Vô tình xóa tập tin, định dạng thẻ SD và khôi phục ảnh¶

Nhận thấy rằng bạn vừa định dạng sai thẻ SD của máy ảnh, dọn sạch Thùng rác hoặc Thùng rác trên ổ đĩa làm việc bên ngoài hoặc vô tình xóa sạch toàn bộ phân vùng chứa những bức ảnh gia đình không thể thay thế là một cuộc khủng hoảng kỹ thuật nghiêm trọng. Khi một tập tin bị xóa hoặc phương tiện lưu trữ được định dạng nhanh, hệ điều hành hiếm khi xóa ngay dữ liệu nhị phân thô bên trong các ô nhớ. Thay vào đó, nó loại bỏ con trỏ thư mục hệ thống tệp và đánh dấu các địa chỉ khối logic đó là "không gian trống" có sẵn để ghi đè. Việc bạn khôi phục 100% dữ liệu hay mất dữ liệu vĩnh viễn phụ thuộc hoàn toàn vào những gì xảy ra trong 60 giây đầu tiên sau khi xóa. Mỗi giây, ổ đĩa vẫn được gắn ở chế độ đọc-ghi, lập chỉ mục hệ điều hành nền, tệp hoán đổi, bộ nhớ đệm của trình duyệt và quy trình thu gom rác của Ổ đĩa thể rắn (SSD) (TRIM / UNMAP) có thể loại bỏ vĩnh viễn các lĩnh vực cơ bản.

Nếu việc vô tình xóa hoặc định dạng liên quan đến đo từ xa y tế, bằng chứng pháp lý về một tội phạm đang diễn ra hoặc lỗi hệ thống an toàn tính mạng, hãy gọi đến số khẩn cấp tại địa phương của bạn (911 ở Hoa Kỳ và Canada, 112 trên khắp Liên minh Châu Âu, 999 ở Vương quốc Anh) hoặc tham khảo danh mục quốc tế của chúng tôi số khẩn cấp trước khi chạm vào phần cứng. Đối với tất cả các sự cố mất dữ liệu của người tiêu dùng, nhiếp ảnh, học thuật và doanh nghiệp, hãy tạm dừng mọi hoạt động của ổ đĩa ngay lập tức và thực hiện theo quy trình khôi phục pháp y bên dưới.

Làm điều này ngay bây giờ¶

1. Rút thẻ SD, thẻ CFexpress hoặc ổ USB có thể tháo rời ngay lập tức: Nếu bạn vừa định dạng thẻ nhớ máy ảnh hoặc xóa các tập tin trên ổ USB ngoài, hãy tắt ngay công tắc nguồn máy ảnh hoặc rút cáp USB ngoài ra khỏi máy tính. Không chụp "1 bức ảnh thử" để xem thẻ có hoạt động không và không cho phép Windows (chkdsk) hoặc macOS (fsck_apfs) để "quét và sửa chữa" ổ đĩa.
2. Nếu bạn đã xóa các tệp khỏi ổ đĩa hệ thống nội bộ của máy tính (ổ C: hoặc macOS Macintosh HD), hãy rút nguồn hoặc buộc tắt nguồn cứng: Không đóng ứng dụng một cách bình thường, không tải phần mềm khôi phục dữ liệu xuống máy tính bị ảnh hưởng và không nhấp vào "Tắt máy" (ghi hàng gigabyte tệp ngủ đông, tổ hợp đăng ký và nhật ký phiên lên các khối đã xóa của bạn). Giữ nút nguồn vật lý trong 5 đến 10 giây cho đến khi máy tắt hoàn toàn hoặc rút dây nguồn máy tính để bàn nếu đó là hệ thống không dùng pin.
3. Trượt công tắc chống ghi vật lý trên thẻ SDHC/SDXC kích thước đầy đủ sang vị trí KHÓA: Nhìn vào cạnh trái của thẻ SD 32 mm x 24 mm tiêu chuẩn (1,26 inch x 0,94 inch) và đẩy tab nhựa nhỏ xuống cạnh dưới (cách xa các chân tiếp xúc bằng vàng) để không đầu đọc nào có thể vô tình ghi .DS_Store, System Volume Informationhoặc tệp chỉ mục Spotlight khi bạn cắm nó vào sau.
4. Hiểu bẫy TRIM của SSD trước khi bật lại ổ SSD bên trong: Ổ đĩa thể rắn NVMe và SATA hiện đại thực thi ở cấp độ phần cứng TRIM (ATA) hoặc Deallocate (NVMe) ra lệnh trong vòng vài giây đến vài phút sau khi xóa hoặc định dạng tệp. Sau khi bộ điều khiển SSD chạy tính năng thu thập rác nền trên các trang đã được cắt bớt, phần mềm khắc thô sẽ chỉ đọc các số 0 (0x00). Việc tắt nguồn sẽ ngăn bộ vi xử lý SSD bên trong hoàn tất quá trình thu thập rác nền.
5. Chuẩn bị một máy tính phụ sạch, riêng biệt và một ổ đĩa đích lớn hơn: Không bao giờ cài đặt các công cụ khôi phục vào ổ đĩa bị mất dữ liệu và không bao giờ khôi phục các tệp đã khôi phục trở lại cùng ổ đĩa nguồn trong quá trình quét. Sử dụng máy tính thứ hai (hoặc khởi động PC bị ảnh hưởng từ ổ flash USB Ubuntu Linux Live bên ngoài) và gắn một ổ cứng ngoài trống có dung lượng lưu trữ ít nhất gấp đôi ổ bị ảnh hưởng.
6. Tạo hình ảnh nhị phân thô theo từng ngành (.img hoặc .dd) trước khi chạy bất kỳ trình phân tích cú pháp khôi phục tệp nào: Trước khi chạy PhotoRec, R-Studio, DMDE hoặc UFS Explorer, hãy sử dụng ddrescue hoặc HDDSuperClone để sao chép mọi khu vực của thẻ SD hoặc ổ đĩa thành một tệp hình ảnh duy nhất trên ổ đĩa sao lưu của bạn. Sau đó, bạn có thể chạy nhiều thuật toán khôi phục một cách an toàn đối với tệp hình ảnh mà không gặp rủi ro bị hao mòn thêm hoặc vô tình ghi vào phương tiện gốc.

