Habitualmente me llegan consultas sobre la posibilidad de recuperar los Mensajes borrados de Whatsapp para aportarlos como prueba en un juicio. En la mayoría de los casos estas consultas llegan demasiado tarde, cuando ya la recuperación de estos mensajes es prácticamente imposible. Pero me parece interesante escribir un poco acerca de este tema, para intentar aclarar las posibilidades existentes, y qué es lo más recomendable en cada caso. Vamos con ello!

Cómo y donde se almacenan los mensajes de Whastapp

Los mensajes de Whastaspp estan almacenados únicamente en los teléfonos móviles que están involucrados en una determinada conversación. Esto quiere decir que si es una conversación “normal”, entre 2 personas, los mensajes sólo están guardados en los teléfonos móviles de los intervinientes en la conversación. Sin embargo, si es un “chat de grupo”, todos los miembros del grupo tendrán una copia de los mensajes intercambiados en el grupo (siempre desde que esa persona es miembro del grupo).

Whatsapp no almacena información alguna en sus servidores una vez que los mensajes están entregados a sus correspondientes destinatarios y además, desde que se implementó el cifrado extremo a extremo, tampoco puede conocer el contenido de los mensajes.

Aunque más adelante hablaremos más sobre ellas, las copias de seguridad realizadas en cada uno de los teléfonos intervinientes en la conversación, tambíen contienen copias de estos mensajes. Aunque estas copias no sean fácilmente localizables o identificables a simple vista, pueden ser utilizadas por un perito informático forense para recuperar dicha información.

Para aquellos que se hayan planteado poder solicitar a Whatsapp una copia de algunos mensajes para aportarlos en un proceso judicial, que tengan claro que esta opción es inviable. Es necesario tener acceso a los dispositivos involucrados en en la conversación (o en su defecto, a una copia de seguridad de los mismos).

Si estás interesado en conocer más sobre la validez de los Whatsapp en procesos judiciales, te invito a que revises el siguiente artículo de mi blog en el que profundizo en este tema: http://blog.peritotecnologico.net/2017/08/05/validez-del-whatsapp-proceso-judicial/

¿Han pasado más de 7 días desde que borraste estos mensajes?

Esta es la pregunta clave en la mayoría de los casos. Si la respuesta es SI, felicidades: Tienes muchas opciones de poder recuperar tus mensajes de Whatsapp. En caso negativo, más adelante comentaré qué opciones te quedan, aunque no debemos ser demasiado optimistas.

Esto es así porque Whatsapp guarda automáticamente en tu teléfono móvil copias de seguridad de los mensajes de los últimos 7 días. Es necesario que recuerdes el instante concreto en el que borraste estas conversaciones, dado que tendrás que localizar la copia de seguridad inmediatamente anterior al momento del borrado.

Si borraste una conversación y posteriormente se realizó una copia de seguridad, esta nueva copia ya no contendrá los mensajes que fueron eliminados, y por tanto, no podrá utilizarse como fuente de recuperación para los mismos.

Las copias de seguridad de Whatsapp

Aunque la mayoría de los usuarios de esta aplicación no lo sepan, Whatsapp realiza automáticamente copias de seguridad de sus mensajes, principalmente con el objetivo de poder recuperar la información ante algún desastre. Lo que ocurre es que los mecanismos utilizados han ido variando a lo largo del tiempo (recordemos que Whatsapp ya es un veterano con “solera”). Dependiendo del sistema operativo (Android, iOS, Windows, otros…), de la versión de dicho sistema, de la configuración del usuario, las copias de seguridad pueden estar en un sitio u otro. Repasemos las opciones más frecuentes:

Opción 1. Copias de Seguridad en el propio dispositivo en Android

Desde las primeras versiones Whatsapp para Android, la aplicacion guarda en el propio dispositivo de forma automática (una vez al día sobre las 02:00) una copia de seguridad de la base de datos en la que guarda todos sus mensajes. Esta información se almacena en la tarjeta SD o en la memoria interna del teléfono (según el dispositivo y la configuración), pero sea donde sea, estas copias de seguridad están accesibles para el usuario.

Siempre se guardan en una carpeta denominada Whatsapp/Databases y tienen un nombre del tipo “msgstore-AAAA-MM-DD.db.cryptZZ”, donde AAAA-MM-DD representa la fecha de realización de la copia y ZZ (con un valor que puede ir del 07 al 12) representa el algoritmo de encriptación utilizado para almacenar los datos. La versión actual es la “crpyt12”.

Siempre encontrarás un fichero denominado “msgstore.db.cryptZZ”, que es el que contiene la copia de seguridad más reciente.

Para acceder a esta carpeta hay varias alternativas, pero las más sencillas son extraer la tarjeta SD o conectar el dispositivo móvil a un PC, de forma que puedas leer su contenido. Puedes realizar copias “manuales” de estos ficheros a tu PC o a cualquier otro dispositivo por si en algún momento las necesitas, aunque realmente casi nadie llega a plantearse esta necesidad.

