Claves para recuperar datos que han sido eliminados

En los últimos días, muchos usuarios me han hecho llegar sus dudas sobre cómo recuperar aquellos datos que han sido eliminados. Pero, ¿qué es lo que ocurre realmente cuando se eliminan datos en un sistema basado en Windows? ¿Por qué muchos de los datos que se pierden no pueden recuperarse nunca más? ¿Qué es lo que podemos hacer si queremos evitar que esos datos tan importantes acaben perdiéndose? Sin duda, son muchas las preguntas que se nos plantean, pero antes de abordarlas es necesario que respondamos una cuestión mucho más importante:

¿Cómo hace Windows para guardar los archivos en un sistema NTFS?

Al crear un archivo por primera vez, como por ejemplo una foto que hemos tomado durante las vacaciones (vacaciones.jpg) y que guardamos en el disco duro de nuestro equipo (disco duro al que se le ha aplicado el formato con el sistema de datos NFTS), Windows realiza un par de gestiones adicionales que debemos de tener en cuenta. En primer lugar, Windows localiza un registro de datos apropiado en el área de almacenamiento de destino, denominado Tabla maestra de archivos o MFT por sus siglas en inglés. A continuación, Windows escribe información importante referente al archivo que acabamos de crear, como puede ser su nombre o su fecha de creación. En el caso de que no haya registros de datos disponibles, Windows se encargará de ampliar la capacidad de la MFT.

Una vez hecho esto, Windows localiza algún bloque de datos con capacidad libre dentro del área de almacenamiento donde poder escribir el archivo que queremos guardar. Tras localizar los bloques de datos necesarios, Windows vincula el nuevo registro de datos al bloque de datos que se ha localizado en el área de almacenamiento, de manera que ya puede escribir los datos en el disco. En la siguiente imagen podemos observar cómo quedaría nuestro archivo vacaciones.jpg una vez que ha sido escrito en el disco.

Pero, ¿qué ocurre cuando se elimina algún archivo sin que previamente haya pasado por la Papelera de reciclaje? Desde el punto de vista de la recuperación de datos, ocurren dos cosas muy importantes:

1. El registro de archivo queda marcado como si hubiese sido eliminado y  puede utilizarse de nuevo;
2. El área de datos del disco queda marcada como espacio libre que puede reutilizarse.
   

En la imagen de más arriba pueden observarse las áreas del disco donde se recoge la información referente al archivo vacaciones.jpg. Dichas áreas se muestran marcadas y representan el espacio disponible que pueden utilizar otros archivos nuevos o, si fuese necesario, utilizarse para aumentar el tamaño de datos o archivos de registro ya existentes. Además, el registro de archivos también ha sido marcado como eliminado y está ahora disponible para que sea reutilizado por el sistema de archivos.

Pero esto no es todo. Si desea recuperar datos que han sido eliminados, existen muchos profesionales y tipos de software de recuperación de datos que sin duda le ayudarán a lo largo del proceso. De esta manera, se buscarán los registros de archivos eliminados que no se hayan sobrescrito y se encontrarán los distintos bloques de datos que pertenezcan a los datos y archivos concretos que desee recuperar. Tanto si se pone en manos de profesionales como si utiliza un software de recuperación de datos de su elección, sería conveniente examinar el volumen de espacio que no ha sido asignado en el disco a los bloques de datos que sí estaban utilizándose y cuyos registros de archivos han sido sobrescritos por otros ficheros. A continuación se muestra un ejemplo del proceso:

1. Se limita el acceso al disco mediante un bloqueo de escritura o write-blocker para que no se produzcan modificaciones de ningún tipo.
2. Se examina el volumen de los datos de destino marcados como eliminados.
3. Tanto los registros de datos eliminados como los bloques de datos asignados a los mismos se recuperan en forma de nuevos archivos.
4. Se examinan los datos sin procesar que aún no han sido asignados o aquellas áreas de almacenamiento que estén disponibles en la unidad de almacenamiento que se esté utilizando.
5. Los bloques de datos no procesados se recuperan como nuevos archivos.

Sin embargo, hay ocasiones en las que es imposible recuperar datos que han sido eliminados. En estos casos, el problema puede deberse a que:

1. El registro del archivo en cuestión se ha sobrescrito; o
   1. No existe firma de los datos de archivo.
   2. El disco se ha desfragmentado.
2. Los datos se han sobrescrito completamente.
3. Algunos de los datos se han sobrescrito.

En la siguiente imagen se muestra un archivo que ha sido eliminado, su registro de archivo ha sido sobrescrito por un nuevo archivo y los datos se han desfragmentado en la unidad de almacenamiento.

El archivo que venimos utilizando de ejemplo (vaciones.jpg) ha sido eliminado y su registro de archivo se ha sobrescrito con un nuevo archivo (cumpleaños.jpg). Ahora, la única forma posible de recuperar el archivo vaciones.jpg es encontrando y recogiendo los bloques de datos sin asignar que le pertenecen, suponiendo que no existe ninguna otra copia de su registro en el área de almacenamiento. En estos casos, la probabilidad de recuperar el archivo con éxito es bastante elevada, ya que los bloques de datos (bloques 1 y 4) que utilizamos en nuestro ejemplo no han sido sobrescritos por otros datos nuevos.

Si como ocurre en el siguiente ejemplo, el nuevo archivo (cumpleaños.jpg) hubiese sobrescrito alguno de los bloques de datos pertenecientes a vacaciones.jpg, el archivo solo podría recuperarse parcialmente, ya que los bloques 2 y 3 no están disponibles.

En el caso de que todos los bloques se hayan sobrescrito, como ocurre en la siguiente ilustración, el archivo no sería recuperable, pues todos los bloques, del 1 al 4, han desaparecido.

Ahora bien, ¿qué podemos hacer si queremos evitar que esto ocurra y garantizar que nuestros datos siempre se puedan recuperar?

1. En primer lugar, es necesario hacer una copia de seguridad o duplicar los datos. Aunque suene a tópico, hacer una copia de seguridad o duplicar nuestros datos puede ahorrarnos muchos mareos de cabeza en caso de pérdidas.
2. En caso de haber eliminado los datos por error y no tener copia de seguridad, deje de utilizar el equipo lo antes posible. Navegar por Internet o continuar trabajando hace que se escriban datos adicionales en el disco, por lo que los bloques de datos pueden sobrescribirse de manera irreparable.
3. Si ha realizado previamente una copia de seguridad, ábrala en otra unidad de almacenamiento distinta para así asegurarse de que dicha copia contiene los datos que necesita y que estos están en buen estado.
4. Si desea recuperar los datos por usted mismo, haga una copia de la unidad de almacenamiento siempre que sea posible y trabaje solamente sobre la copia y nunca sobre el original. Tampoco instale ningún software de recuperación de datos en la unidad de almacenamiento que contiene los datos que desea recuperar.
5. En último lugar, y en caso de necesitar ayuda, póngase en manos de profesionales. Existen excelentes empresas especializadas en la recuperación de datos que le ofrecerán toda una serie de comodidades como, por ejemplo, consultas gratuitas en las que un profesional en la recuperación de datos le informará de lo que tiene que hacer siempre adaptándose a sus necesidades.