Cancellazione accidentale di file, scheda SD formattata e recupero di foto¶

Rendersi conto di aver appena formattato la scheda SD della fotocamera sbagliata, di aver svuotato il Cestino o il Cestino su un'unità di lavoro esterna o di aver cancellato accidentalmente un'intera partizione di foto di famiglia insostituibili è una grave crisi tecnica. Quando un file viene cancellato o un supporto di memorizzazione viene formattato rapidamente, raramente il sistema operativo cancella subito i dati binari grezzi all'interno delle celle di memoria. Invece, rimuove il puntatore alla directory del file system e contrassegna gli indirizzi dei blocchi logici come "spazio libero" disponibile per essere sovrascritto. Il fatto che tu recuperi il 100% dei tuoi dati o li perda per sempre dipende interamente da ciò che accade durante i primi 60 secondi dopo la cancellazione. Ogni singolo secondo l'unità rimane montata in modalità lettura-scrittura, indicizzazione in background del sistema operativo, file di scambio, cache del browser e routine di raccolta dei rifiuti Solid State Drive (SSD) (TRIM / UNMAP) possono azzerare permanentemente i settori sottostanti.

Se la cancellazione o la formattazione accidentale riguarda la telemetria medica, prove legali in un crimine attivo o un guasto del sistema di sicurezza, chiama il numero di emergenza locale (911 negli Stati Uniti e in Canada, 112 in tutta l’Unione Europea, 999 nel Regno Unito) o consultare il nostro elenco di internazionali numeri di emergenza prima di toccare l'hardware. Per tutti gli incidenti di perdita di dati di tipo consumer, fotografico, accademico e aziendale, interrompere immediatamente tutte le attività del disco e seguire il flusso di lavoro di ripristino forense riportato di seguito.

Fallo adesso¶

1. Estrarre immediatamente la scheda SD rimovibile, la scheda CFexpress o l'unità USB: se hai appena formattato la scheda di memoria della fotocamera o eliminato file su un'unità USB esterna, spegni immediatamente l'interruttore di alimentazione della fotocamera o scollega il cavo USB esterno dal computer. Non scattare "una foto di prova" per vedere se la scheda funziona e non consentire a Windows (chkdsk) o macOS (fsck_apfs) per "scansionare e riparare" l'unità.
2. Se hai eliminato file dall'unità di sistema interna del computer (unità C: o macOS Macintosh HD), stacca l'alimentazione o forza uno spegnimento forzato: non chiudere le app normalmente, non scaricare software di recupero dati sul computer interessato e non fare clic su "Spegni" (che scrive gigabyte di file di ibernazione, hive di registro e registri di sessione sui blocchi eliminati). Tieni premuto il pulsante di accensione fisico per 5-10 secondi finché la macchina non si spegne completamente oppure scollega il cavo di alimentazione del desktop se si tratta di un sistema senza batteria.
3. Spostare l'interruttore fisico di protezione da scrittura sulle schede SDHC/SDXC di dimensioni standard in posizione BLOCCO: guardare il bordo sinistro di una scheda SD standard da 32 x 24 millimetri (1,26 x 0,94 pollici) e spingere la piccola linguetta di plastica verso il bordo inferiore (lontano dai pin di contatto dorati) in modo che nessun lettore possa scrivere accidentalmente .DS_Store, System Volume Informationo file indice Spotlight quando lo colleghi in un secondo momento.
4. Comprendere la trappola SSD TRIM prima di riaccendere un SSD interno: le moderne unità a stato solido NVMe e SATA vengono eseguite a livello hardware TRIM (ATA) o Deallocate (NVMe) entro pochi secondi o minuti dall'eliminazione o formattazione dei file. Una volta che il controller SSD esegue la garbage collection in background sulle pagine ritagliate, il software di intaglio grezzo leggerà solo zeri (0x00). Mantenere l'alimentazione spenta impedisce al microprocessore SSD interno di completare la raccolta dei dati inutili in background.
5. Preparare un computer secondario separato e pulito e un'unità di destinazione più grande: non installare mai strumenti di ripristino sull'unità che ha perso dati e non ripristinare mai i file recuperati sulla stessa unità di origine durante la scansione. Utilizzare un secondo computer (o avviare il PC interessato da un'unità flash USB esterna Ubuntu Linux Live) e collegare un disco rigido esterno vuoto con almeno il doppio della capacità di archiviazione dell'unità interessata.
6. Crea un'immagine binaria grezza settore per settore (.img o .dd) prima di eseguire qualsiasi parser di ripristino file: prima di eseguire PhotoRec, R-Studio, DMDE o UFS Explorer, utilizzare ddrescue o HDDSuperClone per clonare ogni settore della scheda SD o unità in un singolo file immagine sull'unità di backup. È quindi possibile eseguire più algoritmi di ripristino in modo sicuro sul file immagine senza mai rischiare ulteriore usura o scritture accidentali sul supporto originale.

