Sistema de Archivos NTFS Corrupto: Recuperación sin Pérdida de Datos

Windows muestra el disco como RAW, pide formatearlo o no arranca: son los síntomas clásicos de un sistema de archivos NTFS corrupto. La buena noticia es que la corrupción del sistema de archivos es un problema lógico, no físico, y en la gran mayoría de los casos los datos siguen intactos en el disco esperando ser recuperados. La mala noticia es que ejecutar chkdsk en el momento equivocado puede transformar un problema recuperable en una pérdida masiva de datos. En este artículo te explicamos cómo funciona NTFS por dentro, cómo se corrompe y cuál es el proceso correcto de recuperación.

Anatomía de NTFS: los componentes que pueden corromperse

NTFS (New Technology File System) es el sistema de archivos predeterminado de Windows desde Windows NT. Su robustez se basa en una estructura redundante con múltiples componentes críticos:

• Boot Sector (sector 0): Contiene el BPB (BIOS Parameter Block), que describe la geometría del volumen: tamaño de clúster, posición del MFT, número de sectores totales. Sin él, Windows no sabe cómo interpretar el disco.
• Backup Boot Sector: Copia del boot sector almacenada en el último sector del volumen. Si el boot sector principal se corrompe, se puede restaurar desde esta copia.
• MFT (Master File Table): La estructura más crítica de NTFS. Contiene un registro de 1 KB para cada archivo y directorio del volumen, con sus atributos, permisos y la ubicación de sus datos en disco. Sin MFT, NTFS no puede localizar ningún archivo.
• MFT Mirror: Copia de los primeros registros del MFT, almacenada normalmente en el centro del volumen. Protege contra la pérdida de las entradas más críticas del MFT.
• Journal ($LogFile y $UsnJrnl): El diario de transacciones de NTFS registra cada operación pendiente antes de ejecutarla, permitiendo revertir operaciones incompletas tras un apagado inesperado. Es el primer mecanismo de defensa contra la corrupción.
• $Bitmap: Mapa de qué clústeres están ocupados y cuáles libres.

Cómo se corrompe el NTFS: las causas más frecuentes

La corrupción de NTFS tiene varios orígenes bien identificados:

Corte de alimentación durante escritura: Si Windows se apaga bruscamente mientras está escribiendo en el MFT o en estructuras críticas del sistema de archivos, esas estructuras quedan en estado inconsistente. El journal de NTFS fue diseñado para mitigar este riesgo, pero no elimina completamente la posibilidad de corrupción, especialmente en discos con caché de escritura.

Sectores defectuosos en la zona del MFT: Si el MFT reside en un área del disco con sectores en proceso de deterioro, las lecturas fallidas o los errores de CRC en esos sectores generan una MFT parcialmente ilegible. Aquí es donde el problema lógico se convierte en mixto (lógico + físico).

Ejecución de chkdsk sobre un disco con sectores defectuosos: Cuando chkdsk encuentra inconsistencias causadas por sectores físicamente dañados, intenta corregirlas de forma lógica, lo que puede provocar pérdida de datos.

Extracción sin expulsar correctamente: En discos externos, quitar el USB sin hacer la expulsión segura puede interrumpir operaciones de escritura sobre estructuras NTFS críticas.

El peligro de chkdsk en discos con sectores defectuosos

Chkdsk es una herramienta legítima y útil, pero solo en el contexto adecuado. En un disco con sectores físicamente defectuosos, chkdsk puede causar daños graves:

1. Chkdsk detecta entradas del MFT que no puede leer porque los sectores subyacentes están físicamente dañados.
2. Interpreta esa ilegibilidad como corrupción lógica y corrige las entradas afectadas, truncando o eliminando los registros de archivos que no puede leer.
3. Los archivos cuyos registros MFT han sido truncados se vuelven huérfanos: sus datos siguen en disco pero ya no tienen entrada MFT que apunte a ellos.
4. Chkdsk puede mover estos archivos a la carpeta FOUND.000 con nombres genéricos FILE0001.CHK, FILE0002.CHK, eliminando los nombres, estructuras de directorio y metadatos originales.

Nunca ejecutes chkdsk sin verificar antes el estado físico del disco mediante SMART y una prueba de sectores.

