Recuperación de datos borrados o inaccesibles

Recuperamos información de discos, SSD, memorias, tarjetas, servidores y móviles, y cuando el caso lo requiere la entregamos con valor probatorio.

Qué se puede recuperar y cuándo

Borrar un archivo no lo destruye: en la mayoría de los sistemas sólo se marca su espacio como reutilizable. Mientras ese espacio no se sobrescriba, el contenido sigue ahí. Por eso la variable decisiva no es el tiempo transcurrido, sino el uso que se le haya dado al soporte desde el borrado.

Esto explica dos cosas. La primera, que un archivo borrado hace un año en un disco que no se ha vuelto a usar sea perfectamente recuperable. La segunda, que un archivo borrado esta mañana en un equipo que ha seguido trabajando pueda haberse perdido para siempre.

• Borrado accidental de archivos, carpetas o particiones.
• Formateo rápido o completo del soporte.
• Fallo lógico: sistema de archivos corrupto, particiones que no montan, unidades que piden formatear.
• Fallo físico: discos que no giran, que emiten ruidos anómalos o que no son reconocidos.
• Daño por agua, caída, sobretensión o incendio.
• Ataque de ransomware: recuperación de copias de seguridad, versiones anteriores y datos no cifrados.
• Fallo de RAID o de servidor: reconstrucción del volumen a partir de los discos supervivientes.

Qué hacer nada más detectar la pérdida

La mayoría de los casos irrecuperables lo son por lo que se hizo después del incidente, no por el incidente en sí.

• Deja de usar el soporte inmediatamente y apaga el equipo si el borrado fue en el disco del sistema.
• No instales programas de recuperación en el mismo disco afectado: el instalador escribe justo donde está lo que quieres recuperar.
• No formatees ni ejecutes herramientas de reparación del sistema de archivos: pueden consolidar el daño.
• Si el disco hace ruidos, no lo enciendas más. Cada arranque de un disco con daño mecánico puede rayar los platos definitivamente.
• No abras el dispositivo. Los discos duros se manipulan en entorno controlado; abrirlos en casa suele ser el final del proceso.
• Si hubo ransomware, aísla el equipo de la red pero no lo formatees.

Cómo trabajamos

El primer paso siempre es clonar. Se genera una imagen del soporte y se trabaja sobre ella, nunca sobre el original, de modo que cualquier intento de recuperación no comprometa la única copia existente de los datos.

Después se realiza el diagnóstico: determinar si el problema es lógico o físico, qué estructuras del sistema de archivos siguen intactas y qué porcentaje del contenido es razonable esperar. Con ese diagnóstico se informa al cliente antes de continuar, para que decida con datos y no con expectativas.

La entrega se hace en un soporte nuevo, con el listado de lo recuperado. Si el caso tiene recorrido judicial, el mismo trabajo se documenta con cadena de custodia y valores hash para que pueda incorporarse a un informe pericial.

Recuperación de datos y prueba judicial

No es lo mismo recuperar unas fotografías familiares que recuperar los archivos que un extrabajador borró antes de irse a la competencia. En el segundo caso, el objetivo no es sólo el contenido: es acreditar qué se borró, cuándo y desde qué sesión de usuario.

Cuando existe esa posibilidad, conviene decirlo desde el principio. Una recuperación hecha sin cadena de custodia recupera los datos, pero difícilmente servirá para sostener una reclamación si la otra parte impugna su origen.

Preguntas frecuentes