Cây quyết định: chọn chiến lược khôi phục phù hợp bằng phương tiện lưu trữ và hệ thống tệp¶

Sử dụng sơ đồ phân loại điều tra này để xác định xem dữ liệu đã xóa của bạn có thể được phục hồi thông qua việc xây dựng lại bảng tệp logic, khắc chữ ký tệp thô hoặc phân tích chip-off chuyên dụng hay không:

flowchart TD
    A["Đã phát hiện tình cờ xóa tệp hoặc định dạng ổ đĩa"] --> B["Tắt nguồn thiết bị ngay lập tức hoặc đẩy phương tiện di động ra"]
    B --> C{"Loại phần cứng lưu trữ vật lý nào bị ảnh hưởng?"}
    C -->|"Máy ảnh SD / MicroSD / CFexpress / USB Flash"| D["Sử dụng công tắc bảo vệ ghi vật lý hoặc sử dụng Trình chặn USB chỉ đọc"]
    C -->|"Ổ cứng cơ học bên ngoài hoặc bên trong (HDD)"| E["Không có rủi ro TRIM: Xác suất phục hồi cao nếu không xảy ra ghi mới"]
    C -->|"SSD bên trong hoặc bên ngoài / NVMe / Mac / Điện thoại thông minh"| F{"Hệ thống tệp và kết nối hệ điều hành nào đã được sử dụng?"}
    F -->|"NTFS, APFS hoặc ext4 trên SSD NVMe/SATA bên trong"| G["Rủi ro TRIM cao: Khởi động qua Linux Live USB với libata.force=noncqtrim"]
    F -->|"exFAT hoặc FAT32 trên bộ lưu trữ USB tiêu chuẩn"| H["Rủi ro TRIM trung bình/thấp: Nhiều cầu nối USB không vượt qua TRIM trên exFAT"]
    F -->|"Bộ nhớ trong iOS / Android"| I["Mã hóa dựa trên tệp phần cứng (FBE): Khóa bị hủy khi xóa, kiểm tra bản sao lưu cục bộ/đám mây ngay lập tức"]
    D --> J["Tạo bản sao dòng bit đầy đủ (.img) bằng GNU ddrescue trên ổ đĩa riêng biệt"]
    E --> J
    G --> J
    H --> J
    J --> K{"Các tập tin đã bị xóa riêng lẻ hay ổ đĩa đã được định dạng?"}
    K -->|"Xóa riêng lẻ / Định dạng nhanh (Siêu dữ liệu còn nguyên vẹn)"| L["Chạy Tái tạo siêu dữ liệu logic (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Bảng tệp bị ghi đè / Định dạng trong máy ảnh"| M["Chạy Khắc chữ ký tệp thô + Trình xây dựng lại video bị phân mảnh (Sửa chữa PhotoRec, GoPro/MP4)"]

Cơ chế xóa vật lý: Đĩa từ HDD so với đèn flash SSD NAND và thẻ SD của máy ảnh¶

Để tránh phá hủy dữ liệu có thể phục hồi, bạn phải hiểu cách các kiến trúc lưu trữ khác nhau xử lý việc xóa và định dạng một cách cơ bản.

1. Ổ đĩa cứng cơ học (HDD) và Ghi từ tính (SMR)¶

Trên ổ cứng quay ghi từ thông thường (CMR) truyền thống, việc xóa một tập tin hoặc chạy "Định dạng nhanh" chỉ mất chưa đến hai giây vì đầu đọc/ghi chỉ sửa đổi chỉ mục thư mục chính, chẳng hạn như $MFT (Bảng tệp chính) trên NTFS, Bitmap phân bổ và Cây B danh mục trên HFS+/APFS hoặc Bảng phân bổ tệp trên FAT32/exFAT. Sự đảo ngược từ thông thực tế đại diện cho các tệp JPEG, PDF và bảng tính của bạn vẫn không bị ảnh hưởng trên các đĩa hợp kim coban cho đến khi hệ điều hành chọn ghi một tệp hoàn toàn mới lên các Địa chỉ Khối Logic (LBA) chính xác đó.

Tuy nhiên, nhiều ổ cứng gắn ngoài tiêu dùng dung lượng cao hiện đại (thường là 2 terabyte đến 5 terabyte trong vỏ di động 2,5 inch) sử dụng Ghi từ tính Shingled (SMR) cùng với lớp dịch chương trình cơ sở nội bộ được gọi là Bộ đệm đa phương tiện. Một số ổ cứng SMR hiện đại thực sự hỗ trợ TRIM lệnh giống như một ổ SSD. Nếu bạn xóa một thư mục lớn trên ổ cứng SMR hỗ trợ TRIM và để nó ở chế độ chờ trong 20 phút, chương trình cơ sở bên trong của ổ đĩa có thể sắp xếp lại các băng tần bị xáo trộn và loại bỏ vĩnh viễn các khu vực chưa được phân bổ trong nền. Việc rút ổ đĩa ngay lập tức sẽ ngăn chặn chu trình vệ sinh nội bộ này.

2. Ổ đĩa thể rắn (SSD), NVMe và TRIM / Deallocate Cửa sổ thực thi¶

Bộ nhớ flash NAND bên trong SSD không thể ghi đè trực tiếp dữ liệu hiện có tại chỗ. Trước khi tế bào flash NAND có thể chấp nhận dữ liệu mới, toàn bộ khối flash (thường có kích thước từ 4 megabyte đến 16 megabyte) trước tiên phải trải qua **chu trình **Chương trình/Xóa (P/E) ** điện chậm. Nếu SSD đợi cho đến khi bạn lưu tệp mới để xóa các khối cũ, tốc độ ghi sẽ giảm mạnh.

