Hay una frase que el equipo de Duriva escucha prácticamente todas las semanas. A veces la dice el empresario. A veces la dice el abogado. A veces la dice el gerente de IT con la seguridad de quien cree que está dando una respuesta técnica definitiva:
«Ya se formateó. Ya no se puede recuperar nada.»
Y cada vez que se escucha esa frase, la respuesta desde Duriva es la misma: depende.
Depende de qué tipo de formateo se hizo. Depende de cuánto tiempo pasó. Depende de qué tanto se usó el equipo después del formateo. Depende de qué se busca. Depende de muchas cosas. Pero la afirmación categórica de «ya no se puede recuperar nada» es, en la gran mayoría de los casos, falsa.
Este artículo existe para desmontar ese mito y varios otros que rodean al tema de la auditoría forense de computadoras formateadas. Pero también existe para ser honestos sobre los límites reales. Porque tan peligroso es creer que «ya no hay nada» como creer que «se puede recuperar todo.» La realidad está en el medio, y entenderla requiere comprender conceptos que no son complicados pero que casi nadie fuera del mundo forense conoce.
Empresario que lee esto porque le formatearon el equipo de un exempleado y ahora necesita la evidencia: no cierre esta ventana. Lea completo. Lo que encuentre aquí puede cambiar lo que cree que es posible.
Gerente de IT que le dijo a la empresa «ya no se puede hacer nada»: lo que viene a continuación no es para hacerlo quedar mal. Es para que la próxima vez tenga información más precisa antes de dar una respuesta definitiva.
Abogado que tiene un caso donde la computadora clave fue formateada y está evaluando si vale la pena pedir un peritaje: este artículo es exactamente lo que necesita leer antes de tomar esa decisión.
Auditor interno que necesita entender qué alcance real tiene una auditoría forense sobre equipos formateados: aquí está la respuesta técnica sin humo, sin promesas infladas y sin tecnicismos innecesarios.
«Borrar» no es borrar: el concepto que lo cambia todo
Para entender qué pasa cuando se formatea una computadora, primero hay que entender qué pasa cuando se «borra» un archivo. Y aquí es donde la mayoría de las personas — incluyendo muchos profesionales de IT — tienen un modelo mental incorrecto.
Cuando un usuario borra un archivo en Windows y vacía la papelera de reciclaje, lo que ocurre a nivel del disco duro no es que la información desaparezca. Lo que ocurre es que el sistema operativo le dice al disco: «este espacio donde estaba el archivo ya está disponible para escribir algo nuevo.»
Nada más.
El archivo sigue ahí. Los datos siguen ahí. Los unos y ceros que componen ese documento de Excel, esa presentación de PowerPoint, esa fotografía, ese PDF, siguen físicamente grabados en el disco duro exactamente donde estaban. Lo único que cambió es el índice. El sistema operativo tachó el nombre del archivo de su lista, como si alguien arrancara la ficha de un libro del catálogo de una biblioteca. El libro sigue en el estante. Nadie se lo llevó. Simplemente ya no aparece en el catálogo.
Y ahí es donde entra la informática forense: sabiendo que el libro sigue en el estante aunque la ficha haya desaparecido.
Para usar una analogía que cualquier persona puede entender, piensen en un disco duro como un terreno enorme dividido en parcelas. Cada parcela puede tener algo construido o puede estar vacía. Cuando el sistema operativo «borra» un archivo, no demuele la construcción. Lo que hace es poner un letrero que dice «parcela disponible.» La construcción sigue ahí. Si mañana alguien quiere construir algo nuevo en esa parcela, la demuele y construye encima. Pero hasta que eso pase, la construcción original sigue intacta, visible, accesible.
En términos técnicos, los datos del archivo borrado siguen existiendo en lo que se llama espacio no asignado: espacio del disco que el sistema operativo ha marcado como disponible pero donde los datos anteriores no han sido sobrescritos. Y el espacio no asignado es, para un perito forense, el territorio más fértil de toda la investigación.
