NTFS (New Technology File System) es el sistema de archivos predeterminado en todas las versiones modernas de Windows. Cuando se corrompe, el sistema operativo puede mostrar mensajes como "el disco no está formateado, ¿desea formatearlo ahora?" o errores relacionados con la $MFT (Master File Table) dañada. Ante estos mensajes, la reacción más peligrosa es pulsar "Sí" y formatear: en la mayoría de los casos los datos siguen en el disco y pueden recuperarse si se actúa correctamente.
Lo más importante
- NO formatees el disco cuando Windows diga "el disco necesita formatearse". Los datos siguen ahí y el formateo los pone en riesgo.
- La $MFT (Master File Table) es el corazón de NTFS. Si está dañada, Windows no puede leer el disco, pero los datos de los archivos suelen estar intactos en los platos.
- CHKDSK puede reparar NTFS corrupto en casos lógicos leves, pero puede hacer más daño en casos físicos o cuando la $MFT está muy afectada.
- La corrupción lógica (software, virus, apagón) suele tener alta tasa de recuperación. La corrupción física (sectores defectuosos) puede requerir laboratorio.
- Siempre clona el disco antes de intentar repararlo. Trabaja sobre la imagen, nunca sobre el original.
¿Qué es NTFS y cómo funciona?
NTFS fue introducido con Windows NT en 1993 y desde entonces es el sistema de archivos estándar en Windows XP, Vista, 7, 8, 10 y 11. A diferencia de su predecesor FAT32, NTFS ofrece soporte para archivos mayores de 4 GB, permisos de seguridad granulares, compresión y cifrado nativo, y un sistema de journaling que protege la integridad del sistema de archivos ante fallos de alimentación.
Estructura interna de NTFS
Entender la estructura de NTFS es clave para comprender qué ocurre cuando se corrompe y qué herramientas pueden repararlo:
- $MFT (Master File Table): El componente más crítico de NTFS. Es una base de datos que contiene una entrada por cada archivo y directorio del volumen. Cada entrada guarda metadatos (nombre, fechas, permisos, atributos) y punteros a los bloques de datos del archivo. Si la $MFT se corrompe, Windows no puede localizar ningún archivo aunque los datos físicos sigan en el disco.
- $MFTMirr: Copia de seguridad de las primeras entradas de la $MFT, almacenada en el centro del volumen. Permite reparaciones básicas cuando la $MFT principal está dañada.
- $LogFile: El journal de transacciones de NTFS. Registra los cambios pendientes para poder deshacer operaciones incompletas tras un apagón imprevisto.
- $Bitmap: Mapa de clústeres que indica cuáles están en uso y cuáles están libres.
- $Boot: Sector de arranque del volumen, contiene el código de bootstrap y parámetros del sistema de archivos (BPB).
- Clústeres de datos: Las unidades básicas de almacenamiento. Por defecto, un clúster en NTFS tiene entre 4 KB y 64 KB según el tamaño del volumen.
Causas comunes de corrupción en NTFS
La corrupción de NTFS puede tener origen lógico (software) o físico (hardware). Identificar la causa es esencial para elegir la estrategia de recuperación correcta.
Causas de origen lógico
- Extracción incorrecta: Desconectar un disco externo sin usar "Expulsar hardware de forma segura" puede interrumpir una escritura a mitad, corrompiendo la $MFT o el $LogFile.
- Apagón repentino o corte de luz: Si el sistema se apaga mientras se está escribiendo en el disco, el journal puede quedar en un estado inconsistente. En la mayoría de los casos NTFS se auto-repara al reiniciar, pero no siempre.
- Virus y malware: Algunos ransomware cifran o dañan los primeros sectores del volumen (donde reside el $Boot y el inicio de la $MFT). Otros malware borran entradas de la $MFT para ocultar archivos o causar daño.
- Error de software: Bugs en controladores de disco, actualizaciones de Windows fallidas o programas que acceden directamente a bajo nivel pueden corromper estructuras NTFS.
Causas de origen físico
- Sectores defectuosos (bad sectors): Los sectores físicamente dañados en los platos magnéticos del disco no pueden leerse. Si los sectores afectados contienen partes de la $MFT, el resultado es la corrupción del sistema de archivos.
- Fallo inminente del disco: Un disco con degradación de superficie (platos rayados, cabezales desgastados) genera sectores defectuosos progresivamente. La corrupción de NTFS en este contexto es frecuentemente una señal de advertencia de fallo total inminente.
- Daño por sobretensión: Un pico de tensión eléctrica puede dañar la PCB (placa electrónica) del disco o corromper su firmware, causando que el disco no sea reconocido correctamente o que los datos aparezcan como inaccesibles.
Signos de corrupción NTFS
Estos son los síntomas más habituales que indican que un volumen NTFS está corrupto:
- Windows muestra "El disco de la unidad X: no está formateado. ¿Desea formatearlo ahora?"
- El Explorador de archivos muestra el disco pero no permite acceder a él (error "Ubicación no disponible").
- El sistema de archivos aparece como RAW en el Administrador de discos en lugar de NTFS.