Si quieres recuperar mensajes almacenados en una copia antigua (recuerda siempre localizar una copia anterior al borrado), debes reemplazar el fichero “msgstore.db.cryptZZ” por la copia antigua, desinstalar Whatsapp (si, no tengas miedo) y cuando lo instales de nuevo, te ofrecerá la posibilidad de restaurar la copia de seguridad.

Puedes ver más información sobre este proceso en las FAQ de Whatsapp: https://faq.whatsapp.com/en/android/20887921?lang=es

OJO PELIGRO! Al restaurar la copia de seguridad los mensajes enviados o recibidos con fecha posterior a la copia restaurada desaparecerán. Ten cuidado no vayas a perder información importante. Como ya os he indicado anteriormente, si se trata de recuperar información para un proceso judicial, antes de nada contacta con un perito informático que te asesore.

Opción 2. Copias de Seguridad de Whatsapp en la Nube (Android e iOS)

En la mayoría de los móviles Android recientes y en todos los de iOS, Whatsapp nos proporcionará la posibilidad de configurar una copia de seguridad automática en la nube, ya sea a través de la cuenta de Google o a través de iCloud.

Si tenemos dudas sobre si tenemos activada o no esta opción, hay que revisar los ajustes de Whatsapp, en las opciones de Chat y Conversaciones, os indicará si tenéis activada esta opción, la fecha de la última copia de seguridad, la frecuencia de copia, etc…

En este caso, sólo tendréis accesible una copia de seguridad (y no 7 como en los dispositivos Android). Debéis revisar si por la fecha de la copia, esta puede contener los mensajes buscados. Si fuera así, bastaría con desinstalar Whatsapp de vuestro dispositivo y reinstalarlo. Nada más abrir la aplicación y verificar vuestra identidad, os permitirá restaurar los mensajes de la citada copia. Esta opción también es útil para recuperar tus mensajes cuando cambias de móvil (siempre que no cambies de sistema operativo).

De nuevo os propongo revisar la información que nos proporciona Whatsapp sobre este proceso: https://faq.whatsapp.com/en/iphone/20888066/?lang=es

Opción 3. Copias de Seguridad de iPhone (iOS)

Si eres propietario de un iPhone seguramente conozcas que conectando el móvil a un ordenador (PC o Mac) y utilizando el software de ITunes, puedes realizar una copia de seguridad completa de los datos de tu dispositivo. En esta copia también están incluidos los datos de Whatsapp.

Mediante la propia herramienta de iTunes se pueden recuperar los mensajes de Whatsapp de nuevo a tu teléfono.

¿Y si no tengo una copia de seguridad de los mensajes?

Si has llegado a esta parte del artículo, supongo que no habrás podido localizar una copia de seguridad de tus mensajes de Whatsapp. Si los mensajes son muy importantes para tí, supongo que ya habrás hecho alguna búsqueda en Internet (quizá a través de ella hayas llegado a esta artículo), y me imagino que habrás encontrado multitud de herramientas que afirman poder recuperar mensajes borrados de Whatsapp.

En mi opinión, el 99% de estas herramientas son engaños, estafas o aplicaciones que instalan “malware” en vuestro teléfono. En algunos casos, son herramientas que os piden que aportéis una copia de seguridad para la recuperación o que os permiten acceder a las cuentas en la nube para recuperar estos mensajes. Pero para esto, como ya os he explicado anteriormente, no es necesaria ninguna aplicación.

Sólo existe una técnica válida para la recuperación de estos mensajes borrados, y es la realización de un proceso que los informáticos denominamos “file carving“. El “file carving” se utiliza para recuperar información borrada en cualquier tipo de almacenamiento o memoria digital, y se basa en que en la mayoría de los casos, cuando borramos un fichero en un dispositivo, este realmente no se borra, sino que se almacena en un espacio de la memoria no accesible por el usuario. Con las herramientas adecuadas, se puede analizar este espacio “no accesible” y recuperar información que aparentemente había sido borrada.

Existen herramientas en el ámbito de la técnica informática forense que permiten realizar procesos de “file carving” sobre dispositivos móviles, con algunas mejoras específicas relacionadas con “SQLite”, que es el sistema de base de datos que utiliza Whatsapp para almacenar su información. Estas herramientas, en algunos casos pueden recuperar mensajes borrados, con una probabilidad de éxito mayor cuanto menos tiempo haga desde que se borraron los mensajes hasta que el dispositivo es analizado por el informático forense.

Si este fuera tu caso, sólo me queda recomendarte que no intentes recuperar los mensajes por tu cuenta con alguna de estas herramientas y consultes con un perito informático forense que pueda asesorarte y pueda realizar el proceso con las garantías jurídicas necesarias para que las pruebas extraídas de tu dispositivo puedan ser admitidas en un juicio.

Como siempre, sólo me queda invitarte a visitar mi sitio web https://www.peritotecnologico.net , en el que encontrarás información de mis servicios como perito informático, experto en ciberseguridad y hacking ético, y si tienes cualquier pregunta, puedes contactarme a través del siguiente formulario de contacto: http://blog.peritotecnologico.net/contacto/

La entrada Cómo recuperar mensajes borrados de Whatsapp se publicó primero en Perito Tecnológico.