Recuperación de Archivos Borrados de la Papelera de Reciclaje
Borrar un archivo de la Papelera de Reciclaje o usar Shift+Suprimir no destruye inmediatamente los datos: simplemente marca el espacio como disponible. En un disco duro mecánico puedes tener horas o incluso días para recuperarlos; en un SSD con TRIM activo, la ventana se estrecha a minutos u horas. Esta guía explica con precisión qué ocurre en cada caso y cuándo aún es posible recuperar tus archivos.
Cómo funciona la Papelera de Reciclaje de Windows
La Papelera de Reciclaje de Windows no es una papelera física: es una carpeta oculta del sistema llamada $Recycle.Bin que existe en la raíz de cada volumen NTFS (por ejemplo C:\$Recycle.Bin). Cuando envías un archivo a la papelera, Windows no borra ni mueve sus datos: simplemente los renombra y reubica dentro de esta carpeta oculta.
Estructura interna de $Recycle.Bin
Dentro de $Recycle.Bin, cada archivo eliminado genera dos entradas:
- Archivo $R...: el archivo con sus datos originales completamente intactos, renombrado con un prefijo
$Rseguido de seis caracteres alfanuméricos aleatorios y la extensión original (por ejemplo,$RXK3P7Q.docx) - Archivo $I...: un archivo de metadatos de 544 bytes que almacena la ruta original del archivo, su tamaño y la fecha y hora de borrado. Este archivo lleva el mismo sufijo aleatorio pero con prefijo
$I(por ejemplo,$IXK3P7Q.docx)
Esta estructura permite que Windows Explorer muestre la papelera con nombres originales, tamaños y fechas de borrado, y permite la restauración al punto de origen con un solo clic. Los datos del archivo físico no se han movido en disco: el contenido del $R ocupa exactamente el mismo espacio físico en el disco que ocupaba el archivo original.
Diferencia con Windows XP: el archivo INFO2
En versiones anteriores a Windows Vista, la Papelera usaba un único archivo llamado INFO2 que almacenaba los metadatos de todos los archivos borrados en una sola tabla. Este formato era más vulnerable a la corrupción. El formato actual con archivos $I individuales es más robusto y compatible con múltiples usuarios en el mismo sistema.
Borrado permanente: qué hace Shift+Suprimir en el MFT
Cuando usas Shift+Suprimir (o vaciar la Papelera), Windows realiza una operación que a nivel de usuario parece definitiva, pero que a nivel de sistema de archivos es sorprendentemente superficial:
Qué ocurre en la MFT (Master File Table)
NTFS mantiene un registro de todos los archivos y carpetas en la Master File Table (MFT), una estructura de base de datos ubicada al principio del volumen. Cada archivo tiene una entrada en la MFT que contiene sus metadatos (nombre, tamaño, fechas, atributos) y los punteros a los clústeres del disco donde están almacenados sus datos.
Cuando se borra un archivo de forma permanente, Windows hace exactamente dos cosas:
- Marca la entrada MFT como libre: establece un flag en la entrada de la MFT que indica que ese registro está disponible para ser reutilizado por un nuevo archivo. La entrada en sí (con el nombre del archivo, tamaño y punteros a los datos) permanece intacta hasta que sea sobreescrita.
- Marca los clústeres como disponibles: actualiza el bitmap de clústeres del volumen para señalar que los clústeres ocupados por el archivo están libres para ser asignados a nuevos archivos.
Los datos del archivo en sí (el contenido del documento, la foto, el vídeo) permanecen intactos en los clústeres del disco. No se sobreescriben, no se eliminan, no se modifican. Simplemente están en clústeres que el sistema considera “libres”.
Por qué es recuperable
Esta es la razón fundamental por la que la recuperación de archivos borrados es posible: los datos siguen estando en el disco hasta que el sistema operativo necesite ese espacio y escriba nuevos datos encima. El software de recuperación funciona escaneando el disco en busca de entradas MFT marcadas como eliminadas y de firmas de formato conocidas (cabeceras de archivos JPEG, PDF, DOCX, etc.) en clústeres marcados como libres.
Journaling de NTFS y su papel en la recuperación
NTFS implementa un sistema de journaling (registro de transacciones) que registra los cambios del sistema de archivos antes de aplicarlos, similar a una base de datos transaccional. El archivo de journal se llama $LogFile y registra operaciones de metadatos (creación, modificación y borrado de archivos) en un buffer circular.
El journal tiene dos implicaciones importantes para la recuperación:
- Ventaja: el $LogFile puede contener registros de operaciones de borrado recientes con información sobre nombres y ubicaciones de archivos que ya no están en la MFT activa, ampliando la ventana temporal de recuperación
- Limitación: el $LogFile tiene tamaño limitado (generalmente entre 64 MB y algunos cientos de MB) y se sobreescribe ciclicamente, por lo que eventos de borrado antiguos no estarán registrados
Además, NTFS mantiene el archivo $UsnJrnl (USN Journal o Update Sequence Number Journal) que lleva un historial más largo de cambios en el sistema de archivos. Este archivo es especialmente útil en investigaciones forenses para determinar cuándo se borró un archivo específico.
La ventana de recuperación: cuánto tiempo tienes
La pregunta que todos hacen es: “¿cuánto tiempo tengo para recuperar mis archivos?”. La respuesta depende críticamente del tipo de almacenamiento y del uso del sistema.