Albero decisionale: scelta della giusta strategia di ripristino in base al supporto di archiviazione e al file system¶

Utilizza questo diagramma di flusso del triage forense per determinare se i dati eliminati possono essere recuperati tramite la ricostruzione logica della tabella dei file, l'intaglio della firma dei file grezzi o l'analisi specializzata del chip-off:

flowchart TD
    A["Rilevata eliminazione accidentale di file o formato dell'unità"] --> B["Spegnere immediatamente il dispositivo o espellere il supporto rimovibile"]
    B --> C{"Che tipo di hardware di archiviazione fisica è interessato?"}
    C -->|"Fotocamera SD / MicroSD / CFexpress / Flash USB"| D["Attiva l'interruttore fisico di protezione da scrittura o utilizza il blocco USB di sola lettura"]
    C -->|"Disco rigido meccanico esterno o interno (HDD)"| E["Nessun rischio TRIM: elevata probabilità di recupero in caso di zero nuove scritture"]
    C -->|"SSD interno o esterno/NVMe/Mac/Smartphone"| F{"Quale file system e quale connessione al sistema operativo sono stati utilizzati?"}
    F -->|"NTFS, APFS o ext4 su SSD interno NVMe/SATA"| G["Rischio TRIM elevato: avvio tramite Linux Live USB con libata.force=noncqtrim"]
    F -->|"exFAT o FAT32 su memoria di massa USB standard"| H["Rischio TRIM moderato/basso: molti bridge USB non superano il TRIM su exFAT"]
    F -->|"Memoria interna iOS/Android"| I["Crittografia hardware basata su file (FBE): chiavi distrutte al momento dell'eliminazione, controllo immediato dei backup su cloud/locali"]
    D --> J["Crea un clone bitstream completo (.img) utilizzando GNU ddrescue su un'unità separata"]
    E --> J
    G --> J
    H --> J
    J --> K{"I file sono stati eliminati singolarmente o l'unità è stata formattata?"}
    K -->|"Cancellazione individuale/Formattazione rapida (metadati intatti)"| L["Esegui la ricostruzione logica dei metadati (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Tabella file sovrascritta/formato interno alla fotocamera"| M["Esegui l'intaglio della firma del file raw + la ricostruzione video frammentata (riparazione PhotoRec, GoPro/MP4)"]

La fisica dell'eliminazione: piatti magnetici HDD contro flash NAND SSD e schede SD per fotocamera¶

Per evitare di distruggere i dati recuperabili, è necessario comprendere in che modo le diverse architetture di storage gestiscono l'eliminazione e la formattazione dietro le quinte.

1. Unità disco rigido meccaniche (HDD) e registrazione magnetica a strati (SMR)¶

Su un disco rigido tradizionale con registrazione magnetica convenzionale (CMR), l'eliminazione di un file o l'esecuzione di una "formattazione rapida" richiede meno di due secondi perché le testine di lettura/scrittura modificano solo l'indice della directory principale, come ad esempio $MFT (Master File Table) su NTFS, la bitmap di allocazione e il catalogo B-Tree su HFS+/APFS o la tabella di allocazione file su FAT32/exFAT. Le effettive inversioni di flusso magnetico che rappresentano JPEG, PDF e fogli di calcolo rimangono intatte sui piatti in lega di cobalto finché il sistema operativo non sceglie di scrivere un file nuovo di zecca su quegli esatti indirizzi di blocco logico (LBA).

Tuttavia, molti moderni dischi rigidi esterni consumer ad alta capacità (in genere da 2 terabyte a 5 terabyte in custodie portatili da 2,5 pollici) utilizzano la Shingled Magnetic Recording (SMR) insieme a un livello di traduzione del firmware interno chiamato Media Cache. Alcuni moderni dischi rigidi SMR supportano effettivamente il formato TRIM comando proprio come un SSD. Se elimini una cartella di grandi dimensioni su un disco rigido SMR abilitato TRIM e lo lasci collegato inattivo per 20 minuti, il firmware interno dell'unità potrebbe riorganizzare le sue bande e azzerare permanentemente i settori non allocati in background. Scollegare immediatamente l'unità impedisce questo ciclo di pulizia interna.

2. Unità a stato solido (SSD), NVMe e TRIM / Deallocate Finestra di esecuzione¶

La memoria flash NAND all'interno degli SSD non può sovrascrivere i dati esistenti direttamente sul posto. Prima che una cella flash NAND possa accettare nuovi dati, un intero blocco flash (in genere di dimensioni comprese tra 4 megabyte e 16 megabyte) deve essere sottoposto a un lento ciclo elettrico Programma/Cancella (P/E). Se l'SSD aspettasse il salvataggio di un nuovo file per cancellare i vecchi blocchi, la velocità di scrittura crollerebbe.

