Recuperación de Datos

¿Qué es la recuperación de datos?

La recuperación de datos es el conjunto de técnicas y procedimientos destinados a rescatar información digital que se ha vuelto inaccesible por eliminación (accidental o intencionada), daño físico del medio de almacenamiento, corrupción del sistema de archivos o fallos de hardware. Es una de las disciplinas fundamentales tanto de la informática forense como de los servicios de soporte técnico.

La importancia de la recuperación de datos en el ámbito forense es enorme. Según un estudio de Ontrack (una de las principales empresas del sector), en más del 70% de los casos de análisis forense digital se requiere alguna forma de recuperación de datos eliminados. En procedimientos judiciales, los archivos borrados deliberadamente pueden contener la evidencia más relevante precisamente porque alguien intentó destruirla.

Desde el punto de vista técnico, la recuperación de datos se fundamenta en un principio clave: cuando un sistema operativo “elimina” un archivo, en la mayoría de casos no borra los datos reales del disco, sino que simplemente actualiza la tabla del sistema de archivos para marcar ese espacio como disponible. Los datos permanecen físicamente en el medio de almacenamiento hasta que nuevos datos los sobrescriben. Esta ventana de oportunidad es la que aprovechan las técnicas de recuperación forense.

Cómo funciona la eliminación de datos

Para entender la recuperación, es imprescindible comprender qué ocurre cuando se borran datos en diferentes sistemas de archivos y medios de almacenamiento.

Eliminación en sistemas de archivos

Eliminación en HDD vs SSD

La diferencia entre discos HDD (magnéticos) y SSD (memoria flash) es determinante para la recuperación:

Disco HDD (magnético):

Antes de eliminar:
  Sector 1000: [Datos del archivo A] ← Sistema de archivos apunta aquí
  Sector 1001: [Datos del archivo A]
  Sector 1002: [Datos del archivo A]

Después de eliminar:
  Sector 1000: [Datos del archivo A] ← Siguen ahí, pero marcados como "libres"
  Sector 1001: [Datos del archivo A] ← Recuperables con herramientas forenses
  Sector 1002: [Datos del archivo A] ← Hasta que se sobrescriban

Después de sobrescribir parcialmente:
  Sector 1000: [Datos del archivo B] ← Sobrescrito, irrecuperable
  Sector 1001: [Datos del archivo A] ← Aún recuperable
  Sector 1002: [Datos del archivo A] ← Aún recuperable

Disco SSD (memoria flash con TRIM):

Antes de eliminar:
  Bloque NAND 500: [Datos del archivo A]

Después de eliminar (con TRIM):
  SO envía comando TRIM al controlador SSD
  Controlador marca bloque para garbage collection
  Bloque NAND 500: [0x00000000] ← Borrado físicamente por el controlador
  → IRRECUPERABLE (datos destruidos a nivel hardware)

Tiempo entre eliminación y borrado físico:
  - SSD modernos: segundos a minutos
  - SSD antiguos: minutos a horas
  - SSD con TRIM deshabilitado: igual que HDD (recuperable)

Técnicas de recuperación de datos

1. Recuperación basada en sistema de archivos

La técnica más directa: aprovechar las estructuras internas del sistema de archivos que aún contienen referencias a los datos eliminados.

Ejemplo en NTFS: cuando se elimina un archivo, la entrada en la $MFT (Master File Table) no se destruye inmediatamente. Un perito forense puede recorrer la $MFT buscando entradas marcadas como libres que aún contengan los atributos del archivo: nombre, tamaño, ubicación en disco y timestamps.

2. File carving (tallado de archivos)

El file carving es la técnica estrella de la recuperación forense. Funciona independientemente del sistema de archivos, buscando patrones conocidos (firmas o “magic numbers”) directamente en el espacio no asignado del disco.