Datos alojados y datos no alojados: la distinción fundamental
El equipo de Duriva trabaja con una distinción técnica que es crítica para entender lo que se puede y lo que no se puede encontrar en un equipo formateado:
Datos alojados son los datos que el sistema operativo actual reconoce y puede mostrar al usuario. Son los archivos que aparecen en el explorador de Windows, los programas instalados, las carpetas visibles. Son lo que el usuario ve cuando abre «Mi equipo» y navega por sus carpetas. En un equipo formateado y reinstalado, los datos alojados son la instalación nueva de Windows y lo que el nuevo usuario haya guardado.
Datos no alojados son los datos que existen físicamente en el disco pero que el sistema operativo actual no reconoce. Son los restos de todo lo que hubo antes del formateo: archivos borrados, instalaciones anteriores, carpetas que existieron y fueron eliminadas, todo lo que estaba antes de que el disco fuera formateado. El sistema operativo no los ve. Las herramientas forenses sí.
Cuando una empresa dice «formateamos el equipo y ya no hay nada,» lo que están diciendo es que no ven nada en los datos alojados del sistema operativo actual. Y tienen razón: no van a ver nada porque los datos alojados son la instalación nueva, limpia, sin historial del empleado anterior.
Pero los datos no alojados — el espacio no asignado, los restos de la instalación anterior, los fantasmas de los archivos que existieron — están ahí. Debajo de la superficie. Invisibles para Windows, visibles para el perito.
Cuando alguien dice «formatearon el equipo, ya no tiene caso analizarlo,» la respuesta técnica precisa es: los datos alojados ya no me interesan, porque son la instalación nueva. Los que me interesan son los datos no alojados. Porque ahí está lo que tenía el empleado anterior. Ahí está lo que el formateo no destruyó.
Formateo rápido vs. formateo lento: la diferencia que nadie explica
No todos los formateos son iguales. Y la diferencia entre uno y otro tiene consecuencias enormes para la recuperación forense.
Formateo rápido. Cuando un usuario o un técnico de IT formatea un disco con la opción de «formato rápido» — que es la opción por defecto en Windows, la que viene marcada de fábrica, la que el 90% de las personas usa porque es la que tarda segundos en lugar de horas — lo que ocurre es que se borra únicamente la capa de metadatos. Es decir, se borra el índice, el catálogo, la tabla que le dice al sistema dónde está cada archivo. Pero los archivos mismos — los datos, la capa de datos — no se tocan.
Es como si alguien entrara a esa biblioteca y arrancara todas las fichas del catálogo, pero dejara todos los libros en los estantes. Ya no sabes qué libro está en qué estante. Pero los libros siguen ahí.
Formateo lento. Cuando se hace un formateo completo — sin marcar la casilla de «formato rápido» — el proceso es diferente. Aquí el sistema no solo borra el índice sino que sobrescribe toda la capa de datos con ceros. Cada sector del disco se sobrescribe. Cada parcela se demuele. No queda nada. El proceso tarda horas porque tiene que recorrer físicamente cada rincón del disco y escribir encima.
La diferencia para la informática forense es abismal:
Después de un formateo rápido, la recuperación de datos es altamente probable. Los archivos siguen ahí, fragmentados en el espacio no asignado, esperando a ser reconstruidos por herramientas forenses.
Después de un formateo lento completo, la recuperación es prácticamente imposible. Los datos originales fueron sobrescritos con ceros. No queda nada que recuperar.
La buena noticia — desde la perspectiva forense — es que la inmensa mayoría de los formateos que se hacen en entornos corporativos y domésticos son formateos rápidos. Porque nadie quiere esperar cuatro horas para formatear un disco cuando la opción rápida lo hace en treinta segundos. La gente tiene prisa. Y esa prisa, desde el punto de vista del perito forense, es una aliada.
