Si te gustan las series de investigación criminal (estilo CSI) seguro que has visto que los expertos logran recuperar datos de un disco duro o SSD previamente formateado o que incluso ha sido parcialmente destruido físicamente. Esto no es ciencia-ficción sino que es una realidad, y en este artículo te vamos a contar cómo logran llevarlo a cabo y la manera en la que esa información que creíamos borrada, todavía está presente dentro del soporte físico.
Debes saber que formatear tu disco duro no garantiza que los datos que tuviera alojados en su interior hayan quedado destruidos, y solo un formateo a bajo nivel (un secure erase) te garantiza esto. De hecho, incluso aunque destruyas físicamente un disco duro (por ejemplo rayando los platos manualmente) todavía habrá partes de datos que se podrían recuperar con los métodos adecuados, teniendo acceso y leyendo esos sectores que todavía se mantienen intactos.
Así que si te parece, vamos a contarte cuál es el proceso que hay detrás de muchos de esos métodos de recuperación de la información almacenada en unidades que han sido borradas e, incluso, sufrido daños físicos severos. Mirad.
Recuperar datos de un disco duro formateado
No es necesario que seas un analista informático forense para recuperar datos de un disco duro o SSD que haya sido formateado de la manera tradicional, ya que este proceso simplemente elimina los datos y su índice, pero no modifica las pistas de datos escritas de manera literal. Precisamente, un formateo a bajo nivel del disco se diferencia del formato rápido normal en que reescribe todos los sectores del disco, garantizando así que la información que hubiera queda completamente eliminada.
Por el contrario, si esa información no ha sido reescrita, todavía está físicamente en el almacenamiento del disco, y con los métodos adecuados se podrían recuperar la totalidad de los datos (siempre y cuando no se haya vuelto a escribir en el disco desde su formateo). Y lo mejor de todo es que esto lo puedes hacer tú mismo desde tu casa, y solo necesitarás software especializado para ello (con una búsqueda rápida en Internet encontrarás multitud de software de pago que promete hacerlo y que, de hecho, funciona en la mayoría de casos).
Este tipo de software lo que hace es escanear cada uno de los sectores de la unidad de almacenamiento para ver qué es lo que tiene escrito; eso sí, dado que no existe un índice porque eso sí que se pierde al formatear, es un proceso lento porque debe ir comprobando sector a sector qué hay en cada uno de ellos y luego juntarlos (el proceso en un SSD es muchísimo más rápido que en un disco mecánico, especialmente si este tenía la información muy fragmentada).
Por este motivo, no podrás restaurar cada archivo donde estaba y simplemente obtendrás una lista de los archivos que el programa ha conseguido «juntar» y que sí se pueden recuperar (lo que sí puedes hacer es copiar estos archivos a otro medio de almacenamiento, porque digamos que lo que hace es recuperar los archivos en bruto sin una ubicación definida).
Como supondrás, esta manera de recuperar datos de un disco duro formateado (o simplemente archivos que hayas borrado por error y quieras recuperar) no es nada digno de un capítulo de «CSI» ya que simplemente pagando por la licencia del software, cualquier usuario puede hacerlo en su casa. Obviamente, esto funciona siempre y cuando el disco duro esté en buenas condiciones y que el tipo de formato que se le haya aplicado sea el normal y no un formateo a bajo nivel, pero, ¿cómo consiguen recuperar datos de un disco duro físicamente destruido o tras un formateo a bajo nivel? Pues aquí ya entramos en un terreno donde los métodos que hay que utilizar son prácticamente profesionales y poco accesibles para el gran público.
¿Qué pasa si el disco duro está físicamente destruido?
Muchas personas, preocupadas por la privacidad de sus datos, procuran destruir un disco duro antes de tirarlo a la basura (no hablemos ya de criminales que hacen lo propio con los discos duros ante una previsible investigación policial). Aquellos con conocimientos técnicos más avanzados incluso realizan un formateo a bajo nivel a la unidad, pero incluso con eso hay maneras de recuperar los datos eliminados o destruidos.
La manera de hacerlo es, esencialmente, imposible sin el equipamiento apropiado, motivo por el que obviamente no es algo que podamos hacer en nuestras casas y, a lo sumo, deberemos contratar los servicios de empresas especializadas cuyas tarifas son bastante abultadas (del orden de 1.200 euros por TB de información recuperada).
