Recupero dati cancellati

Quando bisogna estrarre dati da un dispositivo o da una memoria, è quasi sempre fondamentale il recupero dei dati, spesso volontariamente, cancellati.

È possibile recuperare non solo file cancellati, ma addirittura da dispositivi formattati o danneggiati. Ciò è possibile grazie al fatto che quando si cancella un file, questo NON viene fisicamente cancellato dalla memoria: l'unica cosa che viene cancellata è la sua voce nel file system, ovvero un insieme di informazioni che permettono di accedervi. Ma, come anticipato, il file rimane lì tale e quale, privo soltanto dei cosiddetti "metadati del file system". Sotto opportune condizioni, ovvero la non sovrascrittura totale o parziale, è dunque possibile recuperare con successo un file cancellato.

A tale scopo vengono utilizzati software professionali che permettono di fare il cosiddetto "carving". Questo consiste nella lettura bit a bit di tutta la superficie del disco alla ricerca delle "signature" dei file comuni, particolari sequenze che permettono di identificare l'inizio e la fine di un file sulla superficie di una memoria. Per i file JPEG, ad esempio, la signature prevede la sequenza "FF D8" come tag di apertura del file e "FF D9" come tag di chiusura: tutti i bit contenuti tra di essi rappresentano l'immagine. In alcuni casi si rende necessario effettuare il carving impostando manualmente le signature per i file poco comuni.

In casi meno comuni e sotto precise condizioni, è talvolta possibile recuperare dati cancellati dai database, ad esempio conversazioni delle app di messaggistica.

Anche in questo caso, come per l'acquisizione forense di dispositivi elettronici e memorie, è necessario distinguere tra i tipi di dispositivi dai quali effettuare il recupero dati.