Recuperación de Datos por Corrupción del Sistema de Archivos NTFS
La corrupción del sistema de archivos NTFS es una de las causas más frecuentes de pérdida de acceso a datos en Windows. Desde una simple entrada de la MFT dañada hasta la destrucción completa del $Bitmap, cada tipo de corrupción tiene consecuencias distintas y requiere técnicas de recuperación específicas. Entender cómo funciona NTFS internamente es clave para no tomar decisiones que destruyan definitivamente la información.
La arquitectura interna de NTFS: qué puede fallar y por qué
NTFS (New Technology File System) fue diseñado por Microsoft en los años 90 como respuesta a las limitaciones de FAT32 y ha evolucionado desde entonces, pero su arquitectura fundamental permanece estable. NTFS es un sistema de archivos orientado a transacciones con journaling, lo que significa que registra las operaciones pendientes antes de ejecutarlas para poder reanudarlas o revertirlas tras un reinicio inesperado.
Las estructuras críticas de NTFS que, cuando se dañan, producen pérdida de acceso a los datos son:
MFT — Master File Table
La MFT es el corazón de NTFS. Es una base de datos que contiene un registro de 1024 bytes (o múltiplos) por cada archivo y directorio del volumen. Cada entrada MFT almacena los atributos del archivo: nombre, fechas, permisos, y — en el caso de archivos pequeños — incluso el contenido del propio archivo (atributo $DATA residente). Para archivos más grandes, la entrada MFT contiene las run lists o data runs: una lista de rangos de clusters LBA que componen el contenido del archivo en el disco.
Si la entrada MFT de un archivo se corrompe, el sistema operativo no puede determinar dónde están sus datos ni qué tamaño tiene. El archivo desaparece de la vista del usuario aunque sus datos estén físicamente intactos en el disco.
MFT Mirror ($MFTMirr)
NTFS mantiene una copia parcial de la MFT en $MFTMirr, ubicada por defecto aproximadamente en el centro del volumen. Esta copia contiene las primeras cuatro entradas de la MFT (los metaarchivos del sistema), que son las más críticas para montar el volumen. Sin embargo, $MFTMirr no es una copia completa de la MFT — no puede usarse para restaurar todas las entradas de usuario si la MFT principal está completamente destruida.
$LogFile — El journal de transacciones
El $LogFile registra todas las operaciones de metadatos en curso. Cuando NTFS monta un volumen, primero verifica el $LogFile para determinar si hay transacciones incompletas que deben completarse o revertirse. Un $LogFile dañado puede impedir el montaje del volumen aunque la MFT esté perfectamente intacta.
$Bitmap
El $Bitmap es un mapa de bits que registra qué clusters del volumen están libres y cuáles están ocupados. Un $Bitmap dañado no causa pérdida inmediata de datos — los archivos siguen siendo accesibles — pero sí provoca que al escribir nuevos datos, el sistema operativo pueda sobrescribir clusters que ya contienen datos de otros archivos, causando corrupción gradual y silenciosa.
$Boot y $UpCase
$Boot contiene los parámetros del volumen (tamaño de cluster, LBA de inicio de la MFT, número de sectores) y el código de arranque. Si $Boot se daña, Windows no puede interpretar la geometría del volumen y lo muestra como "no formateado". $UpCase contiene la tabla de conversión de mayúsculas/minúsculas para nombres de archivo Unicode — su corrupción raramente causa problemas visibles pero puede afectar a búsquedas y comparaciones de nombres.
Modos de corrupción más frecuentes
Corrupción por apagado brusco o corte de alimentación
Si el sistema se apaga mientras NTFS está ejecutando una transacción de metadatos, el $LogFile queda con una transacción a medias. En la mayoría de los casos, NTFS puede completar o revertir la transacción al montar el volumen en el siguiente arranque. Sin embargo, si el apagado brusco ocurre durante la actualización simultánea de múltiples estructuras de metadatos — lo que sucede durante operaciones intensas como actualizaciones de Windows, desfragmentación o copia masiva de archivos — el estado puede ser demasiado inconsistente para la recuperación automática.