- Errores de pantalla azul (BSOD) con códigos como
NTFS_FILE_SYSTEMoFILE_SYSTEM_PROCESS_EXCEPTION. - Windows ejecuta automáticamente CHKDSK al arrancar el sistema.
- Archivos o carpetas que aparecen con nombres extraños, tamaños de 0 bytes o que no se pueden abrir.
- El disco aparece con su capacidad total en el Administrador de discos pero como "sin formato".
Disco en RAW: no formatees
Cuando el Administrador de discos de Windows muestra un volumen como RAW en lugar de NTFS, significa que Windows no puede leer el sistema de archivos. Esto ocurre cuando la $MFT está dañada o los primeros sectores del volumen están corrompidos. Los datos siguen ahí. Formatear convertiría el RAW en NTFS limpio, sobreescribiendo las estructuras existentes y dificultando enormemente la recuperación.
Herramientas de recuperación: comparativa
Existe un amplio espectro de herramientas para tratar la corrupción NTFS, desde utilidades gratuitas incluidas en Windows hasta equipamiento de laboratorio profesional. La elección correcta depende del tipo y gravedad de la corrupción.
| Herramienta | Tipo | Caso de uso | Coste | Riesgo |
|---|---|---|---|---|
| CHKDSK | Reparación FS | Corrupción lógica leve: $LogFile inconsistente, errores de bitmap | Gratuito (Windows) | Medio — puede empeorar fallos físicos |
| TestDisk | Recuperación de particiones | Partición NTFS borrada, $Boot dañado, tabla de particiones corrupta | Gratuito | Bajo si se usa sobre imagen |
| Recuva | Recuperación de archivos | Archivos borrados en NTFS accesible; análisis profundo en volúmenes RAW | Gratuito (versión básica) | Bajo (solo lectura) |
| R-Studio / GetDataBack | Recuperación profesional | $MFT muy dañada, volumen RAW, múltiples particiones afectadas | 80€–200€ | Bajo (solo lectura) |
| PC-3000 UDMA | Laboratorio profesional | Fallos físicos, firmware dañado, sectores defectuosos masivos, NTFS + fallo físico | Solo laboratorio | Mínimo (equip. especializado) |
CHKDSK: cuándo usarlo y cuándo NO
CHKDSK (Check Disk) es la herramienta de Windows para verificar y reparar sistemas de archivos NTFS. Está incluida en todas las versiones de Windows y puede ejecutarse desde el Símbolo del sistema o desde las propiedades de la unidad.
Cuándo CHKDSK puede ayudar
- El disco es reconocido por Windows y accesible, pero con errores de acceso a algunos archivos.
- Windows informa de errores en el sistema de archivos al arrancar y ejecuta CHKDSK automáticamente.
- El $LogFile quedó en estado inconsistente tras un apagón: CHKDSK puede reproducir o revertir las transacciones pendientes.
- Hay entradas huérfanas en la $MFT o inconsistencias en el $Bitmap.
REM Verificar la unidad E: y reparar errores encontrados chkdsk E: /f REM También reparar sectores defectuosos (solo en discos sanos) chkdsk E: /f /r REM Modo solo lectura (sin reparar) — para diagnóstico chkdsk E:
Cuándo NO usar CHKDSK
- El disco hace ruidos anómalos (clics, arañazos, zumbidos): es un disco con fallo físico. CHKDSK intentará leer y escribir en todos los sectores, lo que puede causar más daño mecánico.
- El volumen aparece como RAW y sospechas de $MFT muy dañada: CHKDSK puede marcar como libres los clústeres de datos que aún contienen información valiosa.
- El disco tiene muchos sectores defectuosos (SMART muestra "Reallocated Sector Count" elevado): CHKDSK con /r puede pasar horas intentando leer sectores defectuosos y empeorar el estado del disco.
- Antes de hacer una copia/imagen del disco: primero clona, luego repara. Nunca al revés.
Advertencia crítica
Ejecutar chkdsk /f /r sobre un disco con fallo físico incipiente es uno de los errores más comunes y más dañinos que cometen los usuarios. El disco puede morir durante el proceso, dejando los datos irrecuperables incluso en laboratorio. Si el disco hace ruido, o si SMART muestra valores de salud críticos, no uses CHKDSK. Clona primero con ddrescue o solicita ayuda profesional.
TestDisk y Recuva para NTFS
TestDisk: cuando el $Boot o la tabla de particiones está dañada
TestDisk es especialmente útil cuando el problema es que la partición NTFS no es visible (tabla de particiones corrupta) o cuando el sector de arranque de la partición ($Boot) está dañado. Su función principal es analizar el disco buscando firmas de sistemas de archivos para reconstruir la estructura de particiones.
Para usar TestDisk en Windows de forma segura:
- Descarga TestDisk desde cgsecurity.org (es gratuito y de código abierto).
- Ejecútalo sobre el disco afectado (sin escribir en él aún).
- Selecciona el disco, elige Intel/PC para MBR o EFI GPT según corresponda.
- Elige Analyse > Quick Search para buscar particiones perdidas.
- Si encuentra la partición NTFS con los datos, selecciona Write para restaurar la entrada en la tabla de particiones.
