Eliminare un file o formattare un disco non lo cancella fisicamente: su un disco rigido il dato resta sui piatti, intatto, finché nessun nuovo dato viene scritto sopra di esso. Le vostre possibilità di recupero sono quindi spesso buone dopo un'eliminazione o una formattazione accidentale, a una condizione imprescindibile: smettete immediatamente di utilizzare il supporto interessato. Ogni minuto in cui il computer continua a funzionare può ricoprire ciò che state cercando di salvare, perché gli aggiornamenti e altri processi automatici scrivono proprio nello spazio «liberato». Su un SSD, dove il meccanismo TRIM cancella rapidamente i dati eliminati, occorre agire ancora più in fretta.

Il seguito spiega perché un'eliminazione non è una cancellazione, dove si nasconde il vero pericolo e perché il software di recupero che siete tentati di scaricare può fare più male che bene.

Cosa succede davvero quando eliminate un file

Su Windows, un'eliminazione ordinaria non va da nessuna parte: passa dal cestino. Il file viene rimosso dal suo posto, ma conservato in una sorta di zona tampone da cui è ancora possibile estrarlo. È solo svuotando il cestino che si crede di cancellarlo per sempre.

Solo che «per sempre» è ingannevole. Quando svuotate il cestino, il sistema annota che il file non esiste più, ma sui piatti di un disco rigido il dato resta fisicamente presente. Perché? Perché cancellare realmente il contenuto richiederebbe molto tempo: bisognerebbe riscrivere sopra di esso, settore per settore, il che solleciterebbe enormemente il disco a ogni eliminazione. Il sistema non si preoccupa di questo lavoro; si limita a cancellare una riga nel suo registro.

Questo registro si chiama tabella di allocazione, o indice: il repertorio che indica al sistema quali file esistono e dove i loro dati si trovano fisicamente sul disco. Per comprenderlo, immaginate un libro. La tabella di allocazione è l'indice. Ogni capitolo corrisponde a un file, e l'indice indica a quale pagina inizia, ossia dove il dato si trova sul disco. Quando eliminate un file, il sistema non strappa le pagine: cancella la riga corrispondente nell'indice. Le pagine, invece, sono ancora lì. Basta saperle ritrovare.

È tutta qui la ragione per cui il recupero è possibile. Finché nessuno ha riscritto sopra, l'intero capitolo attende, invisibile ma intatto.

Il vero pericolo: riscrivere sopra

Se il dato resta lì, cosa può andare storto? La riscrittura.

Una volta eliminato il file, il sistema considera disponibile lo spazio che occupava. Alla prima occasione, vorrà scrivervi nuovi dati. Se avete appena eliminato un file di grandi dimensioni e il sistema deve registrarne un altro, o più file piccoli, questo spazio appena «liberato» sarà addirittura privilegiato. I nuovi dati si insediano allora esattamente dove si trovavano i vecchi e li ricoprono definitivamente.

Il tranello è che non avete bisogno di fare alcunché per innescare questo processo. Un computer acceso lavora di continuo, senza di voi. Windows o macOS scaricano e installano aggiornamenti, che cercano spazio dove ce n'è, quindi nello spazio che contiene i vostri dati eliminati. L'antivirus scrive i suoi file. La deframmentazione automatica riorganizza il disco. Tutti questi processi, involontari e invisibili, si contendono lo spazio libero e possono ricoprire, pezzo per pezzo, ciò che speravate di recuperare.

Da qui la regola assoluta: non appena si è verificata un'eliminazione accidentale, smettete di utilizzare il sistema operativo che gira su quel disco. Non salvate nulla, non installate nulla e, se possibile, spegnete il dispositivo. Lo stesso principio vale per un telefono: continuare a utilizzarlo significa lasciare che i processi in background lavorino contro di voi.

Disco rigido o SSD: la sfumatura che cambia tutto

Questa buona notizia, «il dato resta lì», conosce un'eccezione importante, e dipende dal tipo di supporto.

