¿Se pueden recuperar datos sobreescritos? La verdad técnica sobre sobreescritura y borrado seguro
Es una de las preguntas que más recibimos, y la respuesta no es sencilla. Depende del tipo de disco (HDD o SSD), del método de sobreescritura utilizado, de cuántas pasadas se hicieron y, en el caso de los HDD modernos, de la densidad de grabación. En este artículo desmontamos mitos, explicamos la ciencia detrás de la recuperación de datos sobreescritos y establecemos cuándo es realista intentarlo y cuándo no.
Cómo funciona la sobreescritura en un disco duro HDD
En un disco duro magnético (HDD), los datos se almacenan como zonas de orientación magnética en el plato recubierto de óxido. Cuando el sistema escribe un nuevo dato sobre un sector que ya contenía información, la cabeza de escritura aplica un campo magnético que reorienta las partículas magnéticas del plato. El dato anterior queda sobreescrito.
La pregunta es: ¿queda algún residuo del dato anterior? En teoría, la señal magnética resultante en el plato no es una sobreescritura perfecta: el campo de escritura no es homogéneo en los bordes del track y pueden quedar residuos de señal magnética subumbral (por debajo del umbral de detección del cabezal estándar). Esto llevó al desarrollo de técnicas de borrado múltiple, como el estándar DoD 5220.22-M y el método Gutmann.
DoD 5220.22-M y Gutmann: ¿qué son realmente?
DoD 5220.22-M
El estándar del Departamento de Defensa de los EE. UU. en su versión clásica especifica 3 pasadas de sobreescritura:
- Pasada 1: sobreescritura con un patrón fijo (ej.
0x00) - Pasada 2: sobreescritura con el complemento del patrón anterior (
0xFF) - Pasada 3: sobreescritura con datos aleatorios y verificación
Versiones posteriores del estándar (ECE) añadieron hasta 7 pasadas. Es importante aclarar que el propio DoD, en sus versiones más recientes, ha retirado la especificación de múltiples pasadas para discos duros modernos, considerando que una única pasada de sobreescritura es suficiente para discos con densidad de grabación perpendicular.
Método Gutmann (35 pasadas)
El método Gutmann, publicado por Peter Gutmann en 1996, propone 35 pasadas de sobreescritura con patrones diseñados específicamente para los tipos de codificación magnética de los discos de la época. El propio Gutmann aclaró posteriormente que la mayoría de sus patrones sólo son relevantes para tecnologías de grabación ya obsoletas (MFM, RLL), y que para discos modernos con codificación PRML/EPRML bastan unas pocas pasadas aleatorias.
En la práctica, aplicar Gutmann en 35 pasadas a un disco de 4 TB moderno tarda más de 100 horas y ofrece una protección marginal sobre una única pasada aleatoria bien ejecutada.
¿Pueden recuperarse datos después de una sobreescritura? La postura científica actual
La respuesta honesta es: después de una única pasada de sobreescritura completa en un HDD moderno, la recuperación práctica de datos es extremadamente improbable. Los estudios de Craig Wright et al. (2008) demostraron que incluso con microscopio de fuerza magnética (MFM), la recuperación de datos en discos con grabación perpendicular después de una sola pasada de ceros era prácticamente inviable: la tasa de error al intentar reconstruir bits individuales superaba el 50%, haciendo que los datos recuperados fueran indistinguibles del ruido aleatorio.
La idea de que las agencias de inteligencia disponen de tecnología para recuperar datos después de múltiples pasadas es un mito moderno sin respaldo emperico publicado. Los laboratorios forenses de referencia (NIST, DFRWS) no han publicado evidencia de recuperación exitosa en discos con sobreescritura completa posterior a 2005.
Cuándo sí es posible una recuperación parcial
Existen situaciones concretas en las que la recuperación después de una sobreescritura parcial o incompleta es posible:
1. Sobreescritura incompleta (el sistema falló a mitad)
Si el proceso de borrado fue interrumpido (corte de luz, fallo del software, disco extraído durante el proceso), solo una parte del disco habrá sido sobreescrita. Los sectores que no llegaron a ser sobreescritos pueden recuperarse con técnicas estándar de recuperación de datos.
2. Borrado de ficheros a nivel de sistema de ficheros (sin sobreescritura)
Este es el caso más común. Cuando un usuario "borra" un fichero en Windows, macOS o Linux sin usar herramientas de borrado seguro, el sistema no sobreescribe los datos: simplemente marca el espacio como disponible. El contenido del fichero permanece intacto en los sectores del disco hasta que otro fichero ocupe ese espacio. Esto es lo que permite la recuperación de datos en la gran mayoría de casos de borrado accidental.
