Datos perdidos en un disco duro: qué hacer y qué dejar de intentar

1. Deja de escribir en la unidad

Si un archivo fue eliminado, el sistema puede marcar su espacio como disponible aunque parte de su contenido todavía permanezca. Microsoft recomienda minimizar o evitar el uso del computador porque nuevas operaciones pueden sobrescribir ese espacio. No descargues software de recuperación en la misma unidad, no copies archivos allí y no crees una partición nueva para guardar resultados.

Si la pérdida ocurrió en la unidad del sistema, apagar de forma segura puede ser más prudente que seguir navegando. Documenta qué ocurrió y a qué hora: eliminación, formato, actualización, golpe, alerta, cifrado o fallo de arranque. Si el dispositivo pertenece a una empresa, informa al responsable antes de manipularlo; puede existir una obligación de preservar evidencia o notificar un incidente.

• Suspende descargas, instalaciones, sincronización y limpieza.
• No formatees ni aceptes inicializar una unidad que aparece ilegible.
• No ejecutes desfragmentación ni “optimización”.
• Registra usuario, hora, acción y mensajes de error.

El objetivo inicial no es hacer que la unidad vuelva a abrir. Es evitar que una acción bien intencionada destruya datos que aún podrían recuperarse.

2. Distingue pérdida lógica, falla física e incidente

Una eliminación accidental en una unidad sana es distinta de un disco que se desconecta, no gira, emite chasquidos o sufrió un golpe. También es diferente de archivos cifrados, renombrados en masa o acompañados por una nota de rescate. Pregunta si el equipo reconoce la unidad con capacidad correcta, si existen errores recurrentes y si el problema afecta una carpeta, una partición o todo el dispositivo.

Considera el tipo de medio. HDD y SSD administran los datos de manera distinta; en SSD, la reutilización de bloques puede volver irrecuperable información con rapidez. El cifrado añade otra dependencia: sin una clave de recuperación válida, recuperar sectores no garantiza obtener archivos utilizables. No adivines contraseñas ni alteres controladores cuando se desconoce la configuración original.

• Eliminación, formato o partición cambiada sin síntomas físicos.
• Errores de lectura, desconexiones o capacidad incorrecta.
• Golpe, líquido, olor, calor o ruido mecánico.
• Cifrado legítimo sin clave disponible.
• Posible malware, ransomware o acceso no autorizado.

3. Busca primero una copia y preserva el original

Revisa papelera, historial de versiones, nube corporativa, respaldo del servidor, copia externa y archivos enviados a colaboradores. Confirma fechas y abre una muestra antes de declarar que la información está recuperada. Si existe una copia completa y confiable, restaura en un entorno limpio y conserva la unidad afectada hasta entender la causa.

Cuando los datos son críticos, el trabajo profesional suele comenzar creando una imagen sector por sector y operando sobre copias, no sobre el original. Esto reduce intervenciones repetidas y conserva un punto de referencia. Si hay sospecha de incidente, NIST recomienda adquirir, preservar, asegurar y documentar evidencia antes de erradicar y recuperar. Coordina la recuperación con la respuesta de seguridad.

• Verifica copias locales, nube, correo y sistemas externos.
• Registra fecha, alcance y estado de cada copia.
• Mantén el original identificado y con acceso restringido.
• Trabaja sobre una imagen o clon cuando el caso lo amerite.

Restaurar archivos no demuestra que el sistema sea confiable. Si la pérdida fue causada por una intrusión, primero hay que contener y entender el incidente.

4. Limita la recuperación lógica a escenarios de bajo riesgo

En una unidad reconocida, estable y sin señales físicas, una herramienta oficial puede ayudar con archivos eliminados. Windows File Recovery admite unidades locales y exige que origen y destino sean diferentes. Microsoft indica que no se cree una partición después de la pérdida; si sólo existe una unidad física, usa otra memoria o disco como destino. Selecciona filtros para reducir escritura y revisión innecesaria.

Antes de iniciar, confirma que el destino tenga capacidad suficiente y que no contenga la única copia de otros datos. Mantén un registro del comando, modo y resultado. No asumas que un archivo recuperado está íntegro: ábrelo con una aplicación segura, verifica contenido y conserva los resultados separados. Si el medio comienza a fallar o los datos son únicos, detén el proceso y escala.

• Origen estable y sin síntomas físicos.
• Destino en una unidad física diferente.
• Filtro por carpeta, nombre o tipo cuando sea posible.
• Resultados guardados sin sobrescribir intentos anteriores.
• Validación de apertura, contenido y versión.

5. Escala con información y aprende del incidente

Para recuperación profesional, explica tipo de dispositivo, capacidad, cifrado, sistema, evento y acciones ya realizadas. Pregunta cómo se custodia la unidad, dónde se procesa, cómo se protege la confidencialidad, qué se cobra por diagnóstico, qué resultado se considera éxito y cómo se entregan y eliminan las copias. Nadie serio puede garantizar todos los archivos antes de evaluar el medio.

Después, corrige la causa. Define respaldo con más de una copia, alertas y restauraciones de prueba. Conserva claves de cifrado bajo control corporativo. Si el almacenamiento será retirado, aplica una política de sanitización acorde con sensibilidad y tecnología; NIST SP 800-88 Rev. 2 trata la sanitización como un proceso que hace inviable el acceso a datos y no como simple eliminación de archivos.

• Diagnóstico, autorización y límites por escrito.
• Cadena de custodia y confidencialidad.
• Criterio de éxito y formato de entrega.
• Tratamiento del medio y copias después del servicio.
• Mejora de respaldo, monitoreo y respuesta.