Su un disco rigido classico, meccanico, la scrittura è relativamente lenta. Nessun sistema si diverte a riscrivere spontaneamente settori che sembrano liberi: sarebbe controproducente e inutilmente lento. I vostri dati eliminati possono quindi sopravvivere a lungo, finché nulla viene a ricoprirli.

Su un SSD è tutta un'altra storia. Il TRIM è un comando che consente all'SSD di cancellare realmente i blocchi contrassegnati come liberi, al fine di mantenere le proprie prestazioni di scrittura. In concreto, dopo un'eliminazione, l'SSD può eliminare fisicamente i vostri dati nel giro di pochi minuti, di propria iniziativa. La finestra di recupero è quindi ben più breve, e l'arresto del supporto deve essere ancora più rapido. È una delle grandi differenze tra il recupero di un disco rigido e quello di un SSD.

Formattazione, ripartizionamento: rapida o completa, tutto si gioca qui

Eliminare un file o una cartella significa cancellare le sue voci una a una nell'indice. Una formattazione procede diversamente: invece di rimuovere le righe dell'indice una per una, azzera l'intera tabella di allocazione in un colpo solo. La tabella diventa minuscola, come un indice vuoto.

Ma il vecchio contenuto, invece, è ancora lì, e spesso anche la vecchia tabella di allocazione, ritrovabile perché era più grande. È ciò che permette, dopo una semplice formattazione, di ricostruire interamente la struttura dei file. Lo stesso principio si applica al ripartizionamento: si riscrive l'organizzazione, ma i dati sottostanti sussistono.

Occorre tuttavia distinguere due tipi di formattazione, perché non hanno nulla di comparabile:

	Formattazione rapida	Formattazione completa
Cosa fa	Ricrea solo l'indice (la tabella di allocazione)	Ricrea la tabella, poi azzera ogni settore
I dati	Ancora fisicamente presenti	Realmente cancellati, settore per settore
Durata	Quasi istantanea	Diverse ore su un disco di più TB
Recupero	Spesso possibile	Molto compromesso

In altre parole, una formattazione rapida non cancella quasi nulla dei vostri dati, mentre una formattazione completa li sovrascrive metodicamente. Se al momento di formattare avete la scelta e siete in dubbio, la formattazione rapida lascia sempre una via d'uscita.

I software di recupero: quando salvano, quando distruggono

Di fronte a un'eliminazione, il riflesso è cercare un software di recupero. Ne esistono molti, di affidabilità e principi assai variabili. Alcuni sono buoni. Ma quasi tutti condividono lo stesso difetto di progettazione: non congelano lo stato del disco prima di lavorare. Non iniziano col farne una copia bit a bit per operare sulla copia; lavorano direttamente sul vostro supporto.

Ecco lo scenario che vediamo arrivare in laboratorio, ancora e ancora. Un cliente elimina dati importanti, poi scarica un software di recupero. Primo errore: lo installa sullo stesso disco che vuole salvare. Ora, installare un programma significa scrivere file nello spazio libero, ossia proprio dove dormono i dati eliminati. Il primo software non lo convince? Ne prova un secondo, poi un terzo, ciascuno installandosi nello stesso punto e ricoprendo un po' di più i dati. Nel frattempo, Windows avvia un aggiornamento in background, che scrive anch'esso in quello spazio.

Arriva il secondo errore, ancora più fatale. Un software finisce col ritrovare dei file; sollevato, il cliente li ripristina su quello stesso disco. Il programma legge allora i dati e li riscrive dove c'è spazio: nello spazio libero, quindi sui dati che sta salvando. Distrugge ciò che ha appena trovato. Il risultato più frequente: la perdita definitiva di ciò che avrebbe potuto essere recuperato.

Ciò non significa che questi software siano cattivi. Possono rendere un servizio. Tutto sta nel modo: si è congelato il supporto? Si è fatta una copia di sicurezza prima? Si ripristina verso un altro disco rispetto a quello da recuperare? È la manipolazione che conta, non lo strumento. Uno scalpello da legno si vende a chiunque; non fa di chiunque uno scultore.