Gerente de IT que le dijo a la empresa que «ya no se puede»: la pregunta que debió hacer antes de dar esa respuesta es: ¿fue formato rápido o formato lento? Si fue rápido — y en el 90% de los casos lo es — la información del empleado anterior probablemente sigue en el disco.
La MFT: la fuente primaria de información de todo el historial del equipo
Si hay un concepto que resume el poder de la auditoría forense sobre discos formateados, es la MFT. La Master File Table. La tabla maestra de archivos. La que Duriva considera la fuente primaria de información de todos los archivos que ha tenido el equipo desde que se compró.
La MFT es la base de datos que el sistema de archivos NTFS de Windows utiliza para registrar cada archivo que existe — o que existió — en el disco. Cada archivo tiene una entrada en la MFT con metadatos detallados: nombre del archivo, ruta completa, fecha de creación, fecha de última modificación, fecha de último acceso, tamaño, permisos.
Y aquí viene lo que la mayoría de la gente no sabe: en un formateo rápido, la MFT no se destruye completamente. Se marca como espacio disponible, sí, pero los registros físicos persisten en el disco hasta que algo nuevo los sobrescriba. Y como la MFT típicamente ocupa una fracción relativamente pequeña del disco total, puede pasar mucho tiempo antes de que la sobrescritura la alcance.
Cuando una herramienta forense extrae la MFT de un disco formateado, lo que obtiene es el registro histórico completo — o parcial, dependiendo del grado de sobrescritura — de todos los archivos que pasaron por ese equipo. No los archivos mismos, sino el registro de que existieron: su nombre, su ruta, sus fechas, su tamaño.
Piensen en lo que eso significa para un caso de robo de información:
El empleado se llevó archivos confidenciales, formateó su equipo antes de devolverlo, y cree que borró todo rastro. Pero la MFT extraída por el perito dice: el 15 de marzo a las 4:47 de la tarde, en la ruta C:\Users\JuanPerez\Desktop\Backup Personal\, existió un archivo llamado «Lista_Clientes_Completa_2025.xlsx» de 4.2 megabytes. El 15 de marzo a las 4:48, existió otro llamado «Costos_Produccion_Confidencial.pdf» de 890 kilobytes. Y así sucesivamente, 200 archivos más, todos creados en la misma carpeta, en el mismo rango de tiempo, horas antes de la renuncia.
El empleado puede decir que nunca tuvo esos archivos. Pero la MFT dice otra cosa. Y la MFT no miente, no olvida y no se confunde.
Magic Numbers y File Carving: la técnica de rayos X al disco
Más allá de la MFT — que registra qué archivos existieron pero no necesariamente preserva su contenido — existe una técnica forense que es, quizá, la más impresionante de todas para personas no técnicas: el file carving. La recuperación de archivos a partir de sus firmas binarias.
Para entender esto, hay que entender un concepto que se llama Magic Numbers. Los números mágicos.
Cada tipo de archivo en el mundo digital tiene una firma única: una secuencia específica de bytes con la que empieza y otra con la que termina. Todos los archivos JPG del mundo — todas las fotos, sin excepción — empiezan con la misma secuencia de bytes. Y terminan con la misma secuencia. Todos los PDF del mundo empiezan igual y terminan igual. Todos los archivos de Word. Todos los de Excel. Cada formato tiene su firma.
Son los Magic Numbers. Los números mágicos. Y son universales. Un JPG creado en una computadora en Tokio tiene exactamente los mismos Magic Numbers que un JPG creado en una computadora en Guadalajara. La firma no cambia. Nunca.
¿Cómo se traduce esto en una herramienta de recuperación forense? De la siguiente manera:
La herramienta forense recorre el disco duro entero — incluyendo todo el espacio no asignado, toda esa zona donde están los restos de archivos borrados y formateados — buscando Magic Numbers. Cuando encuentra una secuencia que dice «aquí empieza un JPG,» sigue leyendo hasta encontrar la secuencia que dice «aquí termina un JPG.» Y lo que está en medio es la imagen. Reconstruida. Recuperada. Sin necesidad de que el índice del sistema de archivos la reconozca, sin necesidad de que la MFT la liste, sin necesidad de ningún metadato. Solo con la firma binaria del archivo.
