Cuando arrastras un archivo a la papelera de reciclaje y la vacías, realmente no estás eliminando el archivo de tu PC, sino de tu vista. Para eliminar de verdad archivos de una unidad de almacenamiento, se requiere sobrescribir físicamente cada bloque de memoria, un proceso mucho más lento de lo que tarda la papelera de reciclaje en vaciarse.
Cuando vaciamos la papelera de reciclaje la unidad de almacenamiento no destruye los datos, sino que modifica la tabla de índices del sistema de archivos. En la práctica, al borrar un archivo no estás destruyendo la información, únicamente estás eliminando el cartel que indica dónde se encuentra, la referencia del sistema operativo al archivo.
¿Cómo funciona la eliminación en el sistema de archivos?
Tanto Windows como macOS, al igual que las distribuciones Linux, dividen la gestión del almacenamiento en dos partes:
- El índice o metadatos: Un catálogo central que registra el nombre del archivo, sus atributos y la ubicación exacta de los bloques en los que está guardado.
- Los bloques de datos: El espacio físico del disco donde se alojan los bytes reales del archivo.
Cuando borramos un archivo, el sistema operativo realiza la tarea más rápida y sencilla a nivel computacional. En lugar de borrar cada byte del disco, marca la entrada de ese archivo en el índice como espacio libre o disponible y se olvida por completo de su ubicación. Para el sistema de archivos, esos sectores ya no pertenecen a nada y quedan listos para ser reutilizados cuando otra aplicación lo solicite.
El arte de la recuperación: File Carving
Dado que los datos siguen ahí, las herramientas de análisis forense y recuperación de archivos como la aplicación open source y gratuita PhotoRec, pueden rescatar la información sin necesidad de que exista el índice.
Esto es posible gracias a una técnica llamada tallado de archivos (file carving). Los formatos de archivo comunes tienen estructuras reconocibles y firmas únicas en sus encabezados y pies de página (magic bytes). Por ejemplo, un archivo JPEG siempre comienza con la secuencia hexadecimal FF D8 FF y finaliza con FF D9.
Un archivo ejecutable, un PDF o una imagen PNG tienen sus propios patrones prefijados. Las herramientas forenses escanean directamente los sectores crudos del disco buscando estas firmas. Al encontrar el inicio y el fin del formato, extraen y recomponen la imagen o el documento, aunque la tabla de directorios haya desaparecido por completo.
El tiempo que un archivo borrado permanece recuperable no depende tanto de días o semanas, sino del uso de la unidad: en un disco secundario con poco uso puede durar meses mientras que, en un disco de sistema con mucha escritura, los bloques pueden sobrescribirse en cuestión de horas.
Los discos mecánicos (HDD) y los SSD funcionan de forma diferente
El comportamiento varía considerablemente según la tecnología de almacenamiento:
- HDD (Discos duros mecánicos): El sistema operativo gestiona directamente sectores físicos fijos. Para borrar de forma definitiva la información en estos discos basta con realizar una sobrescritura completa con ceros.
- SSD (Unidades de estado sólido): Incorporan controladoras internas que aplican nivelación de desgaste (wear leveling) para distribuir las escrituras de forma uniforme y así evitar que unas celdas se desgasten más que otras. Cuando se borra un archivo, el sistema operativo envía la orden TRIM, permitiendo que la unidad limpie las celdas en segundo plano. En un SSD con TRIM activo, los datos borrados suelen desaparecer en cuestión de minutos. Sin embargo, para un borrado seguro garantizado en estas unidades, se requiere recurrir a comandos específicos como Secure Erase o trabajar sobre discos encriptados (donde la eliminación de la clave criptográfica vuelve ilegible cualquier fragmento restante).
