Diagnosi
Capire che cosa fa una formattazione
La parola formattazione comprende operazioni diverse. Una formattazione rapida può limitarsi soprattutto a reinizializzare le strutture del file system. Una formattazione completa, una reinstallazione o l'inizializzazione del supporto possono scrivere molti più dati. Le conseguenze non sono quindi identiche.
Dopo una formattazione rapida, alcuni contenuti possono essere ancora presenti nelle aree dati, ma percorsi, nomi, cartelle e indici possono essere perduti o incoerenti. Il recupero deve allora ricostruire ciò che è possibile a partire dalle tracce rimaste.
Dopo una formattazione seguita dal riutilizzo, le possibilità diminuiscono. Ogni nuovo file, installazione, copia o aggiornamento può sostituire le aree in cui si trovavano i dati precedenti. Conta più il volume delle scritture eseguite che il tempo trascorso.
La priorità è dunque semplice: smettere di usare il supporto. Hard disk, SSD, chiavette USB o schede di memoria formattati devono essere messi da parte prima di qualsiasi tentativo.
Bisogna inoltre annotare con precisione ciò che è accaduto. Formattazione rapida, installazione del sistema, inizializzazione in un box, formattazione richiesta da una fotocamera o errore su una partizione hanno conseguenze differenti. La cronologia orienta la diagnosi.
Diagnosi
Distinguere cancellazione, formattazione e sovrascrittura
Cancellazione, formattazione e sovrascrittura non producono gli stessi effetti. La cancellazione può lasciare i dati finché lo spazio non viene riutilizzato. La formattazione modifica le strutture del volume. La sovrascrittura sostituisce direttamente i dati precedenti con nuovi contenuti.
Questa distinzione è essenziale. Un file cancellato può essere recuperabile, mentre un file sostituito da un altro in genere non lo è più nella versione precedente. Il nome di una cartella può scomparire anche se parte del contenuto grezzo è ancora presente.
Anche il tipo di supporto influenza il risultato. Su un SSD, TRIM e la gestione interna della memoria flash possono rendere rapidamente indisponibili alcuni dati. Su un hard disk, le vecchie aree possono rimanere presenti più a lungo, ma vengono comunque sostituite dalle scritture.
L'articolo sulla diagnosi dei danni descrive la logica di analisi. Dopo una formattazione bisogna stabilire che cosa sia stato reinizializzato, scritto o realmente sostituito.
Non è garantito che i nomi dei file rimangano disponibili. Dopo la formattazione, alcuni contenuti possono essere ritrovati senza l'albero originale. Può essere sufficiente per fotografie, ma non per un progetto complesso, un database o una casella di posta, in cui la struttura è importante quanto il contenuto.
Diagnosi
Evitare le azioni successive alla formattazione
Dopo una formattazione accidentale non bisogna reinstallare il sistema, ricreare cartelle, copiare file, avviare una riparazione o provare più programmi sul supporto sorgente. Queste azioni scrivono sul volume o lo sollecitano.
Non bisogna nemmeno riformattare in un formato diverso per "correggere" il problema. Passare da exFAT a NTFS, inizializzare un disco o ricreare una partizione può sostituire strutture ancora utili. Un errore di formattazione non si risolve con una seconda formattazione.
Se il supporto è esterno, va scollegato correttamente e conservato. Se la formattazione riguarda un disco di sistema, bisogna spegnere la macchina ed evitare di avviarla da quell'unità. L'avvio può scrivere log, cache e file temporanei.
L'articolo sull'hard disk danneggiato: recuperare o sostituire ricorda questa separazione: rimettere in funzione una macchina e preservare i dati sono due obiettivi differenti.
Anche gli strumenti automatici installati dopo l'incidente creano problemi se vengono salvati sul supporto formattato. Prima ancora dell'analisi, l'installazione può sostituire aree utili. Ogni prova deve essere eseguita da un altro supporto e senza scrivere sulla sorgente.
Diagnosi
Valutare ciò che può essere ricostruito
Il recupero dopo formattazione può puntare a livelli differenti: albero delle cartelle, nomi dei file, contenuti grezzi, fotografie, video, documenti o database. A seconda dello stato del file system, non tutti questi livelli sono sempre disponibili.
Una ricostruzione basata sulle firme può trovare file senza i nomi originali. Può essere utile per fotografie o documenti, ma meno per database, progetti o strutture complesse. Il valore del risultato dipende dall'uso previsto.
I file frammentati sono più difficili. Un video lungo, un database o un file voluminoso possono essere distribuiti su più aree. Se i metadati sono scomparsi e sono avvenute nuove scritture, la ricostruzione può essere parziale.