Per mantenere gli SSD veloci, i sistemi operativi moderni (da Windows 7 a Windows 11, macOS 10.10+ e kernel Linux con fstrim o discard) invia un messaggio immediato TRIM (SATA) o Dataset Management: Deallocate (NVMe) al controller SSD nel momento in cui si svuota il Cestino/Cestino o si esegue una formattazione rapida:

1. Zero di lettura deterministico dopo TRIM (DZAT / DRAT): quasi tutti i moderni SSD consumer NVMe e SATA applicano l'azzeramento deterministico dopo TRIM. Il millisecondo esatto che il controller SSD riceve TRIM comando per una serie di settori, il suo Flash Translation Layer (FTL) interno rimuove la mappatura di quegli indirizzi logici dalle pagine NAND fisiche.
2. Ritorno zero immediato: anche prima che la carica elettrica fisica venga cancellata dalle celle di silicio, se qualsiasi software (incluso ddrescue, PhotoRec o R-Studio) chiede all'SSD di leggere i settori tagliati tramite comandi SATA o NVMe standard, il controller SSD intercetta la richiesta e restituisce zeri esadecimali puri (00 00 00 00) senza nemmeno controllare i chip NAND fisici.
3. Quando il ripristino SSD è ancora possibile:
   • Contenitori USB esterni senza pass-through UASP/TRIM: i chip bridge USB 3.0 meno recenti che utilizzano il protocollo legacy BOT (Bulk-Only Transport) anziché UASP (USB attached SCSI Protocol) non sono in grado di tradurre il sistema operativo TRIM comandi tramite il cavo USB.
   • Volumi FAT32 ed exFAT su alcune versioni del sistema operativo: storicamente, diverse build di sistemi operativi inviavano solo messaggi automatici in tempo reale TRIM comandi su file system journaled nativi (NTFS, APFS, ext4) e non ha emesso un rilascio immediato in tempo reale TRIM su rimovibile FAT32 o exFAT partizioni.
   • Cancella tabella delle partizioni (diskpart clean o eliminazione accidentale della partizione) senza formattazione: l'eliminazione di una voce di partizione dalla tabella delle partizioni GUID (GPT) o dal Master Boot Record (MBR) a volte lascia i settori sottostanti non tagliati finché non viene formattato un nuovo file system sopra di esso.

3. Formattazione interna della fotocamera e Sony/Canon/Nikon SD_ERASE Trappola¶

Fotografi e operatori video spesso presumono che la formattazione di una scheda SD, microSD o CFexpress all'interno di una fotocamera digitale sia identica a una "formattazione rapida" su un computer desktop. Mentre questo era vero dieci anni fa, le moderne fotocamere mirrorless si comportano in modo molto diverso a seconda del produttore:

Fase 1: contenimento immediato del sistema operativo e blocco delle scritture automatiche¶

Prima di provare a recuperare file da un'unità interna o collegare un'unità esterna a un computer, è necessario neutralizzare i meccanismi del sistema operativo che sovrascrivono silenziosamente lo spazio eliminato.

1. Ripristino da un'unità Windows interna (C: Unità)¶

Se hai eliminato una cartella importante dal desktop di Windows, dalla cartella Documenti o Download e hai svuotato il Cestino:

1. NON continuare a utilizzare Windows su quell'unità: anche lasciare Windows inattivo sul desktop lo consente SearchIndexer.exe, scansioni in background di Windows Defender, aggiornamenti della cache di Chrome/Edge, rotazione della copia shadow del volume e file di paging di Windows (pagefile.sys) per scrivere centinaia di megabyte al minuto direttamente sui cluster appena liberati.
2. Se non è possibile spegnere immediatamente (ad esempio, su una workstation remota senza accesso fisico), disabilitare TRIM immediatamente tramite il prompt dei comandi dell'amministratore:
   • Premere Win + X, fai clic su Terminale (amministratore) o Prompt dei comandi (amministratore) ed esegui:

     fsutil behavior set DisableDeleteNotify 1
     

   • Ciò impedisce a Windows di inviare ulteriori TRIM notifiche per i volumi NTFS e ReFS, sebbene non possa essere annullata TRIM comandi inviati secondi prima.
3. Controlla se è presente una copia shadow del volume (Previous Versions) esiste già prima dello spegnimento (richiede 15 secondi):
   • Fai clic con il pulsante destro del mouse sulla cartella principale che conteneva i file eliminati, fai clic su Proprietà -> Versioni precedenti.
   • Oppure corri vssadmin list shadows in un prompt dei comandi dell'amministratore. Se esiste uno snapshot shadow di oggi o di ieri, è possibile montare la copia shadow di sola lettura (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) e copia i file intatti direttamente su una chiavetta USB esterna.
4. Se non esiste alcuna copia shadow, spegni il sistema e avvia da un'unità USB Live Linux: crea un'unità flash USB Ubuntu o SystemRescue su un computer diverso, avvia il PC interessato da quell'unità USB in Prova Ubuntu (modalità Live RAM) senza montare l'unità interna rw e crea un'immagine o estrai i file dall'esterno di Windows.