Eso es file carving. Es como hacerle una radiografía al disco duro. No importa que le hayan puesto encima capas de formateo, instalaciones nuevas, archivos diferentes. La radiografía traspasa todo eso y encuentra los archivos originales por su firma, escondidos debajo de la superficie.
Esta técnica no tiene un índice de éxito del 100%. No todos los archivos se pueden recuperar completos, porque algunos ya fueron parcialmente sobrescritos por datos nuevos. Cuando la parcela fue demolida a medias para construir algo nuevo encima, el archivo sale incompleto, corrupto, inutilizable. Pero los que no fueron sobrescritos — y en un disco que fue formateado con formato rápido y luego usado moderadamente, pueden ser muchos — salen íntegros. Fotos completas. Documentos legibles. Presentaciones intactas.
Abogado que evalúa si vale la pena pedir un peritaje sobre un disco formateado: la técnica de file carving puede recuperar archivos que el empleado anterior creó, modificó o descargó, incluso después del formateo. No es garantía de recuperación total. Pero es una herramienta que, en manos de un perito experimentado, produce resultados que sorprenden a quienes creían que «ya no había nada.»
«No tengo nada en la papelera pero tengo datos en la papelera»
Esta es una frase que parece contradictoria pero que describe perfectamente la realidad forense de la papelera de reciclaje en Windows.
Cuando un usuario va a la papelera de reciclaje y la ve vacía, concluye que no hay nada. Y a nivel del sistema operativo, tiene razón: la papelera visible está vacía.
Pero la estructura interna de la papelera de reciclaje en Windows — los archivos de registro que documentan qué fue eliminado, cuándo, desde qué ruta, con qué nombre original — persiste en el disco mucho después de que el usuario «vació» la papelera. Y esa estructura es accesible para las herramientas forenses.
Lo que significa es que el perito puede decir: «La papelera visible está vacía. Pero los registros forenses de la papelera muestran que el 20 de febrero se eliminaron 47 archivos de la ruta C:\Proyectos\Confidencial\. Se eliminaron a las 6:15 de la tarde. El usuario que los eliminó era JuanPerez.»
No tengo los archivos en la papelera visible. Pero tengo los datos de la papelera: el registro de que estuvo ahí, que se eliminó y cuándo. Y en muchos casos, los archivos mismos son recuperables del espacio no asignado usando file carving.
La papelera vacía no es una papelera vacía. Es una papelera que el sistema operativo ya no muestra pero cuyo historial sigue grabado en el disco.
Los apuntadores rotos: cuando el mapa se perdió pero el tesoro sigue ahí
Otro concepto que el equipo de Duriva utiliza internamente para explicar la realidad forense de un disco formateado es el de «apuntadores rotos.»
En un sistema de archivos, un apuntador es una referencia que le dice al sistema dónde empieza y dónde termina un archivo en el disco. Es como una dirección postal: le dice al cartero exactamente en qué parcela encontrar la construcción. Cuando se borra un archivo o se formatea el disco, lo que se rompe es el apuntador. La dirección se borra. El cartero ya no sabe cómo llegar. Pero la casa sigue ahí.
Los apuntadores rotos son exactamente eso: referencias destruidas a datos que siguen existiendo. El sistema de archivos ya no sabe que están. Pero físicamente, en la superficie magnética del disco o en las celdas de memoria de un SSD, los datos persisten.
La tarea del perito forense es navegar el disco sin depender de los apuntadores del sistema de archivos. Es ir parcela por parcela, sector por sector, buscando los datos directamente, sin necesidad de que nadie le diga dónde están. Las herramientas forenses están diseñadas exactamente para eso: para leer el disco duro a bajo nivel, ignorando lo que el sistema operativo dice y buscando directamente en la estructura física del medio de almacenamiento.
