Recuperar datos de disco duro Linux: ext4, Btrfs y XFS

Linux utiliza sistemas de archivos propios —ext4, Btrfs y XFS— que presentan diferencias fundamentales respecto a NTFS o APFS en cuanto a estructura interna, journaling y mecanismos de recuperación. Conocer esas diferencias es imprescindible para elegir la herramienta correcta. Esta guía técnica detalla los métodos de recuperación disponibles, sus limitaciones reales y los casos en que solo un laboratorio especializado puede rescatar los datos.

¿Por qué Linux es diferente para la recuperación de datos?

La recuperación de datos en Linux no es simplemente "lo mismo que en Windows pero con otras herramientas". Los sistemas de archivos de Linux tienen una arquitectura interna distinta que afecta directamente a qué datos se pueden recuperar, con qué herramientas y en qué condiciones.

Diferencias estructurales clave

En Windows, NTFS utiliza una Master File Table (MFT) que registra metadatos de todos los archivos en una zona central del disco. Cuando se borra un archivo, la entrada MFT se marca como libre pero los datos permanecen hasta ser sobreescritos, lo que facilita la recuperación.

En Linux, los sistemas de archivos más comunes —ext4, Btrfs y XFS— gestionan los metadatos de forma diferente:

• Inodos: Cada archivo tiene un inodo que almacena sus metadatos (permisos, fechas, bloques de datos). Al borrar un archivo en ext4, el inodo se libera y sus punteros a bloques se ponen a cero, lo que dificulta enormemente la recuperación.
• Journaling: ext4 y XFS usan un journal para garantizar la integridad del sistema de archivos. Esta característica, que protege frente a apagones, también puede sobreescribir rápidamente los restos de archivos borrados.
• Copy-on-Write en Btrfs: Btrfs nunca sobreescribe datos existentes, sino que escribe nuevas versiones en bloques libres. Esto facilita la recuperación en ciertos escenarios pero complica la estructura interna del sistema de archivos.

El rol del sistema de archivos en la recuperabilidad

La probabilidad de éxito en la recuperación depende directamente del sistema de archivos y del tipo de pérdida:

Sistema de archivos	Archivos borrados	Partición borrada	FS corrupto
ext4	Difícil (inodos a cero)	Buena (superblocks)	Buena (e2fsck)
Btrfs	Posible (CoW, snapshots)	Moderada	Moderada (btrfs check)
XFS	Muy difícil (sin soporte)	Buena (superblocks)	Buena (xfs_repair)

ext4: el sistema de archivos más común en Linux

ext4 (fourth extended filesystem) es el sistema de archivos predeterminado en la mayoría de distribuciones Linux de escritorio: Ubuntu, Debian, Mint, Fedora y muchas otras. Su popularidad lo convierte en el caso más frecuente en recuperación de datos.

Estructura interna de ext4

Comprender la estructura de ext4 es esencial para entender por qué la recuperación es posible en algunos casos y no en otros:

• Grupos de bloques: El disco se divide en grupos de bloques. Cada grupo tiene su propio superbloque de copia (backup), bitmap de bloques, bitmap de inodos y tabla de inodos. La existencia de múltiples copias del superbloque facilita enormemente la recuperación cuando el superbloque primario se corrompe.
• Inodos: Cada archivo e directorio tiene un inodo con sus metadatos. Un inodo contiene: tipo de archivo, permisos, propietario, fechas de acceso/modificación/cambio, tamaño y punteros a los bloques de datos.
• Extents: A diferencia de ext3, ext4 usa "extents" en lugar de punteros de bloque individuales. Un extent describe un rango contiguo de bloques, lo que mejora el rendimiento pero cambia la forma en que se reconstruyen archivos borrados.
• Journal (diario): ext4 escribe las operaciones en un journal antes de ejecutarlas en el sistema de archivos. Esto protege la integridad del FS ante apagones, pero también puede sobreescribir restos de archivos borrados en el área del journal.

¿Qué pasa cuando se borra un archivo en ext4?

Este es el punto crítico que diferencia ext4 de NTFS en recuperación. Cuando se borra un archivo en ext4:

1. El inodo del archivo se marca como libre en el bitmap de inodos.
2. Los punteros a bloques de datos en el inodo se ponen a cero (esto es lo que hace tan difícil la recuperación en ext4).
3. Los bloques de datos no se sobreescriben inmediatamente, pero ya no hay punteros que indiquen dónde están.

