Recuperació de dades en discos durs per a processos judicials

Quan un disc dur o un SSD conté informació clau per a un procés judicial —arxius eliminats, particions formatades, dades xifrades o aparentment perdudes— la recuperació no es pot fer amb qualsevol eina comercial. Necessita un procés forense que preservi la integritat de l’evidència i que el resultat sigui defensable a la sala. Aquesta guia explica les tècniques que aplica un perit informàtic, els seus límits i què diferencia una recuperació pericial d’una recuperació comercial.

Per què la recuperació de dades pericial és diferent

Un servei comercial de recuperació de dades té un únic objectiu: recuperar arxius. Si ho aconsegueix, els lliura al client i acaba la seva feina. La recuperació pericial afegeix tres requisits crítics:

1. Preservar la integritat del suport original (cadena de custòdia + clonatge bit a bit).
2. Documentar el procediment perquè sigui reproduïble per un tercer.
3. Establir relacions forenses: quan es va esborrar l’arxiu, qui el va esborrar, si hi va haver intent d’ocultació.

Sense aquests tres requisits, les dades recuperades poden valer poc en judici perquè la part contrària pot argumentar que van ser implantades o alterades durant el procés de recuperació.

Com es recupera informació esborrada

Esborrat lògic vs. esborrat físic

Quan un usuari “esborra” un arxiu:

• Eliminar a la Paperera: l’arxiu només es mou. Recuperació trivial.
• Buidar la Paperera o Shift+Supr: el sistema marca l’espai com a “disponible” però els bytes hi continuen fins que un altre arxiu els sobreescrigui. Recuperable mentre no es reescrigui.
• Format ràpid: esborra la taula d’assignació però no les dades. Recuperable en gran mesura.
• Format lent (cero overwrite) o Secure Erase: sobreescriu tot l’espai. Impossible de recuperar amb mètodes estàndard.
• Xifratge del disc amb BitLocker / FileVault: si no hi ha clau, no hi ha recuperació.

Tècniques forenses

1. Anàlisi de la taula d’assignació (FAT, NTFS, APFS, EXT)

El perit examina la taula i localitza entrades d’arxius marcats com a eliminats però els clústers dels quals no han estat reassignats. Recupera els arxius complets sempre que no hi hagi overwrite.

2. File carving

Quan la taula està malmesa o ha estat sobreescrita parcialment, el perit cerca signatures d’arxiu (capçaleres i peus binaris coneguts: JFIF per a JPEG, %PDF per a PDF, PK per a ZIP/Office, etc.) a l’espai no assignat i reconstrueix els fitxers byte a byte. Eines: PhotoRec, Scalpel, Foremost, Autopsy.

3. Recuperació de logs i artefactes del sistema

Encara que l’arxiu principal sigui irrecuperable, el sistema operatiu deixa empremtes de la seva existència:

• MFT (Master File Table) a NTFS: registres d’arxius eliminats amb metadades.
• $LogFile a NTFS: registre de transaccions recents.
• Shadow copies i punts de restauració.
• Prefetch: rastres de programes executats.
• Eventlog: esdeveniments del sistema.
• Thumbnails i miniatures: imatges en miniatura de fotos eliminades.

4. Recuperació física (en cleanroom)

Si el disc té danys mecànics (capçals, motor, electrònica), cal obrir el disc en una sala blanca, substituir peces i llegir els plats en un lector forense. És l’opció més cara (1.500-5.000 €) però sovint viable.

Particularitats dels SSD

Els SSD són més difícils de recuperar que els discs magnètics per dues raons tècniques:

1. TRIM: el sistema operatiu informa l’SSD de quins blocs són “lliures”, i l’SSD els esborra físicament per mantenir el rendiment. Un cop executat TRIM, les dades són irrecuperables.
2. Wear leveling: l’SSD distribueix les escriptures de forma no determinista, la qual cosa impedeix reconstruir l’ordre cronològic d’arxius.

Malgrat això, en SSD amb TRIM deshabilitat, controladors antics o amb dades parcialment sobreescrites, la recuperació pericial encara pot donar resultats valuosos.

Casos típics de recuperació pericial

Cas	Què es recupera	Probabilitat
Treballador acomiadat que va esborrar arxius abans de marxar	Documents, correus, plànols	Alta
Empresa que va formatar un equip després d’un incident	Documents, logs d’activitat	Alta-Mitjana
Disc amb sospita de manipulació de comptabilitat	Versions anteriors d’Excel/Access	Mitjana
Mòbil amb converses de xantatge esborrades	WhatsApp, Telegram, SMS	Mitjana
Càmera de vigilància que ha gravat a sobre	Fragments de vídeo previ	Mitjana-Baixa
Disc xifrat amb BitLocker sense clau	Res	Nul·la
SSD amb TRIM actiu després d’esborrar	Res	Nul·la

Errors que maten la recuperació

1. Continuar usant l’equip després de l’esborrat. Cada nova escriptura pot sobreescriure les dades a recuperar. Apagar immediatament i lliurar al perit.
2. Reinstal·lar el sistema operatiu. Sobreescriu la majoria del disc amb arxius del sistema. Recuperació dràsticament reduïda.
3. Usar eines comercials sense cadena de custòdia. Encara que les dades es recuperin, el procés no és defensable a la sala perquè l’original ha estat modificat.
4. Confiar en “tècnics amics”. La recuperació pericial requereix eines i metodologia que no són les d’un servei tècnic estàndard.
5. Esperar massa. Com més s’usa el disc després de l’incident, menys es recupera.

Com es documenta el resultat a l’informe pericial

Un informe pericial de recuperació de dades ha d’incloure, a més de les conclusions:

• Estat físic inicial del disc (fotos, número de sèrie, capacitat, hashes).
• Procediment de clonatge (eina utilitzada, durada, hashes resultants).
• Tècniques de recuperació aplicades (carving, MFT, etc.) amb configuració exacta.
• Llistat d’arxius recuperats amb les seves metadades: nom original, mida, dates (creació, modificació, accés), ruta original quan és recuperable.
• Anàlisi temporal: quan es va crear cada arxiu, quan es va eliminar (quan hi ha dades per deduir-ho).
• Hashes dels arxius recuperats per a la integritat processal.
• Annexos: captures de les eines, còpia dels logs d’execució.

Preguntes freqüents

En quant de temps se sap si la recuperació és possible?

Després d’una anàlisi preliminar d’1-2 dies, el perit pot donar una avaluació de viabilitat i un pressupost tancat. Si no és viable, només es cobra l’anàlisi preliminar.

Es pot recuperar d’un disc cremat o inundat?

Possiblement, però requereix recuperació física en sala blanca. La probabilitat i el cost varien molt segons els danys.

Quant triga la recuperació completa?

Entre 3 dies (cas simple) i 4-6 setmanes (recuperació física complexa).

I si l’arxiu recuperat està corromput?

El perit intenta reparar-lo (especialment amb arxius Office, PDF, imatges) o lliura els fragments llegibles documentant que és una recuperació parcial.

La recuperació de dades garanteix l’èxit en judici?

La recuperació aporta prova, però l’èxit processal depèn també dels arguments jurídics i de com es defensi l’informe a la sala.

Conclusió

La recuperació de dades amb valor pericial és un procés tècnic exigent que combina eines forenses, metodologia documentada i cadena de custòdia. Sense aquests tres pilars, les dades recuperades poden no servir en judici. A Forenlab realitzem recuperació pericial sobre discs magnètics, SSD, mòbils i suports d’emmagatzematge extern amb informe defensable a la sala. Contacta amb nosaltres i et lliurem anàlisi de viabilitat i pressupost tancat.