CCleaner y los scripts de borrado: cuando el empleado sabe lo que hace
No todos los empleados son usuarios comunes que simplemente borran archivos y vacían la papelera. Algunos saben — o creen saber — cómo cubrir sus huellas de forma más efectiva. Y la herramienta más común para eso es CCleaner.
CCleaner es una utilería de limpieza de sistema que, entre otras funciones, puede borrar archivos temporales, caché del navegador, historiales de actividad, miniaturas de archivos y registros del sistema. Cuando un empleado ejecuta CCleaner antes de devolver su equipo, está eliminando una capa significativa de información forense: los archivos temporales que muestran qué aplicaciones usó, los historiales que muestran qué sitios visitó, las miniaturas que muestran previsualizaciones de archivos que ya no existen.
¿Es un obstáculo? Sí. ¿Hace el trabajo del perito más difícil? Sí. ¿Imposibilita la investigación? No.
Porque CCleaner tiene límites. Borra lo que está configurado para borrar — temporales, caché, historiales — pero no toca los archivos del usuario que están en sus carpetas de trabajo. No borra la MFT. No borra los registros de USB del sistema. No sobrescribe el espacio no asignado de forma predeterminada (tiene una opción para hacerlo, pero la mayoría de los usuarios no la conoce ni la activa). No destruye los Alternate Data Streams.
Hay una característica particularmente interesante que las opciones avanzadas de CCleaner pueden borrar: las miniaturas de archivos. Windows genera automáticamente previsualizaciones en miniatura de las imágenes y documentos que el usuario abre. Esas miniaturas se almacenan en una base de datos del sistema. Incluso si el archivo original fue borrado, la miniatura persiste. Y una miniatura de un documento confidencial es evidencia de que ese documento existió en el equipo.
CCleaner puede borrar esas miniaturas si el usuario activa la opción en la configuración avanzada. Pero la mayoría no lo hace. La mayoría ejecuta CCleaner con la configuración predeterminada, y la configuración predeterminada no incluye el borrado de miniaturas ni la sobrescritura de espacio libre.
Existen también scripts de borrado más agresivos — utilidades que sobrescriben el espacio libre del disco con datos aleatorios, múltiples pasadas, para hacer irrecuperable lo que había en el espacio no asignado. Si un empleado ejecutó uno de estos scripts correctamente y con suficientes pasadas, la recuperación forense de los datos sobrescritos se vuelve extremadamente difícil o imposible.
Pero en la experiencia de Duriva, este nivel de sofisticación en el borrado es raro. La mayoría de los empleados que intentan cubrir sus huellas usan CCleaner con configuración predeterminada, borran la papelera, y creen que con eso es suficiente. No lo es.
La metáfora de los rayos X al disco: cómo funciona en la práctica
Para que empresarios, abogados y directivos puedan visualizar lo que hace una auditoría forense sobre un disco formateado, la mejor analogía es la de los rayos X.
Imaginen que tienen un edificio de oficinas. El edificio fue remodelado: tiraron las paredes interiores, cambiaron la distribución, pintaron todo de blanco. A simple vista, parece un edificio nuevo. No hay rastro de la distribución anterior.
Pero si le hacen una radiografía a las paredes, van a ver las marcas donde estaban las paredes originales. Van a ver los ductos que se desviaron, los cables que se redirigieron, las huellas de la estructura anterior debajo de la capa nueva de pintura. La remodelación no destruyó la estructura original. La cubrió.
Un formateo rápido es una remodelación cosmética del disco duro. Cambia la apariencia, redistribuye el espacio, pone un sistema operativo nuevo. Pero debajo de esa capa nueva, la estructura anterior — los archivos del usuario anterior, sus carpetas, sus datos, sus actividades — sigue ahí, como las marcas de las paredes viejas debajo de la pintura nueva.