El resultado: la herramienta de recuperación no puede reconstruir el archivo simplemente siguiendo los punteros del inodo (ya no existen). Debe realizar un "carving" de datos, buscando firmas de formatos de archivo conocidos en los bloques libres del disco. Este proceso recupera el contenido pero frecuentemente pierde el nombre del archivo y su estructura de directorios.

Herramientas específicas para ext4

• extundelete: La herramienta más específica para ext4. Analiza el journal y los inodos del sistema de archivos para intentar reconstruir archivos borrados. Solo funciona si los bloques de datos no han sido sobreescritos y el journal aún contiene información del archivo.
• e2fsck: La herramienta estándar para reparar sistemas de archivos ext2/3/4 corruptos. No recupera archivos borrados, pero puede reparar inconsistencias que impiden montar el sistema de archivos.
• debugfs: Herramienta de bajo nivel para inspeccionar y manipular sistemas de archivos ext2/3/4. Permite examinar inodos, directorios y bloques directamente. Útil para diagnóstico avanzado y recuperación manual.
• PhotoRec / TestDisk: Aunque no son específicas de ext4, funcionan muy bien para recuperar archivos por firma (carving) independientemente del sistema de archivos.

Btrfs: ventajas y complejidad en la recuperación

Btrfs (B-tree filesystem) es el sistema de archivos moderno de Linux, diseñado para sustituir a ext4 a largo plazo. Es el sistema de archivos predeterminado en openSUSE, Fedora (desde la versión 33) y se usa extensamente en NAS Synology. Su arquitectura CoW (Copy-on-Write) cambia completamente el escenario de recuperación.

Copy-on-Write: la clave de Btrfs

Btrfs nunca sobreescribe bloques de datos existentes. Cuando se modifica un archivo, escribe los nuevos datos en bloques libres y actualiza los metadatos para apuntar a los nuevos bloques. Los bloques antiguos permanecen en el disco hasta que el garbage collector los reclama.

Esta arquitectura tiene implicaciones importantes para la recuperación:

• Ventaja: Un archivo "borrado" puede seguir teniendo sus bloques de datos físicamente en el disco durante más tiempo que en ext4, ya que el CoW ralentiza la reutilización de bloques.
• Ventaja: Los snapshots de Btrfs son copias casi instantáneas del estado del sistema de archivos en un momento dado. Si el sistema estaba configurado con snapshots automáticos (como hacen openSUSE con Snapper o Timeshift en Ubuntu), los archivos borrados pueden estar en un snapshot anterior.
• Desventaja: La estructura interna de Btrfs es significativamente más compleja que ext4. Los árboles B de metadatos, la gestión de subvolúmenes y la asignación dinámica de bloques hacen que la recuperación manual sea mucho más difícil.
• Desventaja: Cuando el sistema de archivos Btrfs mismo está corrupto (no solo archivos borrados), la recuperación puede ser extremadamente compleja y a veces imposible con herramientas de usuario.

Subvolúmenes y snapshots en recuperación

Btrfs permite crear subvolúmenes independientes dentro del mismo sistema de archivos (típicamente @ para root y @home para /home). Los snapshots son copias de un subvolumen en un momento dado y se almacenan típicamente en /.snapshots/.

Antes de usar cualquier herramienta de recuperación en Btrfs, comprueba si existen snapshots:

# Listar snapshots disponibles (desde un LiveUSB)
sudo mount -o ro,subvolid=5 /dev/sdXY /mnt/btrfs-root
ls /mnt/btrfs-root/.snapshots/

Si existen snapshots previos al incidente, la recuperación es prácticamente inmediata: basta con copiar los archivos desde el snapshot correspondiente.

Herramientas para Btrfs

• btrfs restore: Herramienta oficial del paquete btrfs-progs. Diseñada específicamente para extraer archivos de un sistema de archivos Btrfs dañado que no puede montarse normalmente. Trabaja en modo de solo lectura sobre el dispositivo.
• btrfs check: Verifica la integridad del sistema de archivos. Usar con precaución: --repair puede empeorar situaciones ya comprometidas. Siempre crear una imagen con ddrescue antes.
• btrfs-find-root: Localiza superblocs de árbol de árbol raíz válidos en un sistema de archivos corrupto, útil cuando la estructura principal está dañada.
• Snapper / Timeshift: Si estaban configurados, permiten restaurar directamente desde snapshots sin necesidad de herramientas especializadas.