2. Ripristino da un'unità di sistema macOS (Mac Apple Silicon M1/M2/M3/M4 e T2)¶

I moderni computer Apple che eseguono macOS su APFS (Apple File System) presentano due rigidi ostacoli architettonici:

1. TRIM APFS aggressivo: macOS invia TRIM comandi immediatamente dopo aver svuotato il Cestino sugli SSD Apple interni.
2. Crittografia hardware FileVault/Secure Enclave: su tutti i Mac con chip Apple T2 o Apple Silicon (M1, M2, M3, M4), l'SSD interno è crittografato hardware quando non è attivo per impostazione predefinita utilizzando le chiavi legate a Secure Enclave, anche se FileVault è disattivato nelle Impostazioni di sistema.
   • Controllo immediato 1: istantanee della macchina dell'ora locale (tmutil): anche se l'unità di backup esterna di Time Machine era scollegata al momento dell'eliminazione, macOS crea automaticamente istantanee locali APFS nascoste ogni ora sull'SSD interno se Time Machine è configurato. Apri immediatamente Terminale ed esegui:

     tmutil listlocalsnapshots /
     

     Se vedi le istantanee elencate (come com.apple.TimeMachine.2026-10-31-091522.local), apri la cartella in cui si trovava il file e avvia l'app Time Machine da Applicazioni per ripristinare il file in pochi secondi.
   • Controllo immediato 2: Cestini per la sincronizzazione nel cloud (iCloud Drive, OneDrive, Dropbox, Google Drive): poiché le cartelle Desktop e Documenti di macOS vengono spesso sincronizzate su iCloud Drive, l'eliminazione di un file dal desktop del Mac lo elimina tramite la sincronizzazione iCloud anziché solo localmente. Apri un browser sul tuo telefono o su un altro PC, accedi icloud.com -> Unità -> Eliminati di recente (angolo in basso a destra), dove i file eliminati vengono conservati per 30 giorni completamente intatti dall'SSD locale TRIM.

3. Impedire a macOS e Windows di inquinare una scheda SD o un'unità esterna collegata¶

Quando si collega la scheda SD della fotocamera o un'unità USB esterna a un computer per ripristinare i file, il sistema operativo host tenta immediatamente di scrivere i file di metadati nascosti nella radice dell'unità (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes su macOS; System Volume Information e $Recycle.Bin su Windows). Quelle piccole scritture arrivano proprio all'inizio della bitmap dello spazio libero, spesso corrompendo le esatte intestazioni della directory che stai tentando di recuperare.

• Su Linux (metodo forense più sicuro): Linux non scrive automaticamente le cartelle con indice nascosto se si disabilita il montaggio automatico o si monta il dispositivo a blocchi esclusivamente in sola lettura (ro,noload).
• Su Windows (Abilitare gli attributi del disco di sola lettura tramite DiskPart PRIMA di inserire l'unità o utilizzare Registry WriteBlocker):
  • Aperto regedit.exe come amministratore, vai a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (creare il StorageDevicePolicies key se non esiste) e creare un file DWORD (32-bit) valore nominato WriteProtect impostato su 1. Successivamente collega il lettore di schede USB e Windows tratterà tutti gli archivi USB rimovibili come protetti da scrittura hardware.
• Su macOS (montaggio tramite Disk Arbitrator): scarica e avvia l'utilità open source Disk Arbitrator prima di collegare il lettore di schede SD o l'unità esterna. Imposta Disk Arbitrator su Blocca montaggi o Monta di sola lettura, in modo che macOS non possa scrivere .DS_Store o gli indici Spotlight sulla partizione danneggiata.

Fase 2: creazione di un clone forense settore per settore (ddrescue)¶

Non eseguire mai scansioni di recupero file direttamente su un disco rigido guasto, una scheda microSD usurata o l'unica copia di una partizione formattata. Creazione di un file di immagine binario non elaborato (.img o .dd) garantisce di avere un'istantanea congelata, bit per bit, di ogni settore così come esisteva nel momento in cui hai scollegato l'unità.

Clonazione passo passo con GNU ddrescue (Linux/macOS) o HDDSuperClone¶

1. Identifica l'identificatore esatto del dispositivo della tua scheda o unità di origine:
   • Su Linux, esegui lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT prima e dopo aver collegato il lettore di carte. Supponiamo che la scheda SD della fotocamera da 64 gigabyte (59,6 gibibyte) appaia come /dev/sdc (assicurati che sia non montato; se montato, esegui sudo umount /dev/sdc1).
   • Su macOS, esegui diskutil list per trovare il numero del disco (ad esempio, /dev/disk4), quindi smontane i volumi senza espellere l'hardware: diskutil unmountDisk /dev/disk4.
2. Monta l'unità di archiviazione di destinazione di grandi dimensioni: supponiamo che l'unità di backup esterna da 2 terabyte sia montata su /mnt/backup (O /Volumes/BackupDrive su macOS). Verificare che disponga di spazio libero sufficiente per contenere l'intera capacità grezza dell'unità di origine (una scheda SD da 64 gigabyte produce una scheda SD da 64 gigabyte .img file, anche se conteneva solo 10 gigabyte di foto).
3. Esegui ddrescue con un mapfile (file di registro):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d utilizza l'accesso diretto al disco (ignorando la cache delle pagine del kernel del sistema operativo per letture accurate dei settori; su macOS utilizza /dev/rdisk4 invece di -d).
   • -r3 racconta ddrescue per copiare tutti i settori sani dell'intera unità al primo passaggio veloce, saltare immediatamente eventuali blocchi flash lenti o danneggiati in modo che la scheda non si surriscaldi o si blocchi, quindi riprovare i settori danneggiati fino a 3 volte alla fine.
   • sdcard_rescue.map salva i tuoi progressi esatti ogni pochi secondi. Se il lettore USB si disconnette o si interrompe l'alimentazione, l'esecuzione dello stesso comando riprende senza interruzioni da dove si era interrotta senza rileggere i settori già salvati.
4. Crea una copia funzionante o monta il file .img file di sola lettura: una volta sdcard_raw_clone.img termina alle 100.00% rescued, espelli la tua scheda SD fisica e conservala in un cassetto sicuro. Eseguirai il 100% del tuo lavoro di recupero sdcard_raw_clone.img.

