Questa guida descrive la procedura dettagliata per recuperare documenti nei formati DOC, DOCX, XLS, XLSX e PDF utilizzando Recuva.
Prima di iniziare, è necessario capire come Recuva individua i file persi. L'eliminazione di un file in Windows non comporta la distruzione fisica immediata dei dati. Il sistema operativo si limita a contrassegnare l'area sul disco occupata da quel file come libera per la sovrascrittura, rimuovendo il riferimento ad essa dalla tabella master file (MFT) in NTFS o dalla tabella di allocazione file in FAT32.
Recuva utilizza due modalità di scansione principali: Veloce e Profonda. La scansione veloce analizza la MFT e trova le registrazioni dei file eliminati di recente. La scansione profonda (Deep Scan) utilizza l'analisi delle firme, esaminando il contenuto dell'unità settore per settore alla ricerca di sequenze di byte caratteristiche che corrispondono all'inizio (intestazione) e alla fine di un file. Per i documenti Word, la firma è una specifica sequenza di byte che descrive un contenitore OLE (per i formati più vecchi) o un archivio ZIP con struttura XML (per DOCX/XLSX). I file PDF sono identificati dalla sequenza di byte %PDF all'inizio del file.
Un fattore chiave per il successo è cessare immediatamente qualsiasi attività sulla partizione logica in cui si trovavano i dati persi. Ogni operazione di scrittura, incluso l'avvio del sistema, l'aggiornamento della cache del browser o l'installazione di Recuva stessa su quella stessa unità, può sovrascrivere irrevocabilmente i settori che il programma tenterà di recuperare.
Impostazione dei parametri di scansione per documenti d'ufficio
Recuva offre un'interfaccia guidata e una modalità avanzata. Per ricerche mirate di documenti Word, Excel o PDF, la procedura guidata è il metodo di filtraggio più rapido.
Quando si avvia la procedura guidata, al passaggio di selezione del tipo di file ("File Type"), è necessario scegliere la categoria "Documents". Questo filtro è configurato dallo sviluppatore per visualizzare solo i file con le seguenti estensioni: DOC, DOCX, XLS, XLSX, PPT, PPTX, ODT, ODS, PDF, ODC. Selezionare questa categoria esclude i file multimediali e i rifiuti di sistema dai risultati della scansione, concentrando le risorse computazionali sui formati target.
Al passaggio "File Location", è necessario specificare l'unità o la cartella specifica in cui si trovava il file prima della perdita. Scegliere l'opzione "In a specific location" e specificare manualmente il percorso esatto della directory, ad esempio D:\Projects\Reports, restringe notevolmente l'area di analisi. Ciò non annulla una scansione completa del disco, ma filtra i risultati dell'output, facilitando l'identificazione del file desiderato.
Attivazione e applicazione della funzione di scansione profonda
Se la scansione veloce non trova il file, è necessario attivare il meccanismo di scansione profonda (Deep Scan). Ciò è particolarmente rilevante per i file PDF e i documenti eliminati dopo la formattazione dell'unità. La scansione profonda ignora il file system e accede direttamente ai settori dell'unità.
È necessario selezionare la casella di controllo "Enable Deep Scan". In modalità avanzata, questa opzione viene attivata tramite il menu delle impostazioni: scheda "Actions", dove è necessario selezionare "Scan for non-deleted files" e "Enable Deep Scan". È anche possibile forzare la modalità di scansione utilizzando il pulsante "Scan Mode" sul pannello dell'interfaccia.
Questo processo può richiedere da alcune decine di minuti a diverse ore, a seconda della capacità e della velocità dell'unità. Recuva scansionerà settore per settore, cercando le firme PDF, DOC e XLS. I file trovati in questo modo spesso perdono i nomi originali e appaiono con nomi tecnici come [001].docx o file001.pdf, perché il record del nome nella MFT è andato perso.
Interpretazione dei risultati e criteri di valutazione dell'integrità
Al termine della scansione, Recuva visualizza un elenco di oggetti trovati. Ogni file è accompagnato da un indicatore di stato a colori:
Marcatore verde: Il file non è stato sovrascritto, i suoi cluster sono intatti e la probabilità di un recupero riuscito è vicina al 100%.
Marcatore giallo: Indica una sovrascrittura parziale o un danneggiamento di alcuni settori di dati. Il documento potrebbe essere recuperabile, ma il suo contenuto potrebbe contenere caratteri errati o non aprirsi nell'applicazione di destinazione.
Marcatore rosso: Tutti i cluster precedentemente occupati dal file sono stati sovrascritti da altri dati. Il recupero nella forma originale è impossibile.
Prestare attenzione alla colonna "Path" (Percorso) nei risultati della scansione. Per i file rilevati tramite analisi delle firme profonda, il percorso potrebbe essere elencato come "unknown" o indicato da un punto interrogativo. Per verificare tali file, utilizzare la funzione di anteprima integrata in modalità avanzata; tuttavia, potrebbe non sempre visualizzare correttamente elementi di formattazione complessi di file PDF o DOCX.
Procedura di recupero sicuro
La fase più critica per la sicurezza dei dati è la scelta della posizione in cui salvare i file recuperati. La regola d'oro: non salvare mai i file recuperati sulla stessa partizione logica da cui si sta effettuando il recupero.
Quando Recuva richiede un percorso per il salvataggio (finestra di dialogo "Browse For Folder"), è necessario specificare una cartella situata su un'unità fisicamente diversa. Ad esempio, se si recuperano dati dall'unità D:, salvarli su un'unità USB esterna, una chiavetta flash o l'unità E:. Violare questo principio potrebbe far sì che Recuva, durante il salvataggio, scriva dati proprio su quei settori liberi in cui risiedono ancora i resti dei file recuperabili, portando al loro danneggiamento irreversibile.
Dopo aver selezionato i file nell'elenco e aver fatto clic sul pulsante "Recover" (Recupera), il programma visualizzerà un report statistico con il numero di oggetti estratti con successo. Se un file Word o Excel è danneggiato, provare a utilizzare gli strumenti di riparazione integrati nelle suite per ufficio (la funzione "Apri e ripara" in Microsoft Word).
Azioni in caso di risultato negativo
Se Recuva non trova tracce di un documento PDF eliminato, il motivo potrebbe essere il seguente: l'unità è un'unità a stato solido (SSD) con il comando TRIM attivo, che azzera le celle di memoria dopo l'eliminazione di un file. La ricerca ha dimostrato che Recuva non è in grado di recuperare i dati eliminati da un SSD in cui è stato eseguito il comando TRIM, poiché le celle fisiche vengono azzerate a livello hardware. In questo scenario, il recupero tramite metodi software è impossibile.
Si consideri inoltre che il software antivirus, l'indicizzazione o la sincronizzazione sul cloud potrebbero aver sovrascritto i dati prima ancora di eseguire l'utilità. L'unica misura preventiva per il futuro è il backup regolare dei documenti di importanza critica e l'attivazione di Copia shadow del volume (Volume Shadow Copy) nelle impostazioni di Windows.