Básicamente la tarea consiste en «juntar los pedazos de información» comprobando sector a sector si hay escrito un uno o un cero, manualmente y de uno en uno, para luego juntar el «puzzle» de información que conformarían los archivos. Como comprenderás, la parte que sí es de ciencia-ficción de las series tipo CSI es el introducir el disco en una máquina y que esta te haga todo el trabajo en unos minutos, ya que la cosa es bastante más complicada y puede implicar días de trabajo.
Si queréis probar a ser unos auténticos forenses informáticos, podéis probar a utilizar las siguientes aplicaciones: FTK imager y Autopsy. Pero ojo, este proceso de recuperación implica además, conocer cómo funciona el sistema de archivos en el que se haya formateado ese disco, así como saber los distintos recursos clave que puedes necesitar a la hora de comprobar los datos, como puede ser en Windows, conocer cómo funciona el sistema de registros, en el cual podemos encontrar toda la información sobre todo lo que se ha hecho en el ordenador.
En caso de haber despertado vuestra curiosidad, podéis indagar más en el tema creando un volcado de vuestro disco duro con la herramienta FTK imager, y utilizando la herramienta Autopsy para comprobar hasta dónde llegan vuestros secretos más oscuros (también lo podéis usar para recuperar archivos borrados sin querer). Segro que encontráis cosas extrañas que no sabíais que estaban almacenadas en vuestras unidades.
De todas formas, con un nivel de conocimientos más avanzado esta combinación de herramientas permite recuperar prácticamente los datos de todo lo que ha sucedido en vuestro ordenador desde el primer día que se encendió, incluyendo todo aquello que se ha intentado borrar a lo largo de los años. Hay que recordar siempre, que nuestros datos siempre dejan huella, y de una forma u otra casi siempre habrá una forma de hacerse con ellos de nuevo. Por lo que una vez que os metáis en labores de este tipo, vais a comenzar a ver esas unidades que analizáis como pequeños viajes al pasado que os van a revelar algunos detalles que ya ni os acordabais de ellos.
Los datos pueden llegar a ser irrecuperables
En cualquier caso, si el disco duro o SSD está físicamente destruido, habrá como mínimo partes de la información que sí que serán irrecuperables y que se habrán perdido para siempre y, de hecho, es bastante más probable el poder recuperar información de un disco duro mecánico destruido que de un SSD, ya que como sabéis la información se almacena en los chips NAND en lugar de físicamente (con crestas y valles físicos representando los unos y los ceros) en los platos de un disco.
Los discos duros de los ordenadores modernos contienen una gran cantidad de datos, incluyendo sistema operativo y aplicaciones, además de los datos del usuario (que es normalmente lo que se busca recuperar en estos casos). Las unidades también contienen un almacén de respaldo para memoria virtual y meta información del sistema operativo como directorios, atributos de archivos y tablas de asignación, así que las probabilidades de recuperar los datos que se buscan son bastante escasas.
Las formas más comunes de dejar los datos irrecuperables son las siguientes:
- Destrucción física del dispositivo, como lijar los platos o clavar un destornillador el los chips NAND de un SSD.
- Desmagnetizar un disco duro mecánico para aleatorizar los dominios magnéticos (acercarlo a potentes imanes, esencialmente).
- Sobrescribir varias veces todos los datos de la unidad. Esta sería la opción más simple y eficaz si quieres que algún dato se borre del universo para siempre. Los discos poseen una capacidad, si tú los formateas y los vuelves a llenar por completo, esos datos anteriores no estarán en ningún lado, puesto que físicamente no entrarían y, por tanto, si vuelves a borrar tu unidad de almacenamiento, se podrán recuperar los últimos, pero nunca los antepenúltimos ni los anteriores. ¿Se entiende no? Pues ya sabes lo que hacer si quieres eliminar algo de verdad.
En los demás casos, casi siempre se podrán recuperar los datos del disco duro o SSD mediante los métodos que te hemos enumerado antes en este artículo. Así que si no queréis que algo se sepa (aquellas chuletas en los exámenes de la universidad…), y estáis pensando en cómo ocultarlo para siempre, nada mejor que hacer el trabajo por vosotros mismos destruyendo completamente el soporte físico. O guárdalo en esa caja que nunca encuentras…