Để giữ cho SSD hoạt động nhanh, các hệ điều hành hiện đại (Windows 7 đến Windows 11, macOS 10.10+ và nhân Linux có fstrim hoặc discard) gửi ngay lập tức TRIM (SATA) hoặc Dataset Management: Deallocate (NVMe) tới bộ điều khiển SSD ngay khi bạn dọn sạch Thùng rác/Thùng rác hoặc thực thi Định dạng nhanh:

1. Số 0 xác định sau TRIM (DZAT / DRAT): Hầu hết tất cả các ổ SSD NVMe và SATA dành cho người tiêu dùng hiện đại đều thực thi Giá trị 0 xác định sau TRIM. Mili giây chính xác mà bộ điều khiển SSD nhận được TRIM lệnh cho một loạt các lĩnh vực, Lớp dịch Flash (FTL) bên trong của nó sẽ loại bỏ các địa chỉ logic đó khỏi các trang NAND vật lý.
2. Không hoàn trả ngay lập tức: Ngay cả trước khi điện tích vật lý bị xóa khỏi tế bào silicon, nếu bất kỳ phần mềm nào (bao gồm cả ddrescue, PhotoRec hoặc R-Studio) yêu cầu SSD đọc các khu vực được cắt xén đó thông qua các lệnh SATA hoặc NVMe tiêu chuẩn, bộ điều khiển SSD sẽ chặn yêu cầu và trả về các số 0 thập lục phân thuần túy (00 00 00 00) mà không cần kiểm tra chip NAND vật lý.
3. Khi vẫn có thể khôi phục SSD:
   • Vỏ bọc USB bên ngoài không có truyền qua UASP/TRIM: Chip cầu nối USB 3.0 cũ hơn sử dụng giao thức BOT (Chỉ vận chuyển hàng loạt) cũ thay vì UASP (Giao thức SCSI đính kèm USB) không thể dịch hệ điều hành TRIM lệnh qua cáp USB.
   • Khối FAT32 và exFAT trên một số phiên bản hệ điều hành nhất định: Trước đây, một số bản dựng hệ điều hành chỉ được gửi tự động theo thời gian thực TRIM các lệnh trên hệ thống tệp nhật ký gốc (NTFS, APFS, ext4) và không phát hành ngay lập tức theo thời gian thực TRIM trên có thể tháo rời FAT32 hoặc exFAT phân vùng.
   • ** Xóa bảng phân vùng (diskpart clean hoặc vô tình xóa phân vùng) mà không định dạng**: Việc xóa một mục nhập phân vùng khỏi Bảng phân vùng GUID (GPT) hoặc Bản ghi khởi động chính (MBR) đôi khi khiến các khu vực cơ bản không bị cắt bớt cho đến khi một hệ thống tệp mới được định dạng trên đó.

3. Định dạng bên trong máy ảnh và Sony / Canon / Nikon SD_ERASE Bẫy¶

Các nhiếp ảnh gia và nhà quay phim thường cho rằng việc định dạng thẻ SD, microSD hoặc CFexpress bên trong máy ảnh kỹ thuật số giống hệt với "Định dạng nhanh" trên máy tính để bàn. Mặc dù điều đó đúng cách đây mười năm, nhưng máy ảnh không gương lật hiện đại hoạt động rất khác nhau tùy thuộc vào nhà sản xuất:

Giai đoạn 1: Ngăn chặn hệ điều hành ngay lập tức và chặn việc ghi tự động¶

Trước khi cố gắng khôi phục các tập tin từ ổ đĩa trong hoặc gắn ổ đĩa ngoài vào máy tính, bạn phải vô hiệu hóa các cơ chế của hệ điều hành âm thầm ghi đè lên không gian đã xóa.

1. Khôi phục từ Ổ đĩa Windows bên trong (C: Drive)¶

Nếu bạn đã xóa một thư mục quan trọng khỏi thư mục Windows Desktop, Documents hoặc Downloads và dọn sạch Thùng rác:

1. KHÔNG tiếp tục sử dụng Windows trên ổ đĩa đó: Ngay cả việc để Windows ở chế độ chờ trên Bàn làm việc cũng cho phép SearchIndexer.exe, quét nền Windows Defender, cập nhật bộ đệm Chrome/Edge, xoay Bản sao bóng ổ đĩa và Tệp trang Windows (pagefile.sys) để ghi trực tiếp hàng trăm megabyte mỗi phút lên các cụm mới được giải phóng của bạn.
2. Nếu bạn không thể tắt nguồn ngay lập tức (ví dụ: trên máy trạm từ xa không có quyền truy cập vật lý), hãy tắt TRIM ngay lập tức thông qua Dấu nhắc lệnh của quản trị viên:
   • Nhấn Win + X, nhấp vào Terminal (Quản trị viên) hoặc Dấu nhắc lệnh (Quản trị viên) và thực thi:

     fsutil behavior set DisableDeleteNotify 1
     

   • Điều này ngăn Windows gửi bất kỳ thêm nào TRIM thông báo về ổ đĩa NTFS và ReFS, mặc dù nó không thể hoàn tác TRIM lệnh được gửi vài giây trước đó.
3. Kiểm tra xem Bản sao bóng ổ đĩa (Previous Versions) đã tồn tại trước khi tắt (mất 15 giây):
   • Nhấp chuột phải vào thư mục mẹ chứa các tệp đã xóa của bạn, nhấp vào Thuộc tính -> Phiên bản trước.
   • Hoặc chạy vssadmin list shadows trong Dấu nhắc lệnh của quản trị viên. Nếu ảnh chụp nhanh bóng tồn tại từ hôm nay hoặc hôm qua, bạn có thể gắn bản sao bóng đó ở chế độ chỉ đọc (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) và sao chép trực tiếp các tệp nguyên vẹn của bạn vào ổ USB bên ngoài.
4. Nếu không có Bản sao bóng nào tồn tại, hãy tắt máy và khởi động từ Linux Live USB: Tạo ổ flash USB Ubuntu hoặc SystemRescue trên một máy tính khác, khởi động PC bị ảnh hưởng từ ổ USB đó trong Dùng thử Ubuntu (chế độ Live RAM) mà không cần gắn ổ đĩa bên trong rw và hình ảnh hoặc giải nén các tệp từ bên ngoài Windows.