Fase 3: esecuzione del ripristino del file (ricostruzione logica dei metadati rispetto al carving grezzo)¶

Una volta che hai una cassaforte .img file (o un'unità hardware bloccata in scrittura), esistono due metodi tecnici completamente diversi per estrarre i dati cancellati. Dovresti sempre tentare il metodo A (ricostruzione del file system logico) prima di ricorrere al metodo B (intaglio della firma grezza).

Passo dopo passo 1: ripristinare una partizione eliminata o un settore di avvio danneggiato con TestDisk¶

Se l'unità esterna o la scheda SD chiede improvvisamente "È necessario formattare il disco nell'unità E: prima di poterlo utilizzare" o viene visualizzata come RAW/Non allocata in Gestione disco dopo essere stata scollegata senza essere stata espulsa in modo sicuro, i file non sono stati eliminati affatto. Invece, il record di avvio principale (MBR), la tabella delle partizioni GUID (GPT) o il settore di avvio (BPB) era corrotto.

1. Esegui TestDisk sul file immagine clonato:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Seleziona Procedi -> conferma il tipo di tabella delle partizioni (Intel/PC per schede SD MBR inferiori a 2 terabyte o EFI GPT per i moderni azionamenti di grandi dimensioni).
3. Seleziona Analizza -> Ricerca rapida.
4. TestDisk eseguirà la scansione delle intestazioni delle partizioni di backup (come il settore di avvio NTFS di backup automatico archiviato nell'ultimo settore di un volume NTFS o il settore di avvio FAT32 di backup nel settore 6).
5. Evidenzia la partizione rilevata e premi P (Elenca file). Se vedi immediatamente tutte le cartelle e i file elencati intatti nella finestra del terminale:
   • Non preoccuparti nemmeno di riscrivere la tabella delle partizioni se desideri solo i file. Basta premere C sulle cartelle che desideri e copiale direttamente sull'unità di destinazione integra con nomi di file e strutture di cartelle originali al 100%.

Passo 2: Scansione logica dei metadati utilizzando DMDE, R-Studio o UFS Explorer¶

Quando i file sono stati eliminati tramite Shift + Delete, svuotato dal Cestino o cancellato tramite una formattazione rapida standard:

1. Apri il tuo .img file all'interno di DMDE (la versione gratuita recupera fino a 4.000 file per azione della directory; la licenza completa è poco costosa), R-Studio o UFS Explorer Standard Recovery.
2. Controllare prima l'albero del file system virtuale esistente:
   • Sulle unità NTFS, ogni file ha un record di 1.024 byte (1 kilobyte) nella tabella dei file master ($MFT). Anche quando un file viene eliminato, il suo $MFT lo slot rimane contrassegnato da un flag inattivo (0x00 invece di 0x01) contenente il nome file esatto, l'ID della directory principale e le esecuzioni iniziali esatte del cluster e della durata, finché un nuovo file non lo riutilizza $MFT fessura. Inoltre, i file più piccoli di ~700 byte (come brevi note di testo, chiavi crittografiche o piccoli script) vengono archiviati residenti interamente all'interno del $MFT si registra da solo e raramente viene sovrascritto rapidamente.
   • Guarda in $Root o Deleted / Foundcartella virtuale generata entro i primi 5 secondi dall'apertura della partizione. Se i tuoi file vengono visualizzati con un simbolo rosso x o sull'icona del cestino e mostra una dimensione corretta, selezionali e fai clic su Ripristina immediatamente sull'unità di destinazione separata.
3. Esegui una scansione dell'intero volume se l'intestazione della directory è stata sovrascritta:
   • Se una formattazione veloce ha sovrascritto la directory principale o i primi megabyte del file $MFT, esegui una Scansione completa del volume. Il software eseguirà la scansione dell'intera immagine per individuare i nodi dell'indice della sottodirectory sopravvissuti (INDX buffer su NTFS, catene di cluster di sottodirectory su FAT32/exFAT o checkpoint di transazione precedenti su APFS/ext4) e combina metadati logici con il rilevamento della firma dei file non elaborati.

