Cómo la UCO y los juzgados consiguen recuperar mensajes de WhatsApp y correos borrados: del jefe de gabinete de Mazón al exfiscal general del Estado

En los últimos meses, la atención judicial y política se ha centrado en dos casos de datos borrados de teléfonos móviles. El primero se refiere a los mensajes de WhatsApp que José Manuel Cuenca, el jefe de gabinete de Carlos Mazón, intercambió con el president de la Generalitat el día de la DANA, y que se perdieron cuando cambió de teléfono móvil. El segundo han sido los correos electrónicos borrados en el procedimiento del Tribunal Supremo contra el fiscal general del Estado. Todo esto lleva a la siguiente pregunta: ¿qué ocurre cuando una investigación judicial necesita acceder a comunicaciones que ya no están donde deberían estar?

En el caso valenciano, la jueza que investiga la gestión de la emergencia no se conformó con la explicación de Cuenca, quien aseguró que sus mensajes con Mazón se perdieron meses después de los hechos, al cambiar su teléfono corporativo y no disponer de copia de seguridad. La magistrada solicitó informes técnicos para aclarar si, pese a ese cambio de móvil, existía alguna posibilidad de recuperar los mensajes por otras vías.

WhatsApp se ha convertido en una herramienta cotidiana para la toma de decisiones, también en situaciones críticas, pero su arquitectura técnica complica cualquier intento posterior de reconstrucción. Al funcionar con cifrado de extremo a extremo, la aplicación no guarda el contenido de los mensajes en sus servidores. Cuando un juez quiere acceder a esas conversaciones, no puede pedírselas a la empresa, sino que debe buscarlas en los dispositivos de los usuarios o en las copias de seguridad asociadas a sus cuentas. Esta limitación técnica se ha repetido en distintas investigaciones, incluida la instruida en el Tribunal Supremo, donde la UCO no pudo acceder al contenido de mensajes de WhatsApp que ya habían sido eliminados del dispositivo analizado.

Porque lo que hay que tener claro desde el principio es que, desde el punto de vista forense, borrar un chat no implica su desaparición inmediata. Durante un tiempo, los datos permanecen en la memoria del teléfono hasta que son sobrescritos. Es en ese intervalo cuando las unidades especializadas y los peritos pueden intentar recuperar mensajes, utilizando herramientas como Cellebrite, Magnet AXIOM u Oxygen Forensic, capaces de analizar bases de datos internas de las aplicaciones, archivos temporales y restos de información que el usuario ya no ve. Este tipo de análisis fue también el que trató de aplicarse en la causa del exfiscal general para determinar si quedaba algún rastro de las conversaciones previas.

El principal enemigo de esa recuperación es el tiempo. Cuantos más meses pasan y más se utiliza el dispositivo, menores son las probabilidades de éxito. Un cambio de teléfono, un restablecimiento de fábrica o una actualización del sistema operativo reducen drásticamente el margen de recuperación. En el caso de Cuenca, el cambio de móvil se produjo en junio de 2025, varios meses después de la DANA y sin que consten copias de seguridad accesibles, lo que sitúa la investigación en un terreno complejo, aunque no completamente cerrado, como demuestra que parte de esas conversaciones hayan aparecido a través de otros investigados. En el procedimiento del Supremo, el borrado previo de los mensajes planteó una dificultad similar a la hora de reconstruir la secuencia de comunicaciones.

Los límites del servidor en el correo electrónico

En el Supremo, la investigación contra el fiscal general del Estado se ha encontrado con una dificultad similar a la de Cuenca al intentar acceder a correos electrónicos eliminados, lo que ha obligado al tribunal a explorar los límites de los requerimientos a proveedores tecnológicos y de la propia conservación de este tipo de comunicaciones. La UCO trasladó al instructor que, además de los mensajes de WhatsApp, tampoco pudo acceder directamente a correos electrónicos que habían sido suprimidos.

A diferencia de la mensajería instantánea, el correo electrónico ha ofrecido tradicionalmente mayores garantías a los investigadores. Los mensajes suelen permanecer almacenados durante largos periodos en servidores de terceros, lo que permite a los jueces requerir correos, documentos adjuntos y registros de actividad directamente a los proveedores del servicio. Ese fue uno de los caminos explorados también en la causa del exfiscal general, mediante solicitudes dirigidas a empresas tecnológicas para intentar conservar o recuperar información asociada a las cuentas investigadas.

Sin embargo, este caso ha evidenciado que a menudo este camino es complicado. Los correos pueden borrarse de forma definitiva, el uso de cuentas personales queda fuera de muchos protocolos de conservación y las políticas internas de las plataformas limitan el tiempo durante el cual los mensajes siguen siendo accesibles. Cuando el contenido ya no está disponible, los investigadores se ven obligados a trabajar con lo que queda: metadatos, fechas de envío, destinatarios, registros de acceso o documentos conservados por terceros que permiten, al menos, reconstruir el contexto.

Cómo se intenta recuperar lo borrado

Cuando un juzgado ordena analizar un dispositivo, el procedimiento sigue una pauta común: asegurar la cadena de custodia, clonar el contenido del terminal y trabajar únicamente sobre esa copia forense. El análisis no se limita a la información visible, sino que se adentra en capas más profundas del sistema, donde pueden quedar restos de mensajes, registros del sistema o fragmentos de bases de datos. Este mismo esquema ha sido aplicado tanto en la causa de la DANA como en la investigación dirigida por el Tribunal Supremo.

En determinados supuestos se recurre a técnicas más avanzadas, como el acceso directo a la memoria del dispositivo, aunque se trata de procedimientos costosos, complejos y sin garantía de éxito. La recuperación depende de múltiples factores: el tipo de teléfono, el sistema operativo, el tiempo transcurrido desde el borrado y el uso posterior del terminal. No existe una regla fija ni resultados asegurados.

La experiencia reciente de la UCO ilustra bien ese margen incierto. En el denominado ‘caso Koldo’, los investigadores lograron recuperar parcialmente conversaciones de WhatsApp que habían sido borradas, accediendo a restos de datos que no habían sido sobrescritos. Aunque no siempre fue posible reconstruir el texto completo, sí se obtuvieron fragmentos y referencias suficientes para acreditar contactos y comunicaciones relevantes para la causa.

Recuperar mensajes o correos borrados puede ser relativamente sencillo cuando el borrado es reciente y existen copias de seguridad accesibles. Se vuelve difícil cuando han pasado meses, se ha cambiado de dispositivo o las copias están cifradas, y puede ser directamente imposible cuando los datos han sido sobrescritos.