L'estrazione del dispositivo è il processo di copia dei dati da un telefono o da un tablet in modo che possano essere esaminati su un altro sistema. Nella forensica mobile, l'estrazione può raccogliere file, database delle app, log, backup e artefatti di sistema, sia a livello logico sia a un livello fisico più profondo. L'obiettivo è preservare i dati in una forma che gli analisti possano cercare, correlare e verificare senza dover manipolare ripetutamente il dispositivo originale.
È importante nella sicurezza informatica perché i telefoni spesso contengono prove sensibili: attività del browser, tracce di posizione, messaggi, token e telemetria delle app possono tutti supportare la risposta agli incidenti, le indagini su insider o i casi di frode. Anche gli aggressori si affidano a metodi simili all'estrazione quando rubano dispositivi sbloccati, abusano dell'accesso ai backup o usano malware per copiare i dati dal telefono. I difensori usano flussi di lavoro di estrazione controllati, passcode robusti, crittografia e controlli sulla catena di custodia per ridurre il rischio e mantenere affidabili le prove raccolte.