Firmas de archivo comunes:

Tipo de archivo    Header (inicio)          Footer (fin)
─────────────────────────────────────────────────────────
JPEG               FF D8 FF E0/E1           FF D9
PNG                89 50 4E 47              49 45 4E 44 AE 42 60 82
PDF                25 50 44 46              25 25 45 4F 46
ZIP                50 4B 03 04              50 4B 05 06
DOCX               50 4B 03 04              (es un ZIP)
SQLite             53 51 4C 69 74 65        ---
EXE (PE)           4D 5A                    ---
PST (Outlook)      21 42 44 4E              ---

Proceso de file carving:
1. Escanear espacio no asignado byte a byte
2. Identificar header conocido (ej: FF D8 FF para JPEG)
3. Leer datos hasta encontrar footer (FF D9) o tamaño máximo
4. Extraer bloque de datos como archivo recuperado
5. Validar integridad del archivo extraído

Herramientas de file carving:

3. Recuperación por hardware (cámara limpia)

Cuando el medio de almacenamiento tiene daño físico, las técnicas de software no son suficientes. La recuperación en cámara limpia (entorno libre de partículas de polvo, clase ISO 5 o superior) permite intervenir directamente en los componentes internos del disco.

Tipos de daño físico y procedimientos:

4. Recuperación de RAID

Los sistemas RAID (Redundant Array of Independent Disks) presentan desafíos únicos porque los datos se distribuyen entre múltiples discos:

La recuperación de RAID requiere identificar: el orden de los discos, el tamaño de stripe, el algoritmo de paridad y la dirección de rotación. Herramientas como R-Studio, UFS Explorer y ReclaiMe permiten reconstruir arrays RAID a partir de discos individuales.

Recuperación forense vs recuperación comercial

Esta distinción es fundamental para entender cuándo se necesita un perito informático y cuándo basta con un servicio de recuperación estándar.

Proceso de recuperación de datos forense paso a paso

Caso práctico: recuperación de datos en caso de despido improcedente

Nota: El siguiente caso está basado en patrones reales de investigaciones forenses. Los datos han sido modificados para proteger la confidencialidad, preservando los aspectos técnicos relevantes para fines educativos.

Escenario

Una empresa detecta que un empleado, antes de ser despedido, eliminó archivos del servidor compartido y formateó su portátil corporativo. La empresa sospecha que el empleado copió información confidencial (base de datos de clientes, ofertas comerciales) y destruyó la evidencia. Se solicita un peritaje para recuperar los archivos eliminados y determinar qué información se extrajo.

Análisis forense

Resultado

El informe pericial fue admitido como prueba en el procedimiento laboral. La recuperación de los archivos del servidor fue determinante para demostrar la sustracción de información. Las limitaciones del SSD con TRIM se documentaron como evidencia de técnica anti-forense involuntaria.

Marco legal en España

Normativa aplicable a la recuperación de datos forense

Garantías procesales

Para que los datos recuperados sean admisibles como prueba judicial en España:

1. Autorización legal: orden judicial para dispositivos de terceros, o consentimiento del propietario
2. Bloqueador de escritura: impide cualquier modificación del medio original durante la adquisición
3. Imagen verificada: copia bit a bit con hash SHA-256 que demuestre identidad con el original
4. Trabajo sobre copia: todo el análisis se realiza sobre la imagen, nunca sobre el original
5. Informe detallado: metodología, herramientas (nombre y versión), resultados y limitaciones
6. Disponibilidad para contrapericia: el medio original debe conservarse para que la otra parte pueda realizar su propio análisis

Desafíos actuales en la recuperación de datos

SSD y TRIM

Como se ha detallado, el comando TRIM en discos SSD es el mayor desafío actual. Estrategias para mitigarlo:

• Actuar con máxima rapidez: desconectar el SSD de la alimentación lo antes posible
• Buscar SSD sin TRIM: algunos modelos antiguos o con firmware personalizado no implementan TRIM
• Analizar TRIM diferido: ciertos controladores retrasan la ejecución del TRIM, dejando ventana de recuperación
• Examinar over-provisioning: el espacio reservado del SSD (7-28% de capacidad) puede contener datos residuales

Cifrado de disco completo

BitLocker (Windows), FileVault (macOS) y LUKS (Linux) cifran todo el contenido del disco. Sin la clave de cifrado, la recuperación de datos es prácticamente imposible. Estrategias:

• Buscar claves de recuperación en Active Directory (BitLocker), cuenta iCloud (FileVault) o backups del usuario
• Análisis de RAM si el dispositivo estaba encendido con el disco desbloqueado
• Volcado de memoria de hibernación (hiberfil.sys puede contener claves)

Dispositivos móviles

Los smartphones modernos (Android 10+, iOS 14+) implementan cifrado basado en hardware por defecto. La recuperación de datos eliminados requiere herramientas especializadas como Cellebrite UFED y depende del modelo, versión de firmware y nivel de bloqueo del dispositivo.