XFS: usado en servidores y sistemas empresariales

XFS es un sistema de archivos de alto rendimiento desarrollado originalmente por SGI en 1993. Es el sistema de archivos predeterminado en Red Hat Enterprise Linux (RHEL), CentOS, Rocky Linux y AlmaLinux desde sus versiones 7+. Se usa ampliamente en servidores de almacenamiento, sistemas NAS empresariales y entornos con archivos muy grandes.

Características de XFS relevantes para la recuperación

• Journaling de metadatos: XFS usa journaling solo para metadatos (no para datos por defecto), lo que ofrece alta velocidad pero significa que en un fallo de escritura pueden perderse datos del journal.
• Sin recuperación de archivos borrados: XFS es el sistema de archivos de Linux donde la recuperación de archivos borrados es más difícil. Cuando se borra un archivo, XFS libera inmediatamente los inodos y los bloques de datos de forma agresiva. No existen herramientas fiables que reconstruyan archivos borrados en XFS de forma selectiva.
• Allocation Groups: XFS divide el disco en Allocation Groups independientes, cada uno con su propio superbloque, árbol de inodos y árbol de espacio libre. Esto mejora la escalabilidad pero complica la recuperación manual.
• Extents y B-trees: Al igual que ext4, XFS usa extents para describir bloques de datos contiguos. Los árboles B de XFS para gestión de espacio son robustos pero difíciles de reconstruir manualmente cuando están dañados.

Recuperación de particiones XFS

Aunque XFS es el peor de los tres sistemas de archivos para recuperar archivos borrados individualmente, sí existen buenas opciones cuando el problema es una partición borrada o un sistema de archivos corrupto:

• xfs_repair: La herramienta principal para reparar sistemas de archivos XFS corruptos. Analiza la estructura del FS, reconstruye árboles B dañados y mueve archivos con metadatos inconsistentes al directorio /lost+found. Siempre usar sobre una imagen del disco, nunca directamente sobre el dispositivo en producción.
• xfs_undelete: Script Perl que intenta recuperar archivos borrados en XFS analizando los árboles de inodos en busca de entradas recientemente liberadas. Sus resultados son limitados y no garantizados.
• TestDisk: Puede localizar y reconstruir particiones XFS borradas analizando el disco en busca de superbloques XFS válidos.
• PhotoRec / Foremost: Para recuperar el contenido de los archivos mediante carving, independientemente del sistema de archivos.

Herramientas de recuperación para Linux

El ecosistema de recuperación de datos en Linux incluye herramientas libres y comerciales. Esta tabla resume las más relevantes con sus casos de uso, sistemas de archivos compatibles y limitaciones:

Herramienta	FS compatible	Caso de uso principal	Gratuita
TestDisk	ext4, XFS, Btrfs, NTFS y más	Recuperar particiones borradas, reconstruir tabla de particiones, reparar sector de arranque	Sí
extundelete	ext3, ext4	Recuperar archivos borrados en ext3/ext4 usando journal e inodos	Sí
PhotoRec	Todos (trabaja a nivel de bloque)	Recuperación de archivos por firma (carving): fotos, documentos, vídeos, etc.	Sí
btrfs restore	Btrfs	Extraer archivos de un sistema de archivos Btrfs dañado o no montable	Sí
xfs_repair	XFS	Reparar sistema de archivos XFS corrupto	Sí
Foremost	Todos (carving)	Recuperación forense por cabeceras y pies de archivo. Similar a PhotoRec pero más configurable.	Sí
e2fsck / debugfs	ext2, ext3, ext4	Reparar FS ext4 corrupto; inspección y recuperación manual de bajo nivel	Sí
ddrescue (GNU)	Todos	Clonación de discos con sectores defectuosos. Paso previo obligatorio antes de cualquier recuperación.	Sí
R-Studio Linux	ext4, XFS, Btrfs, NTFS y más	Recuperación profesional completa con interfaz gráfica. El mejor software comercial para Linux.	No (desde ~80€)

Recuperación con LiveUSB: paso a paso

La forma correcta de intentar una recuperación de datos en Linux es arrancar desde un LiveUSB —un sistema Linux que funciona completamente desde memoria RAM sin tocar el disco a recuperar. Esto garantiza que el sistema operativo no monte automáticamente el disco dañado ni lo modifique.