La auditoría forense es la radiografía. Traspasa la capa nueva y ve lo que hay debajo.
Límites reales: qué NO se puede recuperar
Ahora viene la parte de honestidad que distingue a un profesional serio de un vendedor de humo. Porque tan importante como saber qué se puede recuperar es saber qué no se puede.
No se puede recuperar lo que fue sobrescrito. Si el sector del disco donde estaba un archivo fue utilizado para grabar un archivo nuevo, el archivo anterior se destruyó. No hay forma — ni con herramientas forenses, ni con laboratorios de recuperación de datos, ni con ningún método conocido — de leer datos que fueron físicamente sobrescritos por datos nuevos en un medio de almacenamiento moderno.
No se puede recuperar un disco con formateo lento completo. Si el formateo fue lento — el que sobrescribe todo el disco con ceros, el que tarda horas — los datos originales fueron destruidos. Un formateo completo es, a efectos prácticos, irreversible.
No se puede garantizar la recuperación completa de ningún archivo específico. Aunque el disco tenga formato rápido, aunque no se haya usado mucho después, no hay forma de saber de antemano si un archivo específico fue sobrescrito parcial o totalmente. Se puede saber después del análisis, pero no antes. Por eso ningún perito serio puede prometer «vamos a recuperar el archivo X» antes de analizar el disco.
Los SSD presentan desafíos adicionales. Los discos de estado sólido tienen un mecanismo llamado TRIM que, de forma automática y continua, limpia los bloques de datos que ya no están en uso. Esto significa que en un SSD, el espacio no asignado se limpia de forma proactiva por el propio hardware, reduciendo significativamente la ventana de recuperación. Un SSD formateado hace tres meses tiene muchas menos posibilidades de recuperación que un disco duro mecánico formateado hace tres meses.
El paso del tiempo y el uso posterior reducen las posibilidades. Cada día que se usa el disco después del formateo es un día donde se escribe nueva información que potencialmente sobrescribe datos anteriores. Un disco formateado ayer tiene más posibilidades de recuperación que un disco formateado hace seis meses que ha sido usado diariamente.
Abogado que está evaluando si vale la pena el peritaje: la evaluación de viabilidad es el primer paso que hace Duriva antes de comprometer cualquier presupuesto. Se evalúa qué tipo de formateo se hizo, cuánto tiempo pasó, qué tipo de disco es, cuánto se usó después. Con esa información se puede estimar — no garantizar, estimar — las probabilidades de éxito. Si la evaluación indica que las probabilidades son bajas, se dice de frente. No tiene sentido cobrar por un análisis que probablemente no va a producir resultados útiles.
El escenario típico: qué suele encontrar Duriva en un equipo formateado
Sin hacer promesas — porque cada caso es diferente y los resultados dependen de las variables que se acaban de describir — el escenario típico en un equipo con formateo rápido que no ha sido usado intensivamente después del formateo suele arrojar:
Registros de la MFT parcialmente recuperables. El historial de archivos que existieron en el equipo, con nombres, rutas y fechas. No siempre completo, pero frecuentemente suficiente para reconstruir la actividad del usuario anterior.
Archivos recuperados por file carving. Documentos, imágenes, PDFs, archivos de Office que se encontraron intactos en el espacio no asignado. La cantidad varía enormemente entre casos, pero rara vez es cero en un equipo con formateo rápido.
Registros de USB persistentes. Sorprendentemente resistentes al formateo, los registros de dispositivos USB conectados a veces sobreviven en fragmentos de registro del sistema que no fueron sobrescritos.
Fragmentos de navegación. Restos de historiales de navegación, caché de páginas web, registros de sesiones en servicios de nube. Parciales, pero a veces suficientes para documentar un patrón de actividad.
Metadatos de archivos. Incluso cuando el archivo mismo no es recuperable, sus metadatos en la MFT — que existió, cuándo se creó, cuándo se modificó, cuándo se eliminó — pueden ser la evidencia que el caso necesita.