Passo dopo passo 3: Intaglio del file grezzo con PhotoRec (Quando i metadati vengono completamente distrutti)¶

Quando la tabella di allocazione file (FAT) o $MFT è stato completamente azzerato da un formato, i puntatori alle directory logiche sono scomparsi, lasciando solo il contenuto del file non elaborato nei cluster di dati non allocati. PhotoRec (in bundle insieme a TestDisk, completamente gratuito, open source e disponibile per Windows, macOS e Linux) eccelle nell'intagliare oltre 480 formati di file (inclusi Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX contenitori zip e .SQLITE banche dati):

1. Avvia PhotoRec sull'immagine del tuo disco:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Seleziona la partizione di destinazione (o Whole disk se la tabella delle partizioni è stata cancellata).
3. Prima di iniziare vai su [File Opt] nella parte inferiore dello schermo:
   • Premere s per deselezionare tutti i 480 tipi di file se ti interessano solo file specifici (ad esempio, seleziona solo jpg, cr2/cr3, tif per le foto grezze, mov/mp4, e zip/docx), che accelera drasticamente il ripristino e previene i frammenti di spazzatura falsi positivi.
4. Seleziona [Options] -> conserva Keep corrupted files : No a meno che non si ripristino flussi video danneggiati.
5. Seleziona [Search], scegli il tipo di file system [Other] (per FAT/exFAT/NTFS/HFS+) e selezionare [Free] (se hai eliminato solo file su una partizione attiva) o [Whole] (se la partizione è stata formattata).
6. Scegli una cartella di destinazione sul grande disco di backup separato e premi C per iniziare a intagliare.
7. Ordinamento post-recupero per l'output di PhotoRec: poiché PhotoRec salva i file come f123456.jpg in decine di recup_dir cartelle, puoi riorganizzare automaticamente tutte le foto recuperate in cartelle pulite YYYY/MM-Month/ cartelle con i nomi esatti dei file con timestamp della fotocamera utilizzando lo strumento da riga di comando gratuito ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Recupero specializzato: video MP4/MOV frammentati della fotocamera (GoPro, DJI Drones, Sony, Canon)¶

Una delle frustrazioni più frequenti dopo aver eseguito PhotoRec o un software di recupero file standard su una scheda fotocamera formattata è scoprire che il 100% dei file recuperati .JPG e .RAW le foto si aprono perfettamente, ma ogni singola recuperata .MP4 o .MOV il file video non viene riprodotto (durata 0:00 o schermata nera).

Perché il software di ripristino standard interrompe i video delle fotocamere moderne¶

1. Registrazione streaming interleaved: le moderne action camera (serie GoPro Hero, droni DJI Air/Mavic/Mini, Insta360) e le fotocamere mirrorless cinematografiche non scrivono nemmeno un .MP4 file in sequenza dall'inizio alla fine. Durante la registrazione di video 4K o 5.3K, la fotocamera scrive contemporaneamente un video ad alta risoluzione .MP4 stream, un'anteprima a bassa risoluzione .LRV streaming, un buffer audio e metadati di telemetria in cluster alternati sulla scheda exFAT/FAT32 (ad esempio: 4 megabyte di video ad alta risoluzione, seguiti da 512 kilobyte di .LRV anteprima, seguita da 4 megabyte di video ad alta risoluzione).
2. Mancante moov Atom nelle registrazioni non finalizzate: se il tuo drone si è schiantato in acqua, la batteria della fotocamera si è esaurita durante la registrazione o la scheda SD è stata disconnessa prima di premere il pulsante Interrompi registrazione, la fotocamera non ha mai scritto il file moov atom (la tabella dell'indice principale scritta alla fine di un file MP4/MOV che indica ai lettori multimediali dove si trova ogni fotogramma video e porzione audio).

Come ricostruire video della fotocamera non riproducibili o frammentati¶

1. Caso A: video non finalizzato dopo perdita di batteria o arresto anomalo (il file esiste sulla scheda, mostra dimensioni multi-GB, non viene riprodotto):
   • I cluster sono intatti nel file system, solo il file moov manca l'intestazione dell'indice.
   • Utilizza lo strumento gratuito e open source untrunc (nello specifico il anthwlock/untrunc forcella) o recover_mp4 (slydiman). Fornire untrunc con un riferimento sano e giocabile .MP4 registrato su quella esatta stessa fotocamera con la stessa identica risoluzione e impostazioni di framerate, insieme alla tua fotocamera rotta .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc legge i parametri del codec (avcC/hvcC e layout delle tracce audio) dal video di riferimento funzionante, esegue la scansione delle unità NAL H.264/H.265/HEVC grezze nel file danneggiato e sintetizza un nuovissimo moov atomo in secondi.
2. Caso B: Scheda SD formattata con video interleaved/frammentato (GoPro, DJI, Sony, Canon):
   • Poiché la mappa del cluster FAT/exFAT è stata cancellata durante la formattazione, un carver standard acquisisce il file ftyp/mdat intestazione del tuo video 4K e quindi copia alla cieca il file .LRV visualizza in anteprima i cluster e i cluster di miniature proprio al centro del file video, corrompendo ogni singolo secondo del filmato.
   • Invece di intagliatori standard, scansiona il tuo sdcard_raw_clone.img utilizzando un ricostruttore video sensibile alla frammentazione che riconosce le cadenze di allocazione dei cluster specifiche della fotocamera, come SanDisk RescuePRO Deluxe (che include algoritmi specifici di assemblaggio video frammentato GoPro/drone), Klennet Carver o Disk Drill 5+ (che include un ricostruttore di firme video frammentate GoPro/DJI dedicato).