2. Khôi phục từ ổ đĩa hệ thống macOS (máy Mac Apple Silicon M1/M2/M3/M4 & T2)¶

Các máy tính Apple hiện đại chạy macOS trên APFS (Apple File System) có hai rào cản kiến trúc nghiêm ngặt:

1. APFS TRIM linh hoạt: macOS gửi TRIM ra lệnh ngay lập tức khi dọn sạch Thùng rác trên ổ SSD bên trong của Apple.
2. Mã hóa FileVault / Secure Enclave phần cứng: Trên tất cả các máy Mac có chip Apple T2 hoặc Apple Silicon (M1, M2, M3, M4), ổ SSD bên trong được mã hóa phần cứng ở trạng thái lưu trữ theo mặc định bằng cách sử dụng các khóa được liên kết với Secure Enclave, ngay cả khi FileVault bị "Tắt" trong Cài đặt hệ thống.
   • Kiểm tra ngay lập tức 1: Ảnh chụp nhanh máy theo giờ địa phương (tmutil): Ngay cả khi ổ đĩa sao lưu Time Machine bên ngoài của bạn đã được rút phích cắm tại thời điểm xóa, macOS sẽ tự động tạo Ảnh chụp nhanh cục bộ APFS hàng giờ ẩn trên ổ SSD bên trong nếu Time Machine được định cấu hình. Mở Terminal ngay lập tức và chạy:

     tmutil listlocalsnapshots /
     

     Nếu bạn thấy các ảnh chụp nhanh được liệt kê (chẳng hạn như com.apple.TimeMachine.2026-10-31-091522.local), hãy mở thư mục chứa tệp và khởi chạy ứng dụng Time Machine từ Ứng dụng để khôi phục tệp sau vài giây.
   • Kiểm tra ngay lập tức 2: Thùng rác đồng bộ hóa đám mây (iCloud Drive, OneDrive, Dropbox, Google Drive): Vì các thư mục Tài liệu và Máy tính để bàn macOS thường được đồng bộ hóa với iCloud Drive nên việc xóa tệp khỏi Máy tính để bàn Mac của bạn sẽ xóa tệp đó thông qua đồng bộ hóa iCloud thay vì chỉ cục bộ. Mở trình duyệt trên điện thoại hoặc PC khác, đăng nhập icloud.com -> Ổ đĩa -> Đã xóa gần đây (góc dưới bên phải), trong đó các tệp đã xóa được giữ lại trong 30 ngày hoàn toàn không bị ảnh hưởng bởi SSD cục bộ TRIM.

3. Chặn macOS và Windows làm ô nhiễm thẻ SD đã cắm hoặc ổ đĩa ngoài¶

Khi bạn cắm thẻ SD của máy ảnh hoặc ổ USB ngoài vào máy tính để khôi phục tệp, hệ điều hành máy chủ ngay lập tức cố gắng ghi các tệp siêu dữ liệu ẩn vào thư mục gốc của ổ đĩa (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes trên macOS; System Volume Information và $Recycle.Bin trên Windows). Những phần ghi nhỏ đó nằm ngay ở phần đầu của bitmap không gian trống, thường làm hỏng các tiêu đề thư mục chính xác mà bạn đang cố gắng khôi phục.

• Trên Linux (Phương pháp pháp y an toàn nhất): Linux không tự động ghi các thư mục chỉ mục ẩn nếu bạn tắt tính năng tự động gắn hoặc gắn thiết bị khối ở chế độ chỉ đọc hoàn toàn (ro,noload).
• Trên Windows (Bật thuộc tính đĩa chỉ đọc qua DiskPart TRƯỚC KHI lắp ổ đĩa hoặc sử dụng Trình chặn ghi sổ đăng ký):
  • Mở regedit.exe với tư cách Quản trị viên, hãy điều hướng đến HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (tạo ra StorageDevicePolicies khóa nếu nó không tồn tại) và tạo một DWORD (32-bit) giá trị được đặt tên WriteProtect đặt thành 1. Sau đó, hãy cắm đầu đọc thẻ USB của bạn và Windows sẽ coi tất cả bộ lưu trữ USB có thể tháo rời là phần cứng được bảo vệ chống ghi.
• Trên macOS (Mount via Disk Arbitrator): Tải xuống và khởi chạy tiện ích nguồn mở Disk Arbitrator trước khi cắm đầu đọc thẻ SD hoặc ổ đĩa ngoài của bạn. Đặt Disk Arbitrator thành Chặn gắn kết hoặc Gắn chỉ đọc, để macOS không thể ghi .DS_Store hoặc Spotlight lập chỉ mục cho phân vùng bị hỏng.

Giai đoạn 2: Tạo bản sao pháp y theo từng ngành (ddrescue)¶

Không bao giờ chạy quét khôi phục tệp trực tiếp trên ổ cứng bị lỗi, thẻ nhớ microSD đã cũ hoặc bản sao duy nhất của phân vùng được định dạng. Tạo một tệp hình ảnh nhị phân thô (.img hoặc .dd) đảm bảo rằng bạn có một ảnh chụp nhanh từng bit một của mọi khu vực như nó tồn tại vào thời điểm bạn rút ổ đĩa ra.

