¿Por qué los datos «eliminados» suelen seguir siendo recuperables?
Respuesta breve
Porque «eliminar» normalmente no borra los datos. Quita los metadatos del sistema de archivos (el puntero/la entrada de directorio) y marca los bloques como libres, pero los bytes originales permanecen en el disco hasta que el sistema operativo reutiliza esos bloques para nuevos datos. Hasta que ocurre esa sobrescritura, las herramientas forenses pueden extraer el contenido directamente.
El significado cotidiano de «eliminar» —se acabó— es la trampa. Los candidatos asumen que quitar equivale a destruir. El entrevistador quiere el modelo mental de cómo los sistemas de archivos liberan realmente espacio, porque ese modelo sustenta tanto la forense como la eliminación segura.
Qué hace realmente «eliminar»
Un sistema de archivos rastrea los archivos con metadatos: una entrada de directorio más un registro (inodo, entrada MFT, etc.) que apunta a los bloques de datos. Cuando eliminas un archivo, el sistema operativo normalmente solo desvincula ese puntero y marca los bloques subyacentes como disponibles para reutilización. No limpia los bloques. Los bytes originales siguen ahí, intactos, hasta que el sistema operativo asigna más tarde esos mismos bloques a un archivo distinto y escribe encima. Hasta ese momento, los datos son remanentes.
Por qué funciona la recuperación
Dos técnicas explotan esto. Si los metadatos siguen parcialmente presentes, las herramientas de recuperación (undelete) los reenlazan. Si los metadatos han desaparecido, el file carving rastrea el disco en bruto buscando firmas de archivo conocidas (cabeceras/pies, como los bytes mágicos de un JPEG) y reconstruye los archivos sin ninguna ayuda del sistema de archivos. Esto es rutina en DFIR, y un riesgo real al deshacerse de los soportes.
Los matices que vale la pena mencionar
- Los SSD complican esto: TRIM y el nivelado de desgaste hacen que el controlador pueda borrar o reubicar bloques de forma proactiva, así que el comportamiento difiere de los discos mecánicos.
- El borrado seguro significa sobrescribir los datos (o, más fiablemente, el borrado criptográfico: destruir la clave de cifrado para que el texto cifrado sea irrecuperable).
Qué buscan los entrevistadores
La distinción puntero frente a datos, la frase «hasta que se sobrescribe», e idealmente la mención del carving más por qué el SSD/el cifrado cambia el panorama. Eso demuestra intuición forense, no creencia popular.
Posibles preguntas de seguimiento
- ¿Cómo recupera datos el file carving sin los metadatos del sistema de archivos?
- ¿Por qué el borrado seguro es más difícil en los SSD que en los discos mecánicos?
- ¿Cuál es la diferencia entre eliminar, borrar (wipe) y borrado criptográfico?