Cuarta pared: lo que necesita saber cada persona que lee esto
Empresario que descubrió la fuga después del formateo: no asuma que todo está perdido. Pero tampoco asuma que todo se puede recuperar. Lo que necesita es una evaluación técnica objetiva del estado del disco. Esa evaluación se hace antes de comprometer presupuesto para un análisis completo. Si las probabilidades son razonables, se procede. Si son bajas, se dice la verdad y se buscan otras vías de evidencia — registros de red, logs del servidor, respaldos en la nube corporativa, registros de correo electrónico del servidor Exchange.
Gerente de IT que dice «ya no se puede»: con todo respeto, esa afirmación está fuera de su área de especialidad. Saber administrar infraestructura de IT es un conjunto de habilidades. Saber qué se puede recuperar de un disco formateado mediante herramientas forenses especializadas es otro conjunto completamente diferente. Lo que ve el explorador de Windows después de un formateo rápido no es todo lo que hay en el disco. Es todo lo que Windows puede ver. Y Windows y una herramienta forense ven cosas muy distintas cuando miran el mismo disco.
Abogado escéptico que piensa que esto suena demasiado bueno para ser verdad: no es magia. Es ciencia. Los Magic Numbers son una propiedad documentada de los formatos de archivo digitales. La MFT es una estructura del sistema de archivos NTFS ampliamente estudiada y documentada. El file carving es una técnica forense establecida, utilizada en investigaciones criminales en todo el mundo, validada por décadas de práctica y miles de casos exitosos. Lo que puede sonar «demasiado bueno» no es la técnica — es que la mayoría de la gente desconoce su existencia.
Auditor interno que necesita documentar un fraude: la auditoría forense de un disco formateado puede proveer la evidencia que necesita para documentar que un empleado accedió a archivos que no le correspondían, que extrajo información confidencial, que intentó destruir evidencia. Los hallazgos se documentan en un dictamen pericial que cumple con los requisitos del artículo 210-A del Código Federal de Procedimientos Civiles. Ese dictamen tiene valor probatorio. No es una opinión técnica informal. Es un documento pericial con cadena de custodia, valor hash y metodología documentada.
Preguntas frecuentes
Si el equipo fue formateado y ya lo está usando otro empleado, ¿todavía se puede analizar?
Sí, pero con dos consideraciones. Primera: cuanto más tiempo ha sido usado por el nuevo empleado, más datos nuevos se han escrito en el disco, y más datos del empleado anterior se han sobrescrito. Segunda: el análisis va a encontrar una mezcla de datos del usuario actual y datos recuperados del usuario anterior. El perito tiene que separar ambas capas, lo cual requiere más tiempo de análisis pero es técnica y legalmente posible.
¿Cuánto cuesta una auditoría forense sobre un disco formateado?
Depende del alcance, del tipo de disco y de la complejidad del caso. Lo que sí se puede decir es que siempre se recomienda una evaluación inicial de viabilidad antes de comprometer el presupuesto completo. Esa evaluación determina las probabilidades de éxito y permite tomar una decisión informada sobre si vale la pena proceder.
¿Es lo mismo un disco duro mecánico que un SSD para efectos de recuperación?
No. Los discos duros mecánicos (HDD) retienen datos en espacio no asignado por mucho más tiempo porque no tienen mecanismos automáticos de limpieza. Los discos de estado sólido (SSD) tienen TRIM, que limpia proactivamente los bloques no utilizados. Esto no significa que un SSD formateado sea irrecuperable — hay escenarios donde TRIM no ha completado su trabajo o donde ciertos datos persisten en áreas de reserva del disco — pero las probabilidades son significativamente menores que con un HDD.
¿El perito puede recuperar contraseñas de un disco formateado?