Nhân bản từng bước với GNU ddrescue (Linux / macOS) hoặc HDDSuperClone¶

1. Xác định số nhận dạng thiết bị chính xác của thẻ nguồn hoặc ổ đĩa của bạn:
   • Trên Linux, chạy lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT trước và sau khi cắm đầu đọc thẻ. Giả sử thẻ SD máy ảnh 64 gigabyte (59,6 gibibyte) của bạn xuất hiện dưới dạng /dev/sdc (đảm bảo rằng nó không được gắn kết; nếu được gắn kết, hãy chạy sudo umount /dev/sdc1).
   • Trên macOS, chạy diskutil list để tìm số đĩa (ví dụ: /dev/disk4), sau đó ngắt kết nối các tập của nó mà không cần tháo phần cứng: diskutil unmountDisk /dev/disk4.
2. Gắn ổ lưu trữ đích lớn của bạn: Giả sử ổ đĩa sao lưu 2 terabyte bên ngoài của bạn được gắn ở /mnt/backup (hoặc /Volumes/BackupDrive trên macOS). Xác minh rằng nó có đủ dung lượng trống để chứa toàn bộ dung lượng thô của ổ nguồn (thẻ SD 64 gigabyte tạo ra ổ đĩa 64 gigabyte .img tệp, ngay cả khi chỉ có 10 gigabyte ảnh trên đó).
3. Thực hiện ddrescue với một tệp bản đồ (tệp nhật ký):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d sử dụng quyền truy cập đĩa trực tiếp (bỏ qua bộ đệm trang kernel của hệ điều hành để đọc khu vực chính xác; trên macOS sử dụng /dev/rdisk4 thay vì -d).
   • -r3 kể ddrescue để sao chép tất cả các khu vực khỏe mạnh trên toàn bộ ổ đĩa trong lần chuyển nhanh đầu tiên, hãy bỏ qua mọi khối flash bị chậm hoặc bị hỏng ngay lập tức để thẻ không bị quá nóng hoặc bị khóa, sau đó thử lại các khu vực xấu tối đa 3 lần ở cuối.
   • sdcard_rescue.map lưu tiến trình chính xác của bạn cứ sau vài giây. Nếu đầu đọc USB ngắt kết nối hoặc mất điện, việc chạy lệnh tương tự sẽ tiếp tục liền mạch từ nơi nó dừng mà không cần đọc lại các khu vực đã được giải cứu.
4. Tạo một bản sao làm việc hoặc gắn kết .img tập tin chỉ đọc: Một lần sdcard_raw_clone.img kết thúc vào lúc 100.00% rescued, hãy tháo thẻ SD vật lý của bạn ra và cất vào ngăn kéo an toàn. Bạn sẽ thực hiện 100 phần trăm công việc khôi phục của mình trên sdcard_raw_clone.img.

Giai đoạn 3: Thực hiện khôi phục tệp (Tái tạo siêu dữ liệu logic so với khắc thô)¶

Một khi bạn có một chiếc két sắt .img (hoặc ổ đĩa bị chặn ghi bằng phần cứng), có hai phương pháp kỹ thuật hoàn toàn khác nhau để trích xuất dữ liệu đã xóa của bạn. Bạn phải luôn thử Phương pháp A (Tái tạo hệ thống tệp logic) trước khi quay lại Phương pháp B (Khắc chữ ký thô).

Từng bước 1: Khôi phục phân vùng đã xóa hoặc cung cấp khởi động bị hỏng bằng TestDisk¶

Nếu ổ đĩa ngoài hoặc thẻ SD của bạn đột nhiên hỏi "Bạn cần định dạng đĩa trong ổ E: trước khi bạn có thể sử dụng nó" hoặc hiển thị dưới dạng RAW / Chưa được phân bổ trong Quản lý đĩa sau khi rút phích cắm mà không đẩy ra an toàn, thì các tập tin của bạn hoàn toàn không bị xóa. Thay vào đó, Bản ghi khởi động chính (MBR), Bảng phân vùng GUID (GPT) hoặc Khu vực khởi động (BPB) đã bị hỏng.

1. Chạy TestDisk đối với tệp hình ảnh nhân bản của bạn:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Chọn Tiếp tục -> xác nhận loại bảng phân vùng (Intel/PC đối với thẻ SD MBR dưới 2 terabyte hoặc EFI GPT cho các ổ đĩa lớn hiện đại).
3. Chọn Phân tích -> Tìm kiếm nhanh.
4. TestDisk sẽ quét các tiêu đề phân vùng dự phòng (chẳng hạn như khu vực khởi động NTFS sao lưu tự động được lưu trữ ở khu vực cuối cùng của ổ đĩa NTFS hoặc khu vực khởi động FAT32 dự phòng ở khu vực 6).
5. Đánh dấu phân vùng được phát hiện và nhấn P (Danh sách tệp). Nếu ngay lập tức bạn thấy tất cả các thư mục và tệp của mình được liệt kê nguyên vẹn bên trong cửa sổ terminal:
   • Thậm chí đừng bận tâm đến việc viết lại bảng phân vùng nếu bạn chỉ muốn các tập tin. Đơn giản chỉ cần nhấn C trên các thư mục bạn muốn và sao chép chúng trực tiếp vào ổ đĩa đích lành mạnh của bạn với 100% tên tệp và cấu trúc thư mục gốc.

Từng bước 2: Quét siêu dữ liệu logic bằng DMDE, R-Studio hoặc UFS Explorer¶

Khi tập tin bị xóa qua Shift + Delete, được làm trống khỏi Thùng rác hoặc bị xóa thông qua Định dạng nhanh tiêu chuẩn:

1. Mở của bạn .img tệp bên trong DMDE (phiên bản miễn phí khôi phục tối đa 4.000 tệp cho mỗi tác vụ thư mục; giấy phép đầy đủ không tốn kém), R-Studio hoặc UFS Explorer Standard Recovery.
2. Trước tiên hãy kiểm tra cây hệ thống tệp ảo hiện có:
   • Trên các ổ NTFS, mỗi tệp có bản ghi 1.024 byte (1 kilobyte) trong Bảng Tệp Chính ($MFT). Ngay cả khi một tập tin bị xóa, nó $MFT vị trí vẫn được đánh dấu bằng cờ không hoạt động (0x00 thay vì 0x01) chứa tên tệp chính xác, ID thư mục mẹ cũng như cụm bắt đầu và độ dài chính xác chạy cho đến khi tệp mới sử dụng lại thông tin đó $MFT khe cắm. Hơn nữa, các tệp nhỏ hơn ~700 byte (chẳng hạn như ghi chú văn bản ngắn gọn, khóa mật mã hoặc tập lệnh nhỏ) được lưu trữ thường trú hoàn toàn bên trong $MFT ghi lại chính nó và hiếm khi bị ghi đè nhanh chóng.
   • Nhìn vào $Root hoặc Deleted / Found thư mục ảo được tạo trong vòng 5 giây đầu tiên sau khi mở phân vùng. Nếu tập tin của bạn xuất hiện với màu đỏ x hoặc biểu tượng thùng rác và hiển thị kích thước phù hợp, hãy chọn chúng và nhấp vào Khôi phục vào ổ đĩa đích riêng của bạn ngay lập tức.
3. Chạy Quét toàn bộ khối lượng nếu Tiêu đề thư mục bị ghi đè:
   • Nếu Định dạng Nhanh ghi đè lên thư mục gốc hoặc vài megabyte đầu tiên của $MFT, hãy chạy Quét toàn bộ. Phần mềm sẽ quét toàn bộ hình ảnh để tìm các nút chỉ mục thư mục con còn sót lại (INDX bộ đệm trên NTFS, chuỗi cụm thư mục con trên FAT32/exFAT hoặc các điểm kiểm tra giao dịch cũ hơn trên APFS/ext4) và kết hợp siêu dữ liệu logic với tính năng phát hiện chữ ký tệp thô.