- Si solo el $Boot está dañado pero la partición es visible: usa la opción Advanced > Boot para reparar el sector de arranque NTFS.
Recuva: recuperación de archivos en NTFS
Recuva (de Piriform, los creadores de CCleaner) es la mejor herramienta gratuita para recuperar archivos borrados de un volumen NTFS accesible. También tiene un modo de "análisis profundo" que funciona sobre volúmenes RAW haciendo carving de archivos por su firma.
Limitaciones de Recuva: funciona bien para archivos borrados recientemente en un disco sano. Para $MFT muy dañada o volúmenes RAW con muchos datos, herramientas comerciales como R-Studio o GetDataBack tienen tasas de recuperación significativamente superiores.
Cuándo llamar a un profesional
Hay casos en los que intentar la recuperación por cuenta propia puede empeorar la situación. Consulta a un laboratorio especializado si:
- El disco emite ruidos mecánicos (clics, arañazos).
- El disco no es detectado en la BIOS/UEFI.
- SMART muestra valores críticos: Reallocated Sectors Count, Current Pending Sector o Uncorrectable Sector Count mayores de cero.
- La corrupción NTFS es consecuencia de un golpe o caída del disco.
- El disco fue afectado por agua, fuego o sobretensión eléctrica.
- Herramientas de software como TestDisk o Recuva no encuentran datos reconocibles.
- Los datos son críticos y no puedes permitirte perderlos.
En RecuperaTusDatos.es realizamos el diagnóstico de forma gratuita y sin compromiso. Solo facturamos si recuperamos los datos.
Preguntas frecuentes
Sí, en determinados casos CHKDSK puede empeorar la situación. Cuando el disco tiene fallo físico (sectores defectuosos, cabezales dañados), CHKDSK intenta leer y escribir en todos los sectores para verificar y reparar el sistema de archivos. Este proceso somete al disco a un estrés mecánico importante que puede acelerar su deterioro físico. Además, CHKDSK puede marcar como "libres" clústeres que aún contienen datos de archivos que considera huérfanos, dificultando su recuperación posterior. Antes de ejecutar CHKDSK sobre un disco con síntomas físicos, crea siempre una imagen completa con ddrescue y trabaja sobre la imagen.
Un disco RAW significa que Windows no puede identificar el sistema de archivos, pero los datos siguen en el disco. Lo primero y más importante: no lo formatees. Los pasos recomendados son: (1) Abre el Administrador de discos para confirmar que el espacio aparece como RAW. (2) Intenta reparar el sector de arranque NTFS con TestDisk (opción Advanced > Boot). (3) Si TestDisk no lo resuelve, usa una herramienta de recuperación de archivos en modo "análisis profundo" como R-Studio o Recuva para extraer los archivos directamente del volumen RAW sin necesidad de repararlo. (4) Si el disco hace ruidos o tiene síntomas físicos, consulta a un laboratorio antes de intentar nada más.
Sí, NTFS es considerablemente más robusto que FAT32. La diferencia principal es el journaling: NTFS usa un $LogFile para registrar las transacciones pendientes, lo que permite al sistema deshacer o rehacer operaciones incompletas tras un apagón inesperado. FAT32 no tiene journaling, por lo que cualquier interrupción durante una escritura puede dejar la tabla de asignación de archivos (FAT) en un estado inconsistente. Además, NTFS tiene copias de seguridad de las estructuras críticas ($MFTMirr) y la capacidad de reasignar automáticamente clústeres defectuosos. FAT32 es más vulnerable a la corrupción y más difícil de recuperar cuando esta ocurre.
Depende del grado de daño. NTFS incluye una copia de seguridad de las primeras 4 entradas de la $MFT llamada $MFTMirr, almacenada en el centro geométrico del volumen. CHKDSK y TestDisk pueden usar esta copia para reconstruir parcialmente la $MFT cuando el daño es limitado. Si la $MFT está muy dañada (corrupción extensa o sectores defectuosos en su área), las herramientas profesionales como R-Studio o PC-3000 pueden reconstruirla analizando el disco sector a sector, buscando firmas de entradas MFT válidas dispersas por el disco. En los peores casos —$MFT completamente sobreescrita— el carving de archivos por firma es el último recurso, recuperando el contenido de los archivos sin sus metadatos.
La corrupción lógica ocurre cuando las estructuras del sistema de archivos (MFT, $Boot, $LogFile, $Bitmap) contienen datos incorrectos o inconsistentes, pero el hardware del disco funciona correctamente. Sus causas habituales son apagones inesperados, extracción sin expulsar, virus o bugs de software. Se trata con herramientas de software y generalmente tiene alta tasa de éxito. La corrupción física tiene origen en el hardware: sectores del disco que no pueden leerse porque los platos están rayados, los cabezales desgastados o la superficie magnética degradada. En este caso, el software no puede leer los sectores dañados independientemente del sistema de archivos. Si los sectores con la $MFT están físicamente dañados, se necesita intervención en laboratorio para intentar leerlos con equipamiento especializado (PC-3000, HDDSuperClone).
WhatsApp