Eliminazione di foto da smartphone: realtà della crittografia hardware iOS (iPhone) e Android¶

Un malinteso comune e pericoloso è che sia possibile collegare un moderno iPhone o smartphone Android a un laptop tramite USB ed eseguire il tradizionale software di disk carving (come Recuva o PhotoRec) nella memoria interna del telefono.

Perché il tradizionale Sector Carving non è in grado di leggere i telefoni moderni¶

Ogni iPhone a partire dall'iPhone 3GS (e tutti gli attuali dispositivi iOS) utilizza la Protezione dei dati (crittografia basata su file) alimentata da un motore di crittografia AES hardware dedicato tra la memoria flash e la memoria del sistema principale. Allo stesso modo, ogni dispositivo Android fornito a partire da Android 7.0+ (e obbligatorio a partire da Android 10) utilizza la crittografia basata su file (FBE) supportata dal chip hardware Keystore/Titan M/Knox.

Su entrambe le piattaforme, ogni singola foto e file nella memoria interna viene crittografato con la propria chiave crittografica univoca per file. Quando un file viene eliminato permanentemente dal file system del telefono, il telefono non ha nemmeno bisogno di cancellare i blocchi di foto da diversi megabyte; distrugge immediatamente la chiave di crittografia per file a 256 bit nella tabella dei metadati. Senza quella chiave, i blocchi NAND grezzi contengono rumore casuale crittograficamente indistruttibile. Persino i laboratori forensi governativi di alto livello non possono "ritagliare" foto cancellate in modo permanente dal flash interno di un moderno iPhone o Android una volta cancellata la chiave per file.

I percorsi di recupero effettivi per le foto cancellate dallo smartphone¶

Poiché la crittografia hardware blocca il raw carving, il recupero delle foto cancellate da un iPhone o Android si basa sul recupero delle copie prima che scadano i timer di conservazione o sull'estrazione dei database delle miniature memorizzati nella cache:

1. Controlla immediatamente l'album "Eliminato di recente" sul dispositivo (finestra di 30 giorni):
   • iOS (iPhone / iPad): apri Foto -> scorri verso il basso fino a Utilità -> tocca Eliminati di recente (richiede Face ID/Touch ID/Passcode). Le foto rimangono qui per 30 giorni prima della distruzione permanente della chiave.
   • Android (Google Foto/Galleria Samsung): apri Google Foto -> Libreria/Raccolte -> Cestino/Cestino (conservato per 60 giorni se sottoposto a backup, 30 giorni se solo dispositivo). Controlla anche Galleria Samsung -> Menu (tre righe) -> Cestino (conservato per 30 giorni) e apri l'app Files by Google o I miei file -> Cestino, che mantiene una cartella Cestino separata per 30 giorni.
2. Se hai eliminato foto da "Eliminate di recente" su iPhone, chiama il supporto Apple per un ripristino di emergenza lato server iCloud:
   • Molti utenti non si rendono conto che anche dopo aver fatto clic manualmente su "Elimina da tutti i dispositivi" / "Svuota elementi eliminati di recente" in Foto di iCloud, i server backend di Apple conservano un buffer di ripristino del server eliminato temporaneamente per un breve periodo (in genere fino a 7-14 giorni dopo l'eliminazione permanente).
   • Contatta immediatamente il supporto Apple tramite telefono o chat, chiedi di parlare con un consulente senior e chiedi loro di attivare un ripristino lato server della libreria foto di iCloud sul tuo account Apple. Possono spesso attivare un interruttore del server che scarica nuovamente le foto di iCloud eliminate di recente nel tuo album entro 15 minuti.
3. Ripristina da un dispositivo non sincronizzato più vecchio o da un backup locale crittografato:
   • Trucco per la modalità aereo su iPad / Mac secondario: se il tuo iPhone ha sincronizzato un'eliminazione su iCloud, prendi il tuo iPad o MacBook prima che si connetta al Wi-Fi (spegni il router Wi-Fi di casa scollegando prima il cavo di alimentazione se l'iPad è in stato di stop sulla scrivania). Accendi l'iPad in totale isolamento radio, copia le foto ancora presenti tramite cavo USB o AirDrop su un altro dispositivo prima che l'iPad riceva il comando push di cancellazione di iCloud.
   • Controlla il backup di iCloud rispetto a Foto di iCloud: se Foto di iCloud è DISATTIVATO (Settings -> [Your Name] -> iCloud -> Photos -> Off), il Rullino fotografico è incluso nel Backup notturno del dispositivo iCloud. Puoi cancellare i dati di un vecchio iPhone di riserva (o eseguire temporaneamente il backup e ripristinare il tuo attuale iPhone) e ripristinare il backup iCloud notturno da prima del momento in cui hai eliminato la foto.
   • Controlla Local Finder/Backup iTunes sul tuo PC o Mac: controlla ~/Library/Application Support/MobileSync/Backup/ su macOS o %APPDATA%\Apple Computer\MobileSync\Backup\ su Windows. Puoi sfogliare ed estrarre foto da vecchi backup locali senza sovrascrivere il telefono utilizzando iMazing o iBackup Viewer.
4. Controlla le cache locali delle app di messaggistica (WhatsApp, iMessage, Telegram, Signal):
   • Hai mai inviato un SMS con la foto o il video eliminato a un coniuge, un amico o una chat di gruppo familiare? Le app di messaggistica archiviano copie indipendenti dei contenuti multimediali all'interno dei propri sandbox dell'applicazione (Media/WhatsApp Images/Sent su Android o all'interno degli allegati chat in iMessage). Anche se elimini una foto dal Rullino fotografico principale e svuoti il Cestino, la copia sarà all'interno di WhatsApp Sent la cronologia delle cartelle o dei thread di iMessage rimane completamente intatta.