Từng bước 3: Khắc tệp thô bằng PhotoRec (Khi siêu dữ liệu bị phá hủy hoàn toàn)¶

Khi Bảng phân bổ tệp (FAT) hoặc $MFT đã bị loại bỏ hoàn toàn theo một định dạng, các con trỏ thư mục logic đã biến mất, chỉ còn lại nội dung tệp thô nằm trong các cụm dữ liệu chưa được phân bổ. PhotoRec (đi kèm với TestDisk, hoàn toàn miễn phí, mã nguồn mở và có sẵn cho Windows, macOS và Linux) vượt trội trong việc khắc hơn 480 định dạng tệp (bao gồm cả Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX hộp đựng zip, và .SQLITE cơ sở dữ liệu):

1. Khởi chạy PhotoRec dựa vào ảnh đĩa của bạn:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Chọn phân vùng đích (hoặc Whole disk nếu bảng phân vùng bị xóa).
3. Trước khi bắt đầu, hãy truy cập [File Opt] ở cuối màn hình:
   • Nhấn s để bỏ chọn tất cả 480 loại tệp nếu bạn chỉ quan tâm đến các tệp cụ thể (ví dụ: chỉ kiểm tra jpg, cr2/cr3, tif đối với ảnh thô, mov/mp4, Và zip/docx), giúp tăng tốc độ phục hồi đáng kể và ngăn chặn các mảnh rác dương tính giả.
4. Chọn [Options] -> giữ Keep corrupted files : No trừ khi khôi phục các luồng video bị hỏng.
5. Chọn [Search], chọn loại hệ thống tệp [Other] (đối với FAT/exFAT/NTFS/HFS+) và chọn [Free] (nếu bạn chỉ xóa các tập tin trên một phân vùng đang hoạt động) hoặc [Whole] (nếu phân vùng đã được định dạng).
6. Chọn thư mục đích trên ổ đĩa sao lưu lớn riêng biệt của bạn và nhấn C để bắt đầu khắc.
7. Sắp xếp sau khôi phục cho đầu ra PhotoRec: Vì PhotoRec lưu tệp dưới dạng f123456.jpg trên hàng chục recup_dir các thư mục, bạn có thể tự động sắp xếp lại tất cả các ảnh đã khôi phục thành các thư mục sạch YYYY/MM-Month/ các thư mục có tên tệp dấu thời gian chính xác của máy ảnh bằng công cụ dòng lệnh miễn phí ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Phục hồi chuyên biệt: video MP4/MOV của máy ảnh bị phân mảnh (GoPro, DJI Drone, Sony, Canon)¶

Một trong những nỗi thất vọng thường gặp nhất sau khi chạy PhotoRec hoặc phần mềm khôi phục tệp tiêu chuẩn trên thẻ máy ảnh được định dạng là phát hiện ra rằng 100% tệp đã được khôi phục. .JPG và .RAW ảnh mở hoàn hảo, nhưng mọi ảnh đều được phục hồi .MP4 hoặc .MOV tệp video từ chối phát (thời lượng 0:00 hoặc màn hình đen).

Tại sao phần mềm khôi phục tiêu chuẩn lại phá vỡ các video camera hiện đại¶

1. Ghi luồng xen kẽ: Máy ảnh hành động hiện đại (dòng GoPro Hero, máy bay không người lái DJI Air/Mavic/Mini, Insta360) và máy ảnh không gương lật trong rạp chiếu phim không ghi một thành tựu nào .MP4 tập tin tuần tự từ đầu đến cuối. Trong khi quay video 4K hoặc 5,3K, máy ảnh đồng thời ghi hình ảnh có độ phân giải cao .MP4 luồng, bản xem trước có độ phân giải thấp .LRV luồng, bộ đệm âm thanh và siêu dữ liệu đo từ xa thành các cụm xen kẽ trên thẻ exFAT/FAT32 (ví dụ: 4 megabyte video độ phân giải cao, tiếp theo là 512 kilobyte video .LRV xem trước, tiếp theo là 4 megabyte video độ phân giải cao).
2. Thiếu moov Nguyên tử trong bản ghi chưa hoàn thiện: Nếu máy bay không người lái của bạn bị rơi xuống nước, pin máy ảnh của bạn hết trong khi ghi hoặc thẻ SD bị ngắt kết nối trước khi bạn nhấn nút Dừng ghi, máy ảnh sẽ không bao giờ ghi moov Atom (bảng chỉ mục chính được viết ở cuối tệp MP4/MOV để cho trình phát phương tiện biết vị trí của mọi khung hình video và đoạn âm thanh).

Cách xây dựng lại video camera không thể phát hoặc bị phân mảnh¶

1. Trường hợp A: Video chưa hoàn thiện sau khi mất hoặc hỏng pin (Tệp tồn tại trên thẻ, hiển thị kích thước nhiều GB, sẽ không phát):
   • Các cụm còn nguyên vẹn trong hệ thống tập tin, chỉ có moov tiêu đề chỉ mục bị thiếu.
   • Sử dụng công cụ mã nguồn mở miễn phí untrunc (cụ thể là anthwlock/untrunc cái nĩa) hoặc recover_mp4 (slydiman). cung cấp untrunc với một tài liệu tham khảo lành mạnh, có thể chơi được .MP4 được ghi lại trên chính xác chiếc máy ảnh đó với cùng độ phân giải và cài đặt tốc độ khung hình, cùng với những lỗi hỏng của bạn .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc đọc các tham số codec (avcC/hvcC và bố cục rãnh âm thanh) từ video tham chiếu đang hoạt động, quét các đơn vị H.264/H.265/HEVC NAL thô trong tệp bị hỏng của bạn và tổng hợp một định dạng hoàn toàn mới moov nguyên tử tính bằng giây.
2. Trường hợp B: Thẻ SD được định dạng có video xen kẽ/phân mảnh (GoPro, DJI, Sony, Canon):
   • Bởi vì bản đồ cụm FAT/exFAT đã bị xóa trong quá trình định dạng, một thợ khắc tiêu chuẩn sẽ lấy ftyp/mdat tiêu đề của video 4K của bạn và sau đó sao chép một cách mù quáng .LRV cụm xem trước và cụm hình thu nhỏ ngay giữa tệp video của bạn, làm hỏng từng giây của cảnh quay.
   • Thay vì thợ khắc tiêu chuẩn, hãy quét sdcard_raw_clone.img sử dụng trình tái tạo video nhận biết phân mảnh nhận dạng nhịp phân bổ cụm dành riêng cho máy ảnh, chẳng hạn như SanDisk RescuePRO Deluxe (bao gồm các thuật toán tập hợp video bị phân mảnh của GoPro/drone cụ thể), Klennet Carver hoặc Disk Drill 5+ (bao gồm trình tái tạo chữ ký video phân mảnh GoPro/DJI chuyên dụng).