Pasos de diagnóstico seguros antes de cualquier actuación

El protocolo correcto ante un NTFS corrupto es:

1. No escribir nada en el disco afectado. Cada escritura puede sobreescribir datos recuperables.
2. Clonar el disco sector a sector a un soporte limpio antes de intentar cualquier recuperación. Trabajamos siempre sobre la copia, nunca sobre el original.
3. Evaluar el estado físico con SMART: Leer los atributos SMART (Reallocated Sectors Count, Current Pending Sectors, Uncorrectable Sectors) para saber si hay daño físico subyacente.
4. Mapear los sectores defectuosos con una herramienta de análisis de superficie para conocer el alcance del daño físico antes de cualquier operación lógica.
5. Solo si el disco está físicamente sano se puede intentar la reparación lógica del sistema de archivos. Si tiene sectores defectuosos, se trabaja directamente sobre el volcado de imagen.

Recuperación del MFT: reparación lógica vs carving completo

Existen dos estrategias principales de recuperación ante NTFS corrupto:

Recuperación por MFT (reparación lógica): Se analiza el MFT dañado, se cruzan datos con el MFT Mirror y el journal, y se reconstruye la tabla con los registros válidos. Esta estrategia preserva los nombres de archivo, la estructura de directorios, las fechas de modificación y los permisos. Es la opción preferida cuando el MFT tiene recuperación viable.

File carving (tallado por firma): Cuando el MFT está irrecuperable, se escanea el disco sector a sector buscando firmas conocidas de tipos de archivo (headers/footers de JPEG, DOCX, PDF, ZIP, etc.). Es más lento y no preserva los nombres ni la estructura de carpetas, pero permite recuperar el contenido de los archivos aunque el sistema de archivos esté completamente destruido.

En la práctica, combinamos ambos métodos: primero recuperación por MFT para los archivos con entrada válida, y carving para los huérfanos o en zonas donde el MFT falta.

$Recycle.Bin y versiones anteriores de Windows

Dos fuentes adicionales de datos que frecuentemente se pasan por alto en casos de NTFS corrupto:

$Recycle.Bin: La Papelera de Reciclaje de Windows se almacena en una carpeta oculta del propio volumen NTFS. Los archivos eliminados que aún no han sido purgados de la papelera tienen sus datos intactos y sus registros MFT activos. Si el sistema de archivos tiene corrupción parcial, esta zona puede estar accesible.

Copias de sombra (Volume Shadow Copy): Windows 10 y 11 crean puntos de restauración y copias de sombra del volumen. Estas copias incluyen versiones anteriores de archivos que pueden ser accesibles incluso cuando el NTFS actual está corrupto, siempre que los datos de las VSS no hayan sido afectados por la misma corrupción.

Bucle de reparación automática de Windows 10/11

Un síntoma muy frecuente de NTFS corrupto es el bucle de reparación automática: Windows intenta iniciar, detecta inconsistencias en el sistema de archivos, arranca el entorno de recuperación, ejecuta una diagnosis, no puede completar la reparación y reinicia de nuevo, entrando en el mismo ciclo indefinidamente.

Este bucle agrava el problema porque en cada iteración Windows puede intentar nuevas correcciones que modifican las estructuras NTFS. Si tu sistema está en este bucle, desconecta el disco lo antes posible y evita nuevos ciclos de arranque.

Cuándo NTFS ya no se puede recuperar: el daño físico subyacente

La corrupción lógica de NTFS es recuperable en la mayoría de los casos. Los escenarios donde la recuperación falla o es parcial son aquellos en que el daño físico del disco impide leer suficientes sectores para reconstruir el MFT, o cuando los datos han sido sobreescritos por escrituras posteriores a la corrupción (incluidos los formateos o las propias correcciones de chkdsk). En esos casos, la recuperación total no es posible aunque sí parcial en muchos escenarios.

Precios orientativos de recuperación de datos en NTFS corrupto

Preguntas frecuentes sobre NTFS corrupto

¿Tu disco aparece como RAW o Windows no puede acceder al volumen NTFS? No formatees ni ejecutes chkdsk sin consultar antes.

Solicitar diagnóstico gratuito