3. Borrado de partición o formateo rápido
El "formateo rápido" (Quick Format) de Windows solo reescribe las estructuras del sistema de ficheros (tabla de particiones, MFT o FAT), pero no toca los datos. Un formateo completo (Full Format) en versiones modernas de Windows sí realiza una pasada de ceros sobre todo el disco, haciendo la recuperación prácticamente imposible.
4. Sobreescritura de ficheros individuales (no de todo el disco)
Si solo se ha sobreescrito un fichero específico (por ejemplo, al guardar una nueva versión de un documento sobre el mismo nombre), los fragmentos anteriores pueden aún existir en el disco si el fichero anterior ocupaba más bloques que el nuevo. También pueden existir copias en el espacio de slack (fragmentos de datos al final de un clúster) o en áreas temporales del sistema.
SSDs: la sobreescritura es fundamentalmente diferente
En los discos de estado sólido (SSD), la arquitectura de almacenamiento es radicalmente diferente y tiene implicaciones importantes tanto para el borrado seguro como para la recuperación:
- Wear leveling: El controlador del SSD distribuye las escrituras por todas las celdas para alargar su vida útil. Esto significa que cuando sobreescribes un bloque lógico, el controlador puede escribir los nuevos datos en una celda física diferente, dejando los datos originales en la celda anterior como "basura" hasta que el garbage collector los elimine.
- Over-provisioning: Los SSDs tienen capacidad de almacenamiento física superior a la capacidad anunciada. En esta zona de over-provisioning pueden residir datos antiguos inaccesibles por medios convencionales.
- TRIM: Si el SSD recibe comandos TRIM (en sistemas operativos modernos con controladores adecuados), los bloques liberados son marcados para borrado y el controlador los puede limpiar internamente antes de que sean sobreescritos. Esto reduce significativamente las posibilidades de recuperación en SSDs con TRIM activo.
La consecuencia práctica es doble: el borrado seguro en SSDs es más complejo (las pasadas de sobreescritura convencionales no garantizan el borrado en las zonas de over-provisioning), pero también la recuperación es más difícil, porque el TRIM puede haber eliminado los datos antes de que se solicitara la recuperación.
Técnicas forenses para recuperación después de sobreescritura parcial
Caríng de ficheros (file carving)
El file carving es una técnica que busca firmas de cabecera y pie de fichero (magic bytes) en los datos crudos del disco, independientemente de si existe una entrada en el sistema de ficheros que los referencie. Si los sectores que contenían un JPEG, PDF o ZIP no han sido sobreescritos, el carving puede recuperar el fichero aunque su entrada en el directorio haya sido eliminada.
Análisis de espacio de slack y espacio no asignado
El espacio de slack (slack space) son los bytes entre el final real de un fichero y el final del último clúster que ocupa. En este espacio pueden quedar fragmentos de datos de ficheros anteriores. Las herramientas forenses (EnCase, FTK, Autopsy) analizan sistemáticamente estas zonas.
Análisis de journaling del sistema de ficheros
Los sistemas de ficheros con journaling (NTFS, ext4, APFS, Btrfs) mantienen un registro de transacciones recientes. En algunos casos, el journal puede contener metadatos de ficheros recientemente borrados o incluso fragmentos de su contenido, incluso después de una sobreescritura parcial.
Tabla resumen: probabilidad de recuperación según escenario
| Escenario | HDD | SSD (con TRIM) | SSD (sin TRIM) |
|---|---|---|---|
| Borrado papelera / rm sin seguro | Alta (80-95%) | Baja-media (20-50%) | Alta (70-90%) |
| Formateo rápido | Alta (75-90%) | Baja (10-30%) | Media (40-70%) |
| Formateo completo (1 pasada ceros) | Muy baja (1-3%) | Muy baja | Muy baja |
| Sobreescritura incompleta (interrumpida) | Media-alta (50-80%) | Media (30-60%) | Media-alta |
| DoD 5220.22-M (3 pasadas completas) | Prácticamente nula | Prácticamente nula | Prácticamente nula |
| ATA Secure Erase en SSD | N/A | Nula | Nula |
Si crees que tus datos son recuperables —borrado accidental, formateo rápido, sobreescritura interrumpida— no sigas usando el disco. Cada nueva escritura reduce las probabilidades. Contáctanos para un diagnóstico gratuito.
WhatsApp