Xóa ảnh trên điện thoại thông minh: Thực tế mã hóa phần cứng iOS (iPhone) và Android¶

Một quan niệm sai lầm phổ biến và nguy hiểm là bạn có thể cắm điện thoại thông minh iPhone hoặc Android hiện đại vào máy tính xách tay qua USB và chạy phần mềm khắc đĩa truyền thống (như Recuva hoặc PhotoRec) trên bộ nhớ trong của điện thoại.

Tại sao ngành khắc truyền thống không thể đọc được điện thoại hiện đại¶

Mọi iPhone kể từ iPhone 3GS (và tất cả các thiết bị iOS hiện tại) đều sử dụng Bảo vệ dữ liệu (Mã hóa dựa trên tệp) được hỗ trợ bởi công cụ mã hóa AES phần cứng chuyên dụng giữa bộ lưu trữ flash và bộ nhớ hệ thống chính. Tương tự, mọi thiết bị Android xuất xưởng kể từ Android 7.0+ (và bắt buộc kể từ Android 10) đều sử dụng Mã hóa dựa trên tệp (FBE) được hỗ trợ bởi chip Keystore/Titan M/Knox phần cứng.

Trên cả hai nền tảng, mỗi ảnh và tệp riêng lẻ trên bộ nhớ trong đều được mã hóa bằng khóa mật mã duy nhất cho mỗi tệp. Khi một tập tin bị xóa vĩnh viễn khỏi hệ thống tập tin của điện thoại, điện thoại thậm chí không cần xóa các khối ảnh nhiều megabyte; nó ngay lập tức phá hủy khóa mã hóa 256-bit cho mỗi tệp trong bảng siêu dữ liệu. Nếu không có khóa đó, các khối NAND thô sẽ chứa nhiễu ngẫu nhiên không thể phá vỡ bằng mật mã. Ngay cả các phòng thí nghiệm pháp y cấp cao nhất của chính phủ cũng không thể "khắc" những bức ảnh đã bị xóa vĩnh viễn khỏi bộ nhớ flash bên trong của iPhone hoặc Android hiện đại sau khi khóa mỗi tệp bị xóa.

Đường dẫn khôi phục thực tế cho ảnh đã xóa trên điện thoại thông minh¶

Vì mã hóa phần cứng chặn việc khắc thô nên việc khôi phục ảnh đã xóa khỏi iPhone hoặc Android phụ thuộc vào việc khôi phục các bản sao trước khi hết thời gian lưu giữ hoặc trích xuất cơ sở dữ liệu hình thu nhỏ được lưu trong bộ nhớ đệm:

1. Kiểm tra ngay album "Đã xóa gần đây" trên thiết bị (thời hạn 30 ngày):
   • iOS (iPhone / iPad): Mở Ảnh -> cuộn xuống Tiện ích -> nhấn Đã xóa gần đây (yêu cầu Face ID / Touch ID / Mật mã). Ảnh sẽ ở đây trong 30 ngày trước khi khóa bị hủy vĩnh viễn.
   • Android (Google Photos / Samsung Gallery): Mở Google Photos -> Thư viện / Bộ sưu tập -> Thùng rác / Thùng (được lưu giữ trong 60 ngày nếu được sao lưu, 30 ngày nếu chỉ dành cho thiết bị). Ngoài ra, hãy kiểm tra Samsung Gallery -> Menu (ba dòng) -> Thùng rác (được giữ lại trong 30 ngày) và mở ứng dụng Files by Google hoặc My Files -> Trash, ứng dụng này duy trì một thư mục rác riêng biệt trong 30 ngày.
2. Nếu bạn đã xóa ảnh khỏi "Đã xóa gần đây" trên iPhone, hãy gọi cho bộ phận Hỗ trợ của Apple để yêu cầu Khôi phục phía máy chủ iCloud khẩn cấp:
   • Nhiều người dùng không nhận ra rằng ngay cả sau khi bạn nhấp vào "Xóa khỏi tất cả thiết bị" / "Làm trống gần đây đã xóa" trong Ảnh iCloud, các máy chủ phụ trợ của Apple vẫn giữ lại bộ đệm khôi phục máy chủ đã bị xóa mềm trong một khoảng thời gian ngắn (thường lên đến 7 đến 14 ngày sau khi xóa vĩnh viễn).
   • Hãy liên hệ ngay với Bộ phận hỗ trợ của Apple qua điện thoại hoặc trò chuyện, yêu cầu nói chuyện với Cố vấn cấp cao và yêu cầu họ kích hoạt Khôi phục phía máy chủ của Thư viện ảnh iCloud trên Tài khoản Apple của bạn. Họ có thể thường xuyên chuyển đổi công tắc máy chủ để chuyển Ảnh iCloud đã được xóa gần đây trở lại album của bạn trong vòng 15 phút.
3. Khôi phục từ thiết bị cũ chưa được đồng bộ hóa hoặc bản sao lưu cục bộ được mã hóa:
   • Thủ thuật về Chế độ trên máy bay trên iPad / Mac phụ: Nếu iPhone của bạn đã đồng bộ hóa nội dung xóa với iCloud, hãy lấy iPad hoặc MacBook của bạn trước khi kết nối với Wi-Fi (tắt bộ định tuyến Wi-Fi tại nhà và rút dây nguồn trước nếu iPad đang ngủ trên bàn của bạn). Bật nguồn iPad hoàn toàn cách ly sóng vô tuyến, sao chép ảnh vẫn còn hiện tại qua cáp USB hoặc AirDrop sang thiết bị khác trước khi iPad nhận được lệnh đẩy xóa iCloud.
   • Kiểm tra Sao lưu iCloud so với Ảnh iCloud: Nếu bạn đã Ảnh iCloud TẮT (Settings -> [Your Name] -> iCloud -> Photos -> Off), Thư viện ảnh của bạn sẽ được bao gồm trong Sao lưu thiết bị iCloud hàng đêm của bạn. Bạn có thể xóa iPhone dự phòng cũ (hoặc sao lưu tạm thời và đặt lại iPhone hiện tại của bạn) và khôi phục Bản sao lưu iCloud hàng đêm từ trước thời điểm bạn xóa ảnh.
   • Kiểm tra bản sao lưu Local Finder / iTunes trên PC hoặc Mac của bạn: Kiểm tra ~/Library/Application Support/MobileSync/Backup/ trên macOS hoặc %APPDATA%\Apple Computer\MobileSync\Backup\ trên Windows. Bạn có thể duyệt và trích xuất ảnh từ các bản sao lưu cục bộ cũ mà không cần ghi đè lên điện thoại của mình bằng cách sử dụng iMazing hoặc iBackup Viewer.
4. Kiểm tra bộ nhớ đệm cục bộ của ứng dụng nhắn tin (WhatsApp, iMessage, Telegram, Signal):
   • Bạn đã bao giờ nhắn tin ảnh hoặc video đã xóa cho vợ/chồng, bạn bè hoặc cuộc trò chuyện nhóm gia đình chưa? Ứng dụng nhắn tin lưu trữ các bản sao phương tiện độc lập bên trong hộp cát ứng dụng của riêng chúng (Media/WhatsApp Images/Sent trên Android hoặc bên trong tệp đính kèm trò chuyện trong iMessage). Ngay cả khi bạn xóa ảnh khỏi Thư viện ảnh chính và dọn sạch Thùng rác, bản sao bên trong WhatsApp của bạn sẽ Sent lịch sử thư mục hoặc chuỗi iMessage vẫn hoàn toàn không bị ảnh hưởng.

