Especialista forense digital
Cambio de gris
Stephen Coates is a Digital Forensic Specialist at Grayshift and a subject matter expert in Mobile Forensics. Before joining Grayshift, Stephen’s background for the last 32 years was in Law Enforcement, serving with the Royal Military Police, Royal Ulster Constabulary GC, and the Police Service of Northern Ireland. Since 2005, he has been a Digital Forensics practitioner starting with Computer Forensics and then specializing in the extraction and analysis of mobile devices, assisting investigations involving serious crime and terrorism. Stephen was also an associate trainer/instructor for Mobile Digital Forensics at the UK College of Policing and was responsible for delivering all Mobile Device training within the Police Service of Northern Ireland since 2009.
Stephen, affectionately known at Grayshift as Stevie, brings invaluable expertise to the DFS team. His passion for mobile digital forensics and the art (and science) of data extractions shine through in this interview, overflowing with essential advice for young digital forensic specialists.
Es obvio que eres un #nerdcop. ¿Cuál es su tecnología favorita que le gusta utilizar a diario?
Se trataba de la eliminación de la memoria flash y la posterior recuperación de datos del módulo de memoria flash de un dispositivo. Eso era algo que había que hacer bien a la primera y cada vez, y sin duda era un reto. Con la rápida difusión de los dispositivos de cifrado basados en archivos (FBE), esto pasó a ser cosa del pasado, pero cualquier equipo que me ayudara a superar estos retos y a sacar datos de dispositivos activos se convirtió en mi siguiente cosa favorita. Los dispositivos Actively Unlocked eran los mejores para conseguir ese estado, seguidos de los AFU, ya que obtener datos de ellos era la mejor sensación de la historia. Si alguna vez recibía un dispositivo apagado, simplemente esperaba que me facilitaran una contraseña (lo que era extremadamente raro) o esperaba otra solución.
Cuando era investigador forense digital, ¿con qué tipo de casos solía encontrarse?
Crueldad animal, robos, drogas, acoso, agresiones, colisiones de tráfico graves o mortales, blanqueo de dinero, personas desaparecidas, trata de seres humanos, esclavitud moderna, asesinatos, terrorismo y, por supuesto, no puedo olvidar los casos de maltrato infantil, que constituían una parte importante de nuestro trabajo: éramos simplemente una ventanilla única para todo el mundo.
¿Hay algún ejemplo de caso que haya investigado con GrayKey? ¿Puede decirnos cómo podría haber ayudado GrayKey?
Colisiones mortales de tráfico por carretera, una que ojalá tuviéramos GrayKey para antes de 2018. La riqueza de datos habría sido inestimable para casos como ese. En un principio compramos GrayKey simplemente como herramienta de desbloqueo para obtener el código de acceso y luego volvimos a las herramientas tradicionales para examinar el dispositivo. Pero con el tiempo, nos dimos cuenta de la cantidad de datos que nos aportaba el uso de GrayKey, y utilizamos GrayKey para todos los casos. También significaba que no teníamos que realizar hasta seis extracciones del mismo dispositivo con los métodos tradicionales. La única extracción con GrayKey tuvo más efecto que las seis extracciones tradicionales juntas. Así que tenía sentido ampliar su uso de herramienta de desbloqueo avanzada de gama alta a nuestro patrón oro de referencia para la extracción de datos. Lo usábamos para todo.
¿Qué le gustaría que la gente entendiera de este trabajo?
La complejidad de la función y la presión que conlleva. No sólo las presiones técnicas, sino también los retos psicológicos del puesto, como ver CSAM y otros materiales como pornografía extrema, zoofilia y vídeos de torturas y asesinatos/ejecuciones a veces se encuentran en los dispositivos.
¿Cuál ha sido el crimen más difícil que ha resuelto con GrayKey?
Era una investigación de blanqueo de dinero relacionada con un dispositivo al que no pudimos acceder durante 13 meses por diversas razones. El primer día que GrayKey llegó a nuestra oficina, le echamos el dispositivo encima y obtuvimos todo lo que necesitábamos en 24 horas. Esa investigación se convirtió en el descubrimiento de una operación de blanqueo de capitales por valor de 215 millones de libras esterlinas.
¿A qué retos se enfrenta habitualmente como examinador forense móvil?
El mayor reto era entrar en el dispositivo y luego sacar los datos.
¿Qué consejos daría a los nuevos especialistas en investigación forense digital para ayudarles a superar retos similares?
Sé tú mismo, haz preguntas, sé inquisitivo y saca esas ideas de tu cabeza a la luz. Puede que tenga algo que a nadie se le haya ocurrido. No tengas miedo de pedir ayuda.
¿Qué sabe ahora que le hubiera gustado saber cuando empezó?
Todo lo que sé ahora. Y que sólo algunos expertos que dicen que así es como se hacen las cosas están en lo cierto. O puede que tuvieran razón tres años antes, pero aún no se han puesto al día con la tecnología y se han quedado estancados. Por tanto, puede que fueran expertos hace tres años, pero no hoy.
¿Cuál es el secreto de uno de sus compañeros de equipo que la mayoría de la gente no conoce pero debería conocer?
Eso es secreto.
¿Qué superpoder aporta a Grayshift?
Siguiendo con el trabajo. Tratar de anticipar o identificar rápidamente los problemas menores para evitar que se conviertan en problemas más importantes en el futuro.
Stephen is always eager to share his knowledge and speak with law enforcement professionals interested in learning more about Grayshift technology. You can reach out to Stephen at scoates@grayshift.com, potentially find him at an upcoming event, or browse some of his other resources below.
Otros recursos que pueden interesarle:
- Buenas prácticas para examinar los dispositivos de consentimiento
- Comprender la biometría (Desentrañar las mejores prácticas para la investigación forense digital)
- Demostración de extracciones por categorías (se necesitan credenciales de inicio de sesión para acceder al Rincón del investigador)
© 2023. Grayshift, LLC. Todos los derechos reservados. Reservado y confidencial.
