Análisis forense de WhatsApp en juicio penal: cómo saber si una conversación es auténtica o fue adulterada

Por: Mg. Sergio Juvenal De La Cruz Zúñiga
Perito Informático Forense Certificado CISCF México 2026 (Código: ASGMLT34°G-12)
Abogado Penalista con 14 años de experiencia laboral
Consorcio Jurídico De La Cruz — El Tambo, Huancayo, Perú

En la práctica penal contemporánea en el Perú, el uso de mensajería instantánea como medio probatorio se ha convertido en la regla y no en la excepción. Investigaciones por delitos de extorsión, corrupción de funcionarios, crimen organizado, violencia contra la mujer y delitos informáticos tipificados en la Ley N° 30096 basan frecuentemente sus imputaciones en conversaciones de WhatsApp. Sin embargo, existe una grave deficiencia en la incorporación de esta evidencia: la presentación de simples impresiones en papel o capturas de pantalla («pantallazos»), las cuales carecen de las garantías mínimas de autenticidad, integridad y unicitad. Como abogado penalista y perito informático forense, sostengo categóricamente que una captura de pantalla no es una prueba digital; es meramente una representación gráfica fácilmente manipulable.

1. Valor probatorio de WhatsApp en el Código Procesal Penal peruano y la Ley N° 30096

El Código Procesal Penal (CPP) peruano de 2004 reconoce el principio de libertad probatoria (Art. 157) y la admisibilidad de los documentos electrónicos o digitales (Art. 184 y 185). Sin embargo, la naturaleza volátil y alterable de los datos informáticos exige formalidades técnico-legales rigurosas para que una conversación de WhatsApp adquiera pleno valor probatorio en juicio oral.

La Ley N° 30096 (Ley de Delitos Informáticos), modificada por la Ley N° 30171, sanciona en su artículo 9 la alteración, daño, borrado o supresión de datos informáticos. Presentar una conversación de WhatsApp maliciosamente editada en un proceso penal no solo vicia el medio probatorio por vulnerar la regla de exclusión probatoria, sino que puede constituir la comisión de un delito de fraude procesal (Art. 416 del Código Penal) e injerencia o adulteración de datos informáticos.

Para que una conversación de WhatsApp sea válida en un juzgado penal, debe cumplir con tres pilares fundamentales:

• Autenticidad: Certeza de la identidad de los interlocutores (asociación de la cuenta con un número MSISDN, línea telefónica y titularidad del servicio).
• Integridad: Garantía de que la conversación no ha sido modificada, suprimida o alterada desde su generación o extracción.
• Trazabilidad (Cadena de Custodia): Cumplimiento estricto del protocolo de fijación, recolección, embalaje y procesamiento de la fuente digital, conforme a la Resolución N° 729-2006-MP-FN.

2. Técnicas forenses para verificar la autenticidad de una conversación

El análisis forense digital de WhatsApp no consiste en mirar una pantalla, sino en auditar la estructura interna del dispositivo físico (sistema operativo Android o iOS) y sus bases de datos SQLite. Los procedimientos técnicos de estándar internacional (normas ISO/IEC 27037 e ISO/IEC 27042) comprenden los siguientes pasos:

A. Adquisición forense y Hash SHA-256

Utilizando herramientas de nivel gubernamental como Cellebrite UFED, Oxygen Forensics o XRY, se realiza una extracción lógica avanzada o física del dispositivo móvil. Inmediatamente obtenida la imagen forense, se calcula el algoritmo de resumen o Hash SHA-256 (o MD5). El código Hash actúa como una «huella digital matemática» del archivo extirpado; cualquier cambio de un solo bit en la base de datos alterará completamente dicho código, demostrando si existió o no manipulación posterior.

B. Desencriptación e inspección de la base de datos `msgstore.db`

WhatsApp almacena el historial de chat cifrado en el directorio interno del teléfono bajo el nombre msgstore.db.crypt14 (o versiones afines). Mediante la obtención de la clave de descifrado (clave alojada en el directorio protegido del sistema), el perito accede a la base de datos original desprotegida msgstore.db.

El análisis relacional se ejecuta examinando tablas clave dentro del motor SQLite:

• messages: Contiene el texto de los mensajes, marcas de tiempo, tipo de contenido y estados de entrega.
• chat: Contiene la lista de chats y la vinculación con las direcciones de usuario (JID - Jabber ID).
• jid: Almacena los identificadores unívocos de los usuarios (ejemplo: 51987654321@s.whatsapp.net).

C. Análisis de metadatos y registros complementarios

Cada mensaje posee metadatos críticos, como el UNIX Timestamp (marcas de tiempo en milisegundos desde el 1 de enero de 1970). Estos valores permiten cotejar la cronología real del flujo de la conversación, independientemente de la hora visual mostrada por la interfaz gráfica del aplicativo.

3. Señales técnicas de que una conversación fue editada o fabricada

Existen diversas modalidades para falsificar un chat: desde aplicaciones de simulación visual («Fake Chat Generators»), manipulación de la captura con programas de edición fotográfica (Photoshop/GIMP), hasta la modificación directa de la base de datos SQLite en teléfonos con permisos de superusuario (Root o Jailbreak).

A través de un examen forense minucioso, un perito informático puede detectar las siguientes incoherencias técnico-forenses:

• Anomalías en la secuencia de IDs de la base de datos: En la tabla messages, la columna _id es un valor autoincremental. Si se elimina o inserta un mensaje de forma manual, se generan saltos inusuales en los identificadores correlativos o incoherencias con la tabla sqlite_sequence.
• Discrepancias en los timestamps (Tiempo Epoch): Un atacante puede cambiar el texto de un mensaje pero olvidar actualizar los metadatos temporales como received_timestamp, receipt_server_timestamp o read_device_timestamp, generando una inconsistencia lógica imposible de ocurrir en el flujo normal de la red.
• Edición posterior mediante función nativa: WhatsApp permite editar mensajes enviados dentro de un periodo determinado. Sin embargo, en la base de datos forense, el mensaje original y su modificación quedan registrados en tablas secundarias con flags específicos de edición (campos de revisión de protocolo).
• Descalce del registro WAL (Write-Ahead Logging): Las bases de datos SQLite utilizan archivos transaccionales (msgstore.db-wal