Quando possibile, Datastrophe lavora su una copia. Il supporto formattato viene preservato, poi l'analisi distingue dati completi, frammenti utilizzabili e aree sostituite. Questa distinzione evita promesse irrealistiche.
La verifica deve adattarsi al tipo di file. Una foto deve aprirsi interamente, un video essere riprodotto fino alla fine, un archivio decomprimersi e un database essere provato nella propria applicazione. Vedere un file in un elenco non basta.
Diagnosi
Prevenire le perdite legate alla formattazione
La prevenzione si basa su gesti semplici: controllare il disco corretto prima di formattare, nominare chiaramente i volumi, scollegare i supporti non interessati, leggere i messaggi del sistema e mantenere un backup testato. Molti incidenti derivano dalla confusione tra supporti.
Negli ambienti professionali occorre limitare i diritti di inizializzazione e documentare i volumi critici. Durante la manutenzione si può formattare l'unità sbagliata se etichette, dimensioni o percorsi sono simili.
Schede di memoria, chiavette USB e dischi esterni devono essere copiati prima del riutilizzo. Una fotocamera, un drone o un box possono proporre la formattazione di un supporto che contiene ancora dati utili. Prima di accettare bisogna verificare il backup.
Dopo una formattazione, la scelta migliore raramente è provare a caso. Interrompere le scritture, identificare il supporto, precisare i file prioritari e richiedere una diagnosi offre le migliori possibilità di ottenere qualcosa di utilizzabile.
La prevenzione comprende anche le abitudini nell'interfaccia. Prima di formattare bisogna leggere nome del volume, capacità, percorso e supporto selezionato. Scollegare i dischi non coinvolti durante la manutenzione evita molti errori umani.
In un team, supporti di test e di produzione devono restare separati. Un disco temporaneo con un nome poco chiaro può essere scambiato per un archivio. Etichette esplicite e una procedura di convalida riducono il rischio.
La verifica richiede poco tempo e previene perdite difficili da spiegare in seguito.
Diagnosi
Fonti tecniche primarie e limiti
Perimetro documentale — recupero dati limiti: Per formattazione recupero dati limiti, le fonti primarie utilizzate sono NIST SP 800-86. Evidenza fisica — recupero dati limiti: Definiscono i concetti pertinenti di conservazione, struttura di archiviazione e convalida, ma non dimostrano lo stato fisico effettivo, il comportamento del controller, la disponibilità delle chiavi o la coerenza applicativa del dispositivo ricevuto. Evidenza del controller — recupero dati limiti: Questi aspetti richiedono misure sul gruppo originale e verifiche su copie.
Diagnosi
Richiedere una diagnosi controllata
Gruppo completo — recupero dati limiti: Per diagnosticare formattazione recupero dati limiti, fornire il dispositivo o il gruppo completo, alimentatori e interfacce associati, ordine ed etichette dei membri, cronologia dei sintomi ed elenco preciso dei dati prioritari. Cronologia dell’incidente — recupero dati limiti: Le credenziali autorizzate vanno trasmesse tramite un canale protetto separato; non riavviare la sorgente solo per ottenere una nuova schermata.
Responsabilità del laboratorio — recupero dati limiti: Datastrophe esegue direttamente diagnosi, controlli di integrità e recupero nel proprio laboratorio con il proprio personale. Diagnosi gratuita — recupero dati limiti: Diagnosi e preventivo sono gratuiti. Limite del trasporto — recupero dati limiti: Il trasporto privato di andata e ritorno è incluso; il corriere sposta esclusivamente il pacco sigillato e non accede né tratta i dati.
Elenco controllato — recupero dati limiti: Prima di qualsiasi pagamento, il cliente riceve il prezzo proposto e un elenco verificato. Classi di verifica — recupero dati limiti: Ogni elemento è classificato, nell’ordine, come recoverable_verified, partial, detected_unverified o unrecoverable. Momento del pagamento — recupero dati limiti: Solo gli elementi recoverable_verified, aperti e giudicati utilizzabili, vengono presentati come recuperabili. Esito non verificato — recupero dati limiti: Il pagamento avviene dopo l’accettazione dell’elenco e del prezzo.
Esito non verificato — recupero dati limiti: Se non viene verificato alcun dato utilizzabile, il recupero non riesce oppure il cliente rifiuta elenco o prezzo, non è dovuto alcun costo standard. Ricambio eccezionale — recupero dati limiti: L’unica eccezione riguarda un ricambio raro, costoso e non rimborsabile, ordinabile soltanto dopo l’accettazione di una proposta separata, esplicita e quantificata.