Quando un file viene cancellato dal computer, smartphone o qualsiasi altro dispositivo di memoria, in realtà, continua ad esistere ed è possibile effettuare un recupero dati software o hardware. Infatti, quando decidiamo di eliminare un documento, di qualsiasi tipo, quest’ultimo non viene fisicamente eliminato dalla memoria, ma semplicemente la sua presenza viene cancellata dall’indice del filesystem, che, come per l’indice di un libro, indica al computer (o smartphone) la “pagina” in cui quel file può essere trovato.
Così facendo, tale documento continua ad esistere sul supporto di memoria fino a quando non viene definitivamente riscritto, operazione che può richiedere anche anni, a seconda di una serie di fattori tecnici: dimensione della memoria, utilizzo della stessa, quantità di file memorizzati, etc…
Come funziona una memoria
La scrittura di dati su un hard disk (ma in realtà in quasi tutti i supporti il funzionamento è simile) avviene per via magnetica, grazie all’utilizzo di una testina che è in grado di “incidere” (non fisicamente, sia chiaro) su un disco le informazioni dell’utente. Al fine di poter memorizzare i dati più velocemente, il computer suddivide il disco in spicchi che prendono il nome di “settori”.
Quando un file viene scritto per la prima volta, la CPU verifica all’interno dell’indice di cui abbiamo parlato, il famoso filesystem, uno spicchio vuoto e lì sposta la testina per la successiva attività di scrittura.
Da qui si inizia a capire perché, anche cancellando un file, questo continua ad esistere, essendo in realtà cancellata semplicemente la sua posizione dall’indice, ma non il settore in cui si trova.
Dopo quanto tempo è possibile recuperare un file
Stabilire con certezza quanto tempo è necessario affinchè un file venga definitivamente eliminato, o per sapere entro quanto tempo è possibile recuperare file cancellati, è praticamente impossibile. Come accennato in apertura, infatti, le variabili che entrano in gioco sono molteplici e dipendono essenzialmente dalla dimensione del disco e dall’utilizzo che ne viene fatto. In alcuni casi, anche solo dopo poche ore dalla cancellazione del dato, il suo recupero può risultare impossibile o difficoltoso. Certo è che, con l’aumentare delle dimensioni delle memorie, oggigiorno possiamo affermare che un file può essere recuperato senza problemi anche a distanza di settimane, se non di anni. Nell’ultimo periodo, ad esempio, Western Digital ha immesso sul mercato un disco da 40TB grazie alla tecnologia HAMR.
Come funziona un recupero dati
Abbiamo parlato poche righe sopra della suddivisione in settori di un disco rigido e del relativo filesystem che indica la posizione di un file all’interno del disco. In parole più semplici, il filesystem è l’indice di un libro che indica al computer in quale “pagina” (settore, nel nostro caso) deve andare a leggere il file chiesto dall’utente.
Abbiamo anche già detto che, nel momento in cui cancelliamo un file, in realtà, non stiamo eliminando fisicamente il documento, ma stiamo solamente eliminando dal nostro indice la posizione di quel file, così che, quando il computer andrà a verificare il filesystem, troverà uno spazio che può essere utilizzato.
Ecco quindi che, un macchinario o software per recupero dati, per trovare tutti i file cancellati, non fa altro che ignorare il filesystem, leggendo manualmente ogni singolo settore della memoria e ricostruendo un nuovo indice, non facendo fede a quello che già esiste.
Si tratta ovviamente di un’operazione lunga, in quanto tutto il disco rigido dovrà essere letto dall’inizio alla fine, ma ciò permetterà di trovare tutti i file cancellati o nascosti volontariamente (come nella tecnica della Steganografia, in cui è possibile nascondere un file all’interno di un’immagine, rendendone difficile la decriptazione).
Quanto può costare un recupero dati
Anche in questo caso, una risposta generica è molto difficile: un semplice recupero dati, per esempio da un iPhone che non è più in grado di accendersi, può costare qualche centinaio di Euro. Diverso è il caso in cui vi sia da recuperare i dati da un disco rigido o NAS di dimensioni cospicue: in questo caso non è difficile arrivare a spendere anche migliaia di Euro.
La cifra tende a salire nel caso in cui sia necessaria una riparazione del supporto di memoria prima del recupero dati: molte volte, infatti, i dati da recuperare non sono cancellati, ma semplicemente il supporto in cui sono contenuti è danneggiato. In tal caso, prima di procedere con l’operazione di estrazione, è necessario sostituire dei componenti fisici o agire a livello software sul firmware che comanda il supporto di memoria.
Altro caso ancora, e questo è sempre più frequente, riguarda i recupero dati a seguito di attacco ransomware: in questo caso, è prima di tutto necessario capire se vi è la possibilità di decifrare i file mediante delle chiavi pubbliche rilasciate o grazie un attacco di forza bruta, il quale può richiedere anche mesi di lavoro.
