperación.
Técnicas y herramientas para recuperar mensajes borrados
La recuperación se basa en modificar el byte de estado de la ranura SMS
de 00 (vacío/eliminado) a 07 (en uso).
Conectar la tarjeta SIM mediante lector compatible PC/SC.
Localizar ranuras con estado 00 que contienen datos válidos.
Cambiar el byte de estado de 00 a 07.
El mensaje aparecerá nuevamente en el teléfono.
Existen diversas herramientas comerciales y open source para el análisis forense de SIM:
Cambia/deshabilita PINs, accede a todas las posiciones, exporta contactos
ComercialIncluido con DEKART. Muestra mensajes eliminados en rojo, permite recuperar
PropietarioReúne pruebas electrónicas, visualiza entrañas de la tarjeta
ForenseLectura forense con cadena de custodia
ProfesionalAnálisis avanzado de USIM y SIM
AvanzadoEspecializado en dispositivos Symbian
LegacyLector de tarjetas SIM compatible con drivers PC/SC:
Precio: ~33€ + gastos de envío
Conectar el lector DEKART vía USB e instalar drivers PC/SC.
Insertar la tarjeta SIM en el lector correctamente orientada.
Introducir PIN si es necesario. Si está bloqueada, usar PUK.
Abrir MOBILedit! Forensics o SIM Manager.
Navegar a la sección de mensajes SMS/MMS.
Buscar en "Deleted Items" o mensajes marcados en rojo.
Clic derecho → Recuperar (o cambiar estado manualmente).
Guardar logs y mensajes recuperados con hash de integridad.
En investigaciones de acoso o stalking, los SMS eliminados pueden contener amenazas o mensajes comprometedores que la víctima borró por miedo pero que son cruciales como evidencia.
Casos de acoso sexual a menores donde el agresor intenta eliminar el rastro de sus comunicaciones. La recuperación puede salvar vidas y proporcionar pruebas contundentes.
Usuarios que eliminan accidentalmente SMS importantes con direcciones, contraseñas, códigos PIN o información crítica que necesitan recuperar.
Análisis de comunicaciones en casos de narcotráfico, terrorismo o crimen organizado donde los sospechosos borran mensajes regularmente.
Software y hardware especializado para investigación digital
Lector forense especializado con cadena de custodia integrada
Análisis avanzado de tarjetas USIM y SIM de última generación
Especializado en dispositivos con sistema Symbian
Extracción forense de PDAs y dispositivos móviles antiguos
Herramienta para dispositivos Palm Pilot
Gestión y análisis de teléfonos móviles CDMA
Extracción forense de teléfonos celulares
Solución completa de extracción móvil
Análisis forense de dispositivos GSM
Gestión y análisis forense multiplataforma
Base de datos y análisis de información móvil
Visualización segura de evidencia digital
Herramienta de análisis 2G/GSM
Dispositivos hardware profesionales como el Csurv M-TEK de 3GForensics mantienen la integridad de la tarjeta SIM durante el proceso de extracción, garantizando la cadena de custodia.
Practica la recuperación de SMS en un entorno seguro
Simula el proceso de borrado y recuperación de SMS. Cambia el estado de las ranuras para ver cómo afecta a la visibilidad de los mensajes.
Responde estas preguntas para verificar lo que has aprendido