Distribuciones LiveUSB recomendadas

• SystemRescue (SystemRescueCd): La distribución más completa para recuperación. Incluye TestDisk, PhotoRec, ddrescue, e2fsck, xfs_repair, btrfs-progs y decenas de herramientas más. Es la primera opción para cualquier técnico.
• Rescuezilla: Basada en Ubuntu, incluye interfaz gráfica. Buena opción para usuarios sin experiencia en línea de comandos.
• Ubuntu Live / Debian Live: Las distribuciones estándar también funcionan bien; hay que instalar las herramientas manualmente con apt.

Paso 1: clonar el disco con ddrescue

Antes de ejecutar cualquier herramienta de recuperación, crea una imagen del disco dañado. Esto es imprescindible: si la recuperación falla o empeora la situación, siempre puedes volver a intentarlo sobre la imagen.

# Instalar ddrescue si no está disponible
sudo apt install gddrescue

# Clonar disco con mapa de recuperación (permite reanudar si se interrumpe)
sudo ddrescue -d -r3 /dev/sda /mnt/externo/imagen_disco.img /mnt/externo/imagen_disco.log

# -d: acceso directo al dispositivo (evita caché del kernel)
# -r3: reintenta 3 veces cada sector fallido
# El archivo .log permite reanudar la operación si se interrumpe

Paso 2: recuperar particiones borradas con TestDisk

# Ejecutar TestDisk sobre la imagen (nunca sobre el disco original si es posible)
sudo testdisk /mnt/externo/imagen_disco.img

# En el menú de TestDisk:
# 1. Create (nuevo log) o Append (continuar log existente)
# 2. Seleccionar la imagen de disco
# 3. Tipo de tabla de particiones (Intel/PC para MBR, EFI GPT para GPT)
# 4. Analyse > Quick Search para buscar particiones
# 5. Si encuentra las particiones correctas: Write para escribir la tabla

Paso 3: recuperar archivos borrados en ext4 con extundelete

# Recuperar todos los archivos borrados de una partición ext4
sudo extundelete /dev/sda1 --restore-all --output-dir /mnt/recuperados/

# Recuperar un archivo específico por nombre
sudo extundelete /dev/sda1 --restore-file ruta/relativa/al/archivo.pdf --output-dir /mnt/recuperados/

# Recuperar archivos borrados en las últimas 24 horas
sudo extundelete /dev/sda1 --after $(date -d "24 hours ago" +%s) --restore-all --output-dir /mnt/recuperados/

Paso 4: recuperación por carving con PhotoRec

Si extundelete no recupera los archivos necesarios (o el sistema de archivos es XFS o Btrfs sin snapshots), PhotoRec puede recuperar el contenido de los archivos aunque haya perdido los metadatos:

# PhotoRec tiene interfaz de texto interactiva
sudo photorec /mnt/externo/imagen_disco.img

# En el menú:
# 1. Seleccionar la imagen de disco
# 2. Seleccionar la partición o el disco completo
# 3. Elegir el sistema de archivos (Linux para ext4/XFS/Btrfs)
# 4. Seleccionar directorio de destino (NUNCA en el mismo disco a recuperar)
# 5. Search para iniciar la recuperación

Paso 5: reparar Btrfs con btrfs restore

# Comprobar si hay snapshots disponibles antes de nada
sudo mount -o ro,subvolid=5 /dev/sda2 /mnt/btrfs-root
ls /mnt/btrfs-root/.snapshots/

# Si el sistema de archivos no monta, usar btrfs restore
sudo btrfs restore -v /dev/sda2 /mnt/recuperados/

# Con la opción -x para recuperar también xattrs y permisos
sudo btrfs restore -xv /dev/sda2 /mnt/recuperados/

Cuándo el software no es suficiente

Las herramientas de software, por muy potentes que sean, tienen un límite claro: solo funcionan cuando el disco puede leer sus propios datos. Si el disco tiene un problema físico, ninguna herramienta de software puede recuperar los datos.