Propagación de sectores defectuosos a zonas de metadatos
Los sectores defectuosos en un HDD comienzan típicamente en zonas de datos y progresan gradualmente hacia otras áreas. Si la MFT está ubicada en una región del disco que desarrolla sectores defectuosos, las entradas MFT correspondientes quedan inaccesibles. Dado que NTFS ubica la MFT al inicio del volumen, y los sectores defectuosos en HDDs con problemas de superficie tienden a concentrarse en zonas específicas, es relativamente frecuente que la MFT sea afectada.
Corrupción por fallo del driver o bug de software
Drivers defectuosos de controladora de disco, bugs en software de virtualización, o errores en herramientas de particionado pueden escribir datos incorrectos en estructuras de metadatos NTFS. Este tipo de corrupción puede ocurrir incluso con el disco perfectamente sano desde el punto de vista físico.
Corrupción por ransomware (Raw filesystem)
Algunos ransomware de última generación, en lugar de cifrar archivo por archivo, cifran directamente las estructuras de metadatos NTFS (especialmente la MFT) para maximizar el daño con el mínimo número de operaciones de escritura. El resultado es que el sistema operativo detecta el volumen como RAW — sin sistema de archivos reconocible — aunque todos los datos estén en los clusters de datos, simplemente cifrados.
Detección RAW: qué significa y qué no significa
Cuando Windows muestra un disco o partición como "RAW" en el Administrador de discos o pregunta si deseas "formatear el disco antes de usarlo", esto significa que Windows no puede identificar un sistema de archivos reconocible en esa partición. Las causas más frecuentes son:
- El sector de arranque de la partición (VBR — Volume Boot Record) está dañado o sobrescrito.
- El $Boot del volumen NTFS está dañado y los parámetros del sistema de archivos son incoherentes.
- La partición fue reformateada con un sistema de archivos diferente (exFAT, ext4) y la tabla de particiones aún apunta a ella como NTFS.
- La tabla de particiones (MBR o GPT) está dañada y las entradas de partición apuntan a sectores incorrectos.
La detección RAW no significa que los datos hayan desaparecido. En la gran mayoría de los casos de corrupción lógica, los clusters de datos están intactos — solo las estructuras de metadatos que permiten encontrarlos y leerlos están dañadas. Un laboratorio especializado puede reconstruir esas estructuras a partir de los datos residuales en el disco.
Chkdsk: cuándo ayuda y cuándo destruye datos
Chkdsk (Check Disk) es la herramienta integrada en Windows para verificar y reparar sistemas de archivos NTFS. Muchos usuarios ejecutan chkdsk como primer paso ante cualquier problema de disco, pero esto puede ser un error grave dependiendo de la situación:
Cuándo chkdsk puede ayudar
- Corrupción menor del $LogFile tras un apagado inesperado cuando el disco está físicamente sano.
- Inconsistencias menores en el $Bitmap que no afectan a archivos existentes.
- Entradas MFT con atributos inconsistentes pero datos recuperables.
Cuándo chkdsk hace más daño que bien
- Disco con sectores defectuosos: chkdsk intenta leer todos los sectores del disco. En un HDD con sectores defectuosos en progresión, este acceso masivo puede provocar que el disco complete su deterioro y deje de responder.
- MFT severamente dañada: chkdsk elimina las entradas MFT que considera irrecuperables y marca los clusters correspondientes como libres en el $Bitmap. Si posteriormente se escribe en esos clusters, los datos son irrecuperables.
- Volumen RAW: chkdsk no puede reparar un volumen RAW — simplemente informará de que no puede determinar el sistema de archivos y sugerirá reformatear, lo cual destruiría todos los datos.
- Antes de crear una imagen forense: cualquier reparación con chkdsk modifica el estado del disco, complicando o imposibilitando la recuperación posterior con herramientas especializadas.
La regla de oro es: nunca ejecutes chkdsk sobre un disco del que no tienes copia imagen. Una vez clonado el disco, puedes experimentar con chkdsk sobre la imagen sin riesgo para los datos originales.