Ripristino di cloud drive e cancellazioni accidentali aziendali (Google Drive, OneDrive, Dropbox)¶

Quando un'intera cartella condivisa scompare o viene sovrascritta su un'unità cloud (o quando un ransomware o un problema tecnico di sincronizzazione elimina i file locali e sincronizza l'eliminazione nel cloud), il ripristino del disco locale spesso non è necessario perché le piattaforme cloud aziendali e consumer mantengono cronologie delle versioni multilivello:

1. Microsoft OneDrive e SharePoint Online:
   • Cestino di primo livello (onedrive.live.com): conserva i file eliminati per 30 giorni sugli account personali e 93 giorni sugli account Lavoro/Scuola.
   • Cestino raccolta siti di seconda fase (lavoro/scuola): anche se un dipendente o un hacker svuota il cestino principale di OneDrive, fare clic sul collegamento nella parte inferiore della pagina del Cestino etichettato "Cestino di seconda fase", dove i file eliminati rimangono recuperabili per il resto della finestra di 93 giorni.
   • Ripristina OneDrive (rollback point-in-time): gli abbonati a Microsoft 365 possono fare clic su Impostazioni (icona a forma di ingranaggio) -> Opzioni -> Ripristina OneDrive, che utilizza un dispositivo di scorrimento dell'istogramma visivo per riportare ogni singolo file, ridenominazione ed eliminazione nell'intera unità cloud a qualsiasi minuto esatto negli ultimi 30 giorni.
2. Google Drive e Google Workspace:
   • Cestino di Google Drive (drive.google.com/drive/trash): conserva i file eliminati per 30 giorni.
   • Recupero post-cestino da parte dell'amministratore di Google Workspace (finestra di tolleranza di 25 giorni): anche dopo che un utente fa clic su "Elimina definitivamente" e svuota il cestino di Google Drive, un amministratore di Google Workspace (o un singolo utente che contatta l'assistenza di Google Drive sugli account Google One personali) può aprire la Console di amministrazione di Google (admin.google.com) -> Directory -> Utenti -> [Seleziona utente] -> Altre opzioni -> Ripristina dati e ripristina i file di Google Drive e i messaggi Gmail eliminati in modo permanente per un massimo di 25 giorni aggiuntivi dopo che il Cestino è stato svuotato.
3. Dropbox:
   • File eliminati (dropbox.com/deleted_files): conserva i file e le cartelle eliminati per 30 giorni sui piani Basic/Plus/Famiglia e da 180 giorni a 1 anno sui piani Professional/Business.
   • Riavvolgi Dropbox (dropbox.com/rewind): consente di ripristinare un'intera cartella o l'intero account per annullare eliminazioni di massa, trascinamenti accidentali o eventi di crittografia.

Domande frequenti¶

Fonti controllate¶

• National Institute of Standards and Technology (NIST, Stati Uniti): Pubblicazione speciale 800-88 Revisione 1, Linee guida per la sanificazione dei media (comportamento ATA TRIM, deallocazione NVMe e NAND Flash Translation Layer) e specifiche per l'imaging del disco del programma Computer Forensics Tool Testing (CFTT) (csrc.nist.gov).
• Agenzia per la sicurezza informatica e delle infrastrutture (CISA, Stati Uniti): Linee guida per il backup dei dati, la conservazione forense e la gestione degli incidenti (cisa.gov).
• Progetto GNU / Antonio Diaz Diaz (Internazionale): Manuale ufficiale GNU ddrescue: strumento di recupero dati e algoritmi di mapfile del dispositivo a blocchi (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (Internazionale): Documentazione ufficiale TestDisk e PhotoRec: ripristino delle partizioni e firme di file carving (cgsecurity.org).
• Sicurezza della piattaforma Apple (Stati Uniti): FileVault, classi di protezione dei dati, chiavi di crittografia per file e architettura APFS Trim su sistemi Apple Silicon e T2 (support.apple.com/guide/security).
• Progetto Android Open Source (AOSP, internazionale): Crittografia basata su file (FBE) e architettura di crittografia dei metadati (source.android.com/docs/security/features/encryption).
• SD Association (internazionale): Specifiche SD Parte 1: Specifica semplificata del livello fisico (comandi di cancellazione CMD32, CMD33, CMD38 e interruttore meccanico di protezione da scrittura) (sdcard.org).

Guide correlate¶

• Guasto del disco rigido e ripristino dei dati
• Backup del computer: strategia 3-2-1 e disaster recovery
• Ransomware e malware
• Telefono rotto o danneggiato dall'acqua
• Errore di avvio del sistema Linux e riparazione di GRUB
• Schermata blu di Windows (BSOD) e riparazione dell'avvio