Señales de fallo físico en un disco con Linux

• El disco no aparece en lsblk ni en fdisk -l: El sistema operativo no detecta el dispositivo. Puede ser fallo de controladora, PCB quemada o motor bloqueado.
• Ruidos anómalos: Clic repetitivo (cabezales dañados), zumbido o chirrido (motor del eje o cabezales). Apagar inmediatamente.
• El disco se detecta pero ddrescue reporta miles de sectores no legibles (erro): Degradación de platos magnéticos. A medida que se intenta leer, puede empeorar.
• El disco aparece con tamaño incorrecto: Ejemplo: un disco de 1TB que aparece como 0MB o 32MB. Fallo de firmware o de electrónica.
• Temperatura extrema del disco: Si el disco se calienta inusualmente al conectarlo, fallo mecánico interno.

Límites del software en discos con sectores defectuosos

ddrescue puede leer discos con sectores defectuosos (bad sectors) saltándose los sectores no legibles y recuperando el máximo posible. Sin embargo, cuando el número de sectores no legibles es muy alto o los sectores dañados corresponden a áreas críticas de metadatos (superbloque, tabla de inodos en ext4, árbol raíz en Btrfs), el software llega a su límite:

• Si el superbloque de ext4 y todas sus copias de seguridad están en sectores defectuosos, no se puede montar ni analizar el sistema de archivos.
• Si el árbol raíz de Btrfs está en sectores no legibles, btrfs restore no puede extraer ningún archivo.
• Si los cabezales magnéticos de un disco HDD están físicamente dañados, solo en sala limpia puede intercambiarse el mecanismo de cabezales para leer los platos.

Proceso de recuperación en laboratorio

Cuando el software no es suficiente o cuando el riesgo de perder datos permanentemente es alto, el laboratorio de recuperación de datos es la única opción viable. En RecuperaTusDatos.es trabajamos con equipación especializada para casos que ningún software puede resolver.

¿Qué puede hacer un laboratorio que el software no puede?

• Sala limpia ISO 5 (clase 100): Para discos HDD con daño físico en platos o cabezales. La apertura del disco requiere un entorno libre de partículas para evitar que el polvo raye los platos durante la intervención.
• Intercambio de cabezales: Los cabezales de lectura/escritura se sustituyen por unidades compatibles para poder leer los platos dañados.
• Bypass de PCB: La placa electrónica del disco se repara o sustituye por una compatible, incluyendo la transferencia del ROM de adaptación exclusivo del disco.
• Desbloqueo de firmware: Algunos discos entran en modo de protección (firmware failure) y se bloquean. Se accede al terminal de servicio del disco para reparar el firmware a nivel interno.
• Lectores especializados de NAND: Para SSDs con controladora dañada, se pueden leer los chips de memoria NAND individualmente y reconstruir el mapa de traducción (FTL).
• Recuperación de sistemas RAID complejos: Arrays degradados con múltiples discos fallidos, RAID 5/6 con doble fallo, o metadatos RAID perdidos requieren análisis forense especializado.

Nuestro proceso de trabajo

1. Diagnóstico gratuito: Evaluamos el disco (o sistema RAID/NAS) y determinamos el tipo de fallo, las posibilidades de recuperación y el coste estimado sin ningún compromiso.
2. Presupuesto previo: Solo procedemos con tu autorización expresa. No hay sorpresas en la factura final.
3. Imagen forense del disco: Antes de cualquier intervención, creamos una imagen bit a bit del estado actual del disco. Trabajamos siempre sobre la imagen, no sobre el original.
4. Intervención técnica: Según el caso: reparación de PCB, intercambio de cabezales en sala limpia, desbloqueo de firmware, extracción de chips NAND, etc.
5. Recuperación de datos: Aplicamos herramientas especializadas (algunas propietarias del sector) sobre la imagen obtenida.
6. Verificación y entrega: Verificamos la integridad y legibilidad de los datos recuperados. Entregamos en el soporte de tu elección.

Si tienes un disco Linux con ext4, Btrfs o XFS que no puedes recuperar con las herramientas descritas en esta guía, contacta con nosotros para una evaluación gratuita.

Preguntas frecuentes

Te puede interesar

• › Recuperación de datos en Linux: ext4, Btrfs y XFS
• › Recuperación de datos de servidores Linux con filesystem ext4 y XFS
• › Herramientas profesionales de recuperación de datos: qué usa un laboratorio
• › ¿Qué es S.M.A.R.T. en un Disco Duro y Cómo Leerlo?