Recuperación de datos en discos duros para procesos xudiciais

Cando un disco duro ou un SSD contén información clave para un proceso xudicial —arquivos eliminados, particións formateadas, datos cifrados ou aparentemente perdidos— a recuperación non pode facerse con calquera ferramenta comercial. Necesita un proceso forense que preserve a integridade da evidencia e que o resultado sexa defendible en sala. Esta guía explica as técnicas que aplica un perito informático, os seus límites e que diferenza unha recuperación pericial dunha recuperación comercial.

Por que a recuperación de datos pericial é diferente

Un servizo comercial de recuperación de datos ten un único obxectivo: recuperar arquivos. Se o consegue, entrégaos ao cliente e remata o seu traballo. A recuperación pericial engade tres requisitos críticos:

1. Preservar a integridade do soporte orixinal (cadea de custodia + clonado bit a bit).
2. Documentar o procedemento para que sexa reproducible por un terceiro.
3. Establecer relacións forenses: cando se borrou o arquivo, quen o borrou, se houbo intento de ocultación.

Sen estes tres requisitos, os datos recuperados poden valer pouco en xuízo porque a parte contraria pode argumentar que foron implantados ou alterados durante o proceso de recuperación.

Como se recupera información borrada

Borrado lóxico vs. borrado físico

Cando un usuario “borra” un arquivo:

• Eliminar ao Lixo: o arquivo só se move. Recuperación trivial.
• Baleirar o Lixo ou Shift+Supr: o sistema marca o espazo como “dispoñible” pero os bytes seguen aí ata que outro arquivo os sobrescriba. Recuperable mentres non se reescriba.
• Formato rápido: borra a táboa de asignación pero non os datos. Recuperable en gran medida.
• Formato lento (cero overwrite) ou Secure Erase: sobrescribe todo o espazo. Imposible recuperar con métodos estándar.
• Cifrado do disco con BitLocker / FileVault: se non hai clave, non hai recuperación.

Técnicas forenses

1. Análise da táboa de asignación (FAT, NTFS, APFS, EXT)

O perito examina a táboa e localiza entradas de arquivos marcados como eliminados pero cuxos clusters non foron reasignados. Recupera os arquivos completos sempre que non haxa overwrite.

2. File carving

Cando a táboa está danada ou foi sobrescrita parcialmente, o perito busca sinaturas de arquivo (cabeceiras e pés binarios coñecidos: JFIF para JPEG, %PDF para PDF, PK para ZIP/Office, etc.) no espazo non asignado e reconstrúe os ficheiros byte a byte. Ferramentas: PhotoRec, Scalpel, Foremost, Autopsy.

3. Recuperación de logs e artefactos do sistema

Aínda que o arquivo principal sexa irrecuperable, o sistema operativo deixa pegadas da súa existencia:

• MFT (Master File Table) en NTFS: rexistros de arquivos eliminados con metadatos.
• $LogFile en NTFS: rexistro de transaccións recentes.
• Shadow copies e puntos de restauración.
• Prefetch: rastros de programas executados.
• Eventlog: eventos do sistema.
• Thumbnails e miniaturas: imaxes en miniatura de fotos eliminadas.

4. Recuperación física (en cleanroom)

Se o disco ten danos mecánicos (cabezais, motor, electrónica), requírese abrir o disco nunha sala branca, substituír pezas e ler os pratos nun lector forense. É a opción máis cara (1.500-5.000€) pero a miúdo viable.

Particularidades dos SSD

Os SSD son máis difíciles de recuperar que os discos magnéticos por dúas razóns técnicas:

1. TRIM: o sistema operativo informa o SSD de que bloques están “libres”, e o SSD bórraos fisicamente para manter o rendemento. Unha vez executado TRIM, os datos son irrecuperables.
2. Wear leveling: o SSD distribúe as escrituras de forma non determinista, o que impide reconstruír a orde cronolóxica dos arquivos.

A pesar disto, en SSD con TRIM deshabilitado, controladores antigos ou con datos parcialmente sobrescritos, a recuperación pericial pode aínda dar resultados valiosos.

Casos típicos de recuperación pericial

Caso	Que se recupera	Probabilidade
Traballador despedido borrou arquivos antes de marchar	Documentos, emails, planos	Alta
Empresa formateou un equipo tras un incidente	Documentos, logs de actividade	Alta-Media
Disco con sospeita de manipulación de contabilidade	Versións anteriores de Excel/Access	Media
Móbil con conversas de chantaxe borradas	WhatsApp, Telegram, SMS	Media
Cámara de vixilancia que gravou encima	Fragmentos de vídeo previo	Media-Baixa
Disco cifrado con BitLocker sen clave	Nada	Nula
SSD con TRIM activo despois do borrado	Nada	Nula

Erros que matan a recuperación

1. Seguir usando o equipo despois do borrado. Cada nova escritura pode sobrescribir os datos a recuperar. Apagar inmediatamente e entregar ao perito.
2. Reinstalar o sistema operativo. Sobrescribe a maioría do disco con arquivos do sistema. Recuperación drasticamente reducida.
3. Usar ferramentas comerciais sen cadea de custodia. Aínda que os datos se recuperen, o proceso non é defendible en sala porque o orixinal foi modificado.
4. Fiarse de “técnicos amigos”. A recuperación pericial require ferramentas e metodoloxía que non son as dun servizo técnico estándar.
5. Esperar demasiado. Canto máis se use o disco tras o incidente, menos se recupera.

Como se documenta o resultado no informe pericial

Un informe pericial de recuperación de datos debe incluír, ademais das conclusións:

• Estado físico inicial do disco (fotos, número de serie, capacidade, hashes).
• Procedemento de clonado (ferramenta utilizada, duración, hashes resultantes).
• Técnicas de recuperación aplicadas (carving, MFT, etc.) con configuración exacta.
• Listado de arquivos recuperados cos seus metadatos: nome orixinal, tamaño, datas (creación, modificación, acceso), ruta orixinal cando é recuperable.
• Análise temporal: cando se creou cada arquivo, cando se eliminou (cando hai datos para deducilo).
• Hashes dos arquivos recuperados para integridade procesual.
• Anexos: capturas das ferramentas, copia dos logs de execución.

Preguntas frecuentes

En canto tempo se sabe se a recuperación é posible?

Tras unha análise preliminar de 1-2 días, o perito pode dar unha avaliación de viabilidade e un orzamento pechado. Se non é viable, cóbrase só a análise preliminar.

Pódese recuperar dun disco queimado ou inundado?

Posiblemente, pero require recuperación física en sala branca. A probabilidade e o custo varían moito segundo os danos.

Canto tarda a recuperación completa?

Entre 3 días (caso simple) e 4-6 semanas (recuperación física complexa).

E se o arquivo recuperado está corrupto?

O perito intenta reparalo (especialmente con arquivos Office, PDF, imaxes) ou entrega os fragmentos lexibles documentando que é unha recuperación parcial.

A recuperación de datos garante o éxito en xuízo?

A recuperación achega proba, pero o éxito procesual depende tamén dos argumentos xurídicos e de como se defenda o informe en sala.

Conclusión

A recuperación de datos con valor pericial é un proceso técnico esixente que combina ferramentas forenses, metodoloxía documentada e cadea de custodia. Sen estes tres piares, os datos recuperados poden non servir en xuízo. En Forenlab realizamos recuperación pericial sobre discos magnéticos, SSD, móbiles e soportes de almacenamento externo con informe defendible en sala. Contacta connosco e entregámosche análise de viabilidade e orzamento pechado.