Recuperar por metadatos, mientras el registro sobreviva

En NTFS cada archivo tiene un registro en la MFT con su nombre, la carpeta que lo contiene (el «padre»), el tamaño, las fechas y dónde están sus datos. Al borrar, el registro se marca como no en uso pero conserva casi todo eso; si sus datos eran pocos clústeres, siguen apuntados. Mientras no se reutilice el registro ni se sobrescriban los clústeres, el archivo vuelve con nombre, ruta y fechas.

Dos cosas lo rompen: que otro archivo nuevo reciba ese número de registro, y que sus clústeres se reasignen. La primera pierde los metadatos; la segunda, el contenido.

La MFT no guarda la ruta completa: guarda, en cada registro, el número de su carpeta padre. Para reconstruirla se sube de registro en registro hasta la raíz. El registro 5 es la raíz del volumen.

Abre los registros y sube desde el archivo de tarifas borrado hasta que encuentres la carpeta que lo contenía.

Cada registro de la MFT lleva un número de secuencia que sube cada vez que se reutiliza. El diario de cambios apunta cada evento con «registro/secuencia». Si el diario habla del registro 1190 con secuencia 7 y la MFT hoy tiene el 1190 con secuencia 8, el registro cambió de dueño: el nombre, el tamaño y la ubicación que hay hoy son de otro archivo, no del que se borró.

Esa discordancia se detecta cruzando las dos tablas. No se «arregla»: se documenta, y ese archivo se intenta por otras vías.

Las fechas que guarda el registro del archivo son de creación y de modificación, no de borrado. La hora a la que alguien borró algo, si consta, está en el diario de cambios. Ni uno ni otro dice quién lo hizo: eso se cruza con sesiones y registros de eventos.

No tomes la fecha de modificación del archivo como si fuera la del borrado: pueden diferir por días.