Disco duro mecánico (HDD)
En un HDD, los datos borrados permanecen físicamente intactos hasta que el sistema operativo necesite escribir nuevos datos en esos clústeres. La velocidad a la que esto ocurre depende de:
- Espacio libre disponible: si el disco tiene un 60% de espacio libre, Windows puede pasar semanas o meses sin necesitar sobreescribir los clústeres del archivo borrado
- Actividad de escritura del sistema: archivos temporales, actualizaciones del sistema, caché del navegador... todo esto consume espacio libre y puede sobreescribir los datos borrados
- Fragmentación previa: archivos muy fragmentados tienen sus datos dispersos en muchos clústeres, lo que aumenta la probabilidad de recuperación parcial incluso si algunos clústeres han sido sobreescritos
Como orientación general en HDD:
| Tiempo transcurrido | Probabilidad de recuperación total | Factores clave |
|---|---|---|
| Menos de 1 hora | Muy alta (90-99%) | No usar el disco activamente |
| 1 a 24 horas | Alta (70-90%) | Uso mínimo del ordenador |
| 1 a 7 días | Media (40-70%) | Depende de la actividad |
| Más de 1 semana | Variable (10-50%) | Alta incertidumbre |
| Más de 1 mes | Baja a muy baja | Probable sobreescritura parcial |
SSD con TRIM activo: por qué es mucho más difícil
Los SSD presentan un reto fundamentalmente diferente para la recuperación de archivos borrados. La razón es el comando TRIM.
TRIM (ATA TRIM o NVMe Deallocate) es una orden que el sistema operativo envía al SSD para informarle de qué páginas de la NAND ya no contienen datos válidos. El controlador del SSD usa esta información para ejecutar la recoleción de basura (garbage collection) de forma más eficiente: en lugar de esperar a necesitar el espacio, puede borrar esas páginas de forma anticipada cuando el SSD está inactivo.
El proceso es el siguiente:
- El usuario borra un archivo (Shift+Suprimir o vacía la Papelera)
- NTFS marca los clústeres como libres en el bitmap del sistema de archivos
- Windows envía comandos TRIM al SSD indicando qué páginas de la NAND corresponden a esos clústeres
- El controlador del SSD añade esas páginas a su lista de “bloques a borrar” para el siguiente ciclo de garbage collection
- Cuando el SSD tiene tiempo de procesador libre, borra físicamente esas páginas de la NAND
El paso 5 puede ocurrir en minutos u horas dependiendo de la actividad del SSD. Una vez que las páginas de NAND han sido borradas físicamente, los datos son irrecuperables incluso en laboratorio. No hay ningún proceso físico o químico que permita reconstruir una página de NAND borrada eléctricamente.
SSD sin TRIM o con TRIM desactivado
Existen situaciones donde el TRIM puede no ejecutarse:
- SSD conectado como disco secundario en un sistema antiguo con AHCI sin soporte TRIM
- SSD dentro de un RAID por hardware (muchos controladores RAID no pasan TRIM a los discos miembro)
- SSD en máquinas virtuales (el hipervisor puede no pasar TRIM al disco virtual)
- TRIM desactivado manualmente en el sistema operativo
En estos casos, la recuperación de archivos borrados de SSD es más viable, aunque la Flash Translation Layer y la distribución de datos en la NAND aún hacen el proceso más complejo que en HDD.
Qué hacer (y qué no hacer) tras borrar un archivo
Acciones críticas en los primeros minutos
- Deja de usar el disco inmediatamente: cada operación de escritura en el disco (navegación web, descarga de archivos, instalación de software) puede sobreescribir los clústeres del archivo borrado
- En SSD: apaga el ordenador cuanto antes: el garbage collection puede ejecutarse en segundo plano incluso con el ordenador aparentemente en reposo. Un apagado inmediato detiene el proceso
- No instales software de recuperación en el mismo disco: instalar Recuva, PhotoRec u otra herramienta en el disco del que quieres recuperar datos puede sobreescribir precisamente los bloques que buscas
- No hagas backup al mismo disco: copiar otros archivos al mismo disco para “guardar primero lo demás” es un error que puede destruir los datos borrados
Cómo usar software de recuperación correctamente
Si decides usar software de recuperación por cuenta propia (recomendable solo si los archivos no son de alto valor o si tienes experiencia técnica):
- Instala el software en un disco diferente al que quieres recuperar
- En lo posible, trabaja desde un sistema operativo arrancado desde USB (Linux con herramientas forenses) para no montar el disco afectado de forma activa
- Guarda los archivos recuperados siempre en un disco diferente al de origen
- Las herramientas más eficaces para HDD son PhotoRec (gratuito), Recuva (gratuito) y R-Studio (de pago). Para SSD, la eficacia depende del estado del TRIM
Cuándo acudir a un laboratorio especializado
El software de recuperación genérico tiene límites claros. Debes consultar a un laboratorio especializado cuando:
- Los archivos son de alto valor (documentos legales, fotos de boda, proyecto de tesis, trabajo profesional) y no puedes permitirte perderlos definitivamente
- El disco muestra errores físicos (ruidos, no se detecta, sectores lentos) además del borrado accidental
- Se trató de un SSD y ha pasado más de una hora desde el borrado
- El software de recuperación que usaste no encontró los archivos o los encontró dañados
- El sistema de archivos NTFS está corrupto además de los archivos borrados
En nuestro laboratorio disponemos de herramientas de acceso a bajo nivel específicas para cada familia de disco y controlador, capaces de extraer datos de áreas que el software genérico no puede leer. La evaluación es siempre gratuita.
WhatsApp