Ciò che un laboratorio fa al vostro posto

Il nostro approccio comincia là dove quello dei software di largo consumo fallisce: dalla protezione del supporto. La prima fase è una copia bit a bit del disco, realizzata in sola lettura; il supporto è fisicamente bloccato in scrittura dai nostri strumenti (un blocco di scrittura hardware), in modo che nessun sistema possa scrivervi alcunché. Otteniamo così una copia perfetta di tutti i settori, e in seguito lavoriamo unicamente su questa copia. I vostri dati originali, invece, non si muovono più.

Su questa copia lanciamo scansioni multiple per ricostituire la struttura ad albero a partire dagli indici cancellati: ritrovare l'indice, in sostanza, per restituire a ciascun file il suo nome e la sua cartella. Quando gli indici sono troppo danneggiati per farlo, lavoriamo direttamente sui file stessi, con una tecnica chiamata carving: il recupero dei file a partire dalla loro firma binaria, senza passare dall'indice. Cerchiamo nei dati grezzi i byte caratteristici con cui inizia ogni tipo di file, un JPG, un PDF e così via. Questo metodo recupera file che non hanno più alcun indice, al prezzo di un limite: si perde il nome d'origine e la posizione nella struttura ad albero.

Spesso andiamo oltre. Per foto recuperate senza nome, sfruttiamo i dati EXIF integrati in ogni immagine per restituire loro nomi comprensibili, con data e informazioni di scatto. E per formati più rari, come il DICOM utilizzato per la diagnostica per immagini, ci è capitato di sviluppare software di rilevamento propri per estrarre quei file che gli strumenti standard ignorano.

Domande frequenti

Un file eliminato è davvero cancellato?

No. Su un disco rigido, eliminare un file (anche svuotando il cestino) rimuove solo la sua voce nell'indice: il dato resta fisicamente presente sui piatti finché nessun nuovo dato viene scritto sopra di esso. È ciò che rende possibile il recupero.

Cosa fare immediatamente dopo aver eliminato o formattato per errore?

Smettete di utilizzare il supporto all'istante: non salvate nulla, non installate nulla e, se possibile, spegnete il dispositivo. Ogni scrittura, compresi gli aggiornamenti e l'antivirus che girano in background, può ricoprire i dati da recuperare. Non installate software di recupero sul disco interessato.

È possibile recuperare i dati dopo una formattazione?

Spesso sì, soprattutto dopo una formattazione rapida, che ricrea solo la tabella di allocazione lasciando i dati e la vecchia tabella al loro posto. Una formattazione completa, che azzera ogni settore, rende invece il recupero molto compromesso. Il ripartizionamento segue lo stesso principio della formattazione rapida.

È possibile recuperare un file eliminato su un SSD?

È molto più incerto che su un disco rigido. Il meccanismo TRIM degli SSD cancella realmente i blocchi contrassegnati come liberi, spesso nel giro di pochi minuti. Occorre quindi smettere di utilizzare l'SSD immediatamente; trascorso un breve intervallo, i dati eliminati possono essere definitivamente persi.

I software di recupero dati sono affidabili?

Possono aiutare, ma il loro difetto comune è lavorare direttamente sul disco da recuperare senza congelarlo. Installare il software, scansionare, poi ripristinare i file sullo stesso disco scrive nello spazio libero in cui si trovano proprio i dati da salvare, e li distrugge. Se ne utilizzate uno, installatelo e ripristinate verso un altro disco.

Che cos'è il carving nel recupero dati?

Il carving è una tecnica che recupera i file a partire dalla loro firma binaria, senza l'indice. Nei dati grezzi si identificano i byte che segnano l'inizio di un JPG, di un PDF, ecc. Permette di salvare file il cui indice è distrutto, ma fa perdere il nome d'origine e la posizione nelle cartelle.