Cómo los laboratorios reconstruyen metadatos NTFS manualmente
Cuando las estructuras de metadatos NTFS están tan dañadas que las herramientas automáticas no pueden reconstruirlas, los técnicos especializados emplean técnicas de análisis manual del disco a nivel de sectores:
Escaneo de firmas de entradas MFT
Cada entrada válida de la MFT comienza con la firma ASCII "FILE" (0x46 0x49 0x4C 0x45). Incluso si la MFT principal está parcialmente destruida, es posible escanear todo el espacio de datos del disco buscando esta firma para localizar entradas MFT dispersas. Herramientas como R-Studio o PhotoRec emplean variantes de esta técnica, aunque los técnicos pueden afinarla manualmente cuando las herramientas automáticas fallan.
Reconstrucción de run lists
Las run lists de los archivos grandes codifican la ubicación de los clusters de datos. Si la entrada MFT está parcialmente legible, los técnicos pueden interpretar manualmente la codificación de las run lists (formato de longitud variable LCN-VCN) para determinar qué clusters corresponden a cada archivo y extraer su contenido directamente, incluso sin reconstruir la estructura completa de la MFT.
Carving de archivos
Cuando ni la MFT ni las run lists son recuperables, se recurre al file carving: escanear el espacio de datos buscando firmas de tipos de archivo específicos (cabeceras JPEG, cabeceras ZIP, cabeceras PDF) para identificar y extraer archivos sin depender de los metadatos del sistema de archivos. Este método recupera el contenido de los archivos pero pierde los nombres originales y la estructura de directorios.
Análisis del $LogFile residual
Incluso un $LogFile parcialmente dañado puede contener registros de transacciones recientes que revelan qué archivos se estaban modificando en el momento de la corrupción y cuál era su estado previo. Analizar estas entradas puede permitir reconstruir archivos que estaban en proceso de escritura cuando ocurrió el fallo.
Sectores defectuosos y su propagación a zonas de metadatos
En un HDD con problemas de superficie magnética, los sectores defectuosos no aparecen de forma aleatoria — tienden a agruparse en zonas adyacentes a medida que el deterioro progresa. Cuando estos clusters defectuosos alcanzan las zonas donde NTFS almacena sus metadatos críticos, la situación escala de un simple error de lectura a una corrupción del sistema de archivos:
- La MFT, por defecto en el inicio del volumen NTFS, es especialmente vulnerable porque los discos con problemas de cabeza lectora suelen fallar primero en las pistas exteriores, que corresponden a los sectores de menor LBA — precisamente donde vive la MFT.
- Un sector defectuoso en una entrada MFT no impide acceder al resto de los archivos — solo hace inaccesible ese archivo específico. Pero si el sector defectuoso afecta a las primeras entradas de la MFT (los metaarchivos $MFT, $MFTMirr, $LogFile), puede impedir el montaje completo del volumen.
- La realimentación entre sectores defectuosos y accesos de reparación crea un ciclo destructivo: chkdsk accede repetidamente a sectores defectuosos intentando leer y reparar metadatos, cada acceso puede forzar al disco a reasignar más sectores y expandir la zona dañada.
Cuándo necesitas un laboratorio y cuándo puedes intentarlo tú mismo
| Síntoma | Acción recomendada |
|---|---|
| Disco reconocido, algunos archivos inaccesibles | Intentar con Recuva o TestDisk sobre imagen del disco |
| Volumen aparece como RAW, sin ruidos físicos | TestDisk para recuperar tabla de particiones; R-Studio para recuperación de archivos |
| Volumen RAW tras ransomware | Laboratorio especializado — las herramientas genéricas no descifran |
| Disco con clicks, raspados o no reconocido por BIOS | Laboratorio con sala blanca inmediatamente — no intentar nada con software |
| MFT completamente destruida, carving necesario | Laboratorio especializado — herramientas gratuitas generan resultados parciales |
| Datos críticos de empresa, base de datos dañada | Laboratorio especializado — el coste del error supera el coste del servicio |
En RecuperaTusDatos.es analizamos cada caso de corrupción NTFS con una imagen forense completa del disco antes de cualquier intervención. Esto nos permite intentar múltiples estrategias de recuperación sin comprometer el estado original del disco, y garantiza que si una técnica no funciona, podemos probar otra sobre la misma imagen original.
WhatsApp