Almacenamiento en la nube

Cada vez más datos se almacenan en servicios cloud (Google Drive, OneDrive, iCloud). La recuperación forense requiere:

• Cooperación del proveedor (mediante orden judicial internacional)
• Análisis de artefactos de sincronización local (bases de datos SQLite del cliente de sincronización)
• Revisión de la papelera de reciclaje del servicio cloud (normalmente 30 días)

Herramientas de recuperación de datos

Relación con otros conceptos

• Imagen forense: paso previo obligatorio antes de cualquier intento de recuperación con validez judicial
• File carving: técnica específica de recuperación basada en firmas de archivo, independiente del sistema de archivos
• TRIM SSD: comando que destruye datos eliminados de forma irreversible, principal obstáculo en SSD
• Anti-forense: técnicas de destrucción deliberada de datos que dificultan o imposibilitan la recuperación
• Extracción forense: proceso más amplio de obtención de datos que incluye la recuperación como una de sus fases
• Hash criptográfico: mecanismo para verificar la integridad de los datos recuperados frente al original
• Cadena de custodia: protocolo que garantiza la admisibilidad judicial de los datos recuperados

Conclusión

La recuperación de datos es una de las competencias más demandadas en informática forense. La capacidad de rescatar archivos eliminados puede ser determinante en investigaciones de fraude, competencia desleal, acoso laboral o ciberdelitos. Sin embargo, la evolución tecnológica plantea desafíos crecientes: los SSD con TRIM, el cifrado generalizado y el almacenamiento en la nube requieren que el perito informático mantenga sus conocimientos y herramientas permanentemente actualizados.

La diferencia entre una recuperación de datos exitosa y una evidencia perdida depende a menudo de dos factores: la rapidez de actuación (especialmente con SSD) y el rigor en el mantenimiento de la cadena de custodia digital.

Referencias y fuentes

1. NIST SP 800-86. (2006). “Guide to Integrating Forensic Techniques into Incident Response”. nist.gov - Metodología de recuperación de datos en respuesta a incidentes.

2. ISO 27037:2012. “Information technology — Security techniques — Guidelines for identification, collection, acquisition and preservation of digital evidence”. - Estándar internacional para adquisición y preservación de evidencia digital.

3. UNE 71506:2013. “Tecnologías de la Información — Metodología para el análisis forense de las evidencias electrónicas”. AENOR. - Norma española específica para análisis forense.

4. Casey, E. (2011). “Digital Evidence and Computer Crime: Forensic Science, Computers, and the Internet”. 3rd Edition, Academic Press. - Referencia académica en técnicas de file carving y recuperación forense.

5. Carrier, B. (2005). “File System Forensic Analysis”. Addison-Wesley. - Análisis detallado de la recuperación en NTFS, ext, FAT y UFS.

6. Ontrack. (2024). “Data Recovery Statistics and Trends”. ontrack.com - Estadísticas de recuperación de datos y tasas de éxito por tipo de medio.

7. Bell, G. & Boddington, R. (2010). “Solid State Drives: The Beginning of the End for Current Practice in Digital Forensic Recovery?”. Journal of Digital Forensics, Security and Law, Vol. 5(3). - Investigación sobre el impacto de SSD y TRIM en la recuperación forense.

8. Wei, M. et al. (2011). “Reliably Erasing Data From Flash-Based Solid State Drives”. USENIX FAST ‘11. - Estudio técnico sobre la eliminación de datos en SSD y sus implicaciones forenses.

9. Ley de Enjuiciamiento Criminal (LECrim). Art. 588 bis a 588 octies. - Marco legal para el registro de dispositivos electrónicos en España.

10. Ley de Enjuiciamiento Civil (LEC). Art. 326 y 384. - Admisibilidad de documentos electrónicos y medios de reproducción como prueba.

Última actualización: 10 de febrero de 2026 Categoría: Técnico Código: REC-001