Depende. Las contraseñas almacenadas en navegadores y en gestores de credenciales de Windows se guardan en bases de datos específicas. Si esas bases de datos sobrevivieron al formateo — lo cual es posible en un formateo rápido — las credenciales almacenadas pueden ser recuperables. Pero esto depende de que esos archivos específicos no hayan sido sobrescritos.
¿Puedo hacer la auditoría yo mismo con herramientas gratuitas?
Hay herramientas de recuperación de datos disponibles al público. Pero una auditoría forense no es una recuperación de datos. Es un proceso que requiere cadena de custodia, cálculo de valor hash, documentación rigurosa y un dictamen pericial que tenga valor probatorio. Si los resultados van a ser usados en un contexto legal — demanda, despido justificado, denuncia penal — necesitan ser recolectados y documentados por un perito calificado con la metodología correcta. De lo contrario, la contraparte los impugna y se quedan sin evidencia.
Si formateé mi propio equipo por error y necesito recuperar información, ¿es el mismo proceso?
La técnica de recuperación es la misma. Lo que cambia es el contexto: en un caso de recuperación personal no se necesita cadena de custodia ni dictamen pericial, lo cual simplifica el proceso y reduce el costo. Pero la recomendación es la misma: deje de usar el equipo inmediatamente. Cada minuto que lo usa es un minuto donde potencialmente sobrescribe los datos que quiere recuperar.
Qué hacer si tiene un disco formateado y necesita los datos
Primero: dejar de usar ese equipo. Si todavía está en uso, cada acción — cada archivo que se guarda, cada programa que se abre, cada actualización que se instala — escribe datos nuevos en el disco y potencialmente destruye datos antiguos. El paso más importante es dejar de escribir en ese disco. Hoy. Ahora.
Segundo: no intentar recuperar por su cuenta. Las herramientas de recuperación de datos, si se usan incorrectamente, pueden empeorar la situación. Pueden sobrescribir datos que eran recuperables. Pueden alterar la estructura del disco de formas que complican el análisis forense posterior. Si los datos son importantes — legal o comercialmente — la recuperación debe hacerla un profesional.
Tercero: solicitar una evaluación de viabilidad. Antes de comprometer presupuesto, un perito experimentado evalúa el disco: tipo de formateo, tipo de disco, tiempo transcurrido, uso posterior. Con esa evaluación se puede estimar las probabilidades de éxito y tomar una decisión informada.
Cuarto: definir el objetivo. No es lo mismo buscar «todo lo que se pueda recuperar» que buscar «evidencia de que el empleado X extrajo los archivos Y en la fecha Z.» El alcance del análisis determina el tiempo, el costo y la metodología. Un objetivo claro produce resultados más útiles y más rápidos.
Hay un dato que resume todo este artículo y que el equipo de Duriva ha comprobado en 17 años de práctica: la mayoría de las personas que formatean un disco — ya sea por malicia, por protocolo de IT o por desconocimiento — creen que están destruyendo toda la información. Y en la mayoría de los casos, no es así.
El formateo rápido es cosmético. Borra el índice, no los datos. La MFT persiste como testigo silencioso de todo lo que existió. Los Magic Numbers de los archivos siguen grabados en el espacio no asignado, esperando a que alguien con las herramientas correctas los busque. La papelera vacía no está tan vacía como parece.
«Borrar» no es borrar. No lo ha sido nunca. Y mientras las personas sigan creyendo que un clic en «formatear» destruye todo, la informática forense seguirá encontrando lo que supuestamente ya no existía.
Lo que sí destruye datos, de forma real e irreversible, es el paso del tiempo combinado con el uso continuo del disco. Por eso la urgencia no es realizar el análisis hoy. La urgencia es dejar de usar ese disco hoy. El análisis puede esperar días o semanas. Lo que no puede esperar es la preservación.
Aíslen el disco. No lo toquen. No lo usen. No lo formateen otra vez. No lo «revisen rapidito.» Aíslenlo. Y después, con calma, evalúen si necesitan lo que tiene adentro.
Porque probablemente, todavía lo tiene.