Khôi phục ổ đĩa đám mây và doanh nghiệp do vô tình xóa (Google Drive, OneDrive, Dropbox)¶

Khi toàn bộ thư mục dùng chung biến mất hoặc bị ghi đè trên ổ đĩa đám mây (hoặc khi ransomware hoặc trục trặc đồng bộ hóa sẽ xóa các tệp cục bộ và đồng bộ hóa thao tác xóa lên đám mây), việc khôi phục đĩa cục bộ thường không cần thiết vì nền tảng đám mây dành cho doanh nghiệp và người tiêu dùng duy trì lịch sử phiên bản nhiều tầng:

1. Microsoft OneDrive & SharePoint Online:
   • Thùng rác giai đoạn đầu (onedrive.live.com): Giữ lại các tệp đã xóa trong 30 ngày trên tài khoản cá nhân và 93 ngày trên tài khoản Cơ quan/Trường học.
   • Thùng rác của tuyển tập trang giai đoạn hai (Cơ quan/Trường học): Ngay cả khi nhân viên hoặc tin tặc dọn sạch Thùng rác OneDrive chính, hãy bấm vào liên kết ở cuối trang Thùng rác có nhãn "Thùng rác giai đoạn hai", trong đó các tệp đã bị xóa vẫn có thể phục hồi được trong thời gian còn lại của 93 ngày.
   • Khôi phục OneDrive của bạn (Phục hồi theo thời điểm): Người đăng ký Microsoft 365 có thể bấm vào Cài đặt (biểu tượng bánh răng) -> Tùy chọn -> Khôi phục OneDrive của bạn, tính năng này sử dụng thanh trượt biểu đồ trực quan để cuộn từng tệp, đổi tên và xóa trên toàn bộ ổ đĩa đám mây về bất kỳ phút chính xác nào trong 30 ngày qua.
2. Google Drive và Google Workspace:
   • Thùng rác của Google Drive (drive.google.com/drive/trash): Giữ lại các tập tin đã xóa trong 30 ngày.
   • Khôi phục sau thùng rác dành cho quản trị viên Google Workspace (Thời gian ân hạn 25 ngày): Ngay cả sau khi người dùng nhấp vào "Xóa vĩnh viễn" và dọn sạch Thùng rác Google Drive của họ, Quản trị viên Google Workspace (hoặc người dùng cá nhân liên hệ với Bộ phận hỗ trợ Google Drive trên tài khoản Google One cá nhân) vẫn có thể mở Bảng điều khiển dành cho quản trị viên của Google (admin.google.com) -> Thư mục -> Người dùng -> [Chọn người dùng] -> Tùy chọn khác -> Khôi phục dữ liệu và khôi phục vĩnh viễn các tệp Google Drive và thư Gmail đã bị xóa sạch trong tối đa 25 ngày nữa sau khi Thùng rác được dọn sạch.
3. Hộp thả xuống:
   • ** Tệp đã xóa (dropbox.com/deleted_files)**: Giữ lại các tệp và thư mục đã xóa trong 30 ngày đối với gói Cơ bản/Plus/Gia đình và 180 ngày đến 1 năm đối với gói Chuyên nghiệp/Doanh nghiệp.
   • ** Tua lại Dropbox (dropbox.com/rewind)**: Cho phép khôi phục toàn bộ thư mục hoặc toàn bộ tài khoản để hoàn tác các thao tác xóa hàng loạt, kéo và thả vô tình hoặc các sự kiện mã hóa.

Câu hỏi thường gặp¶

Đã kiểm tra nguồn¶

• Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST, Hoa Kỳ): Ấn bản Đặc biệt 800-88 Bản sửa đổi 1, Hướng dẫn Vệ sinh Phương tiện (ATA TRIM, NVMe Deallocate và hành vi của Lớp dịch NAND Flash) và Chương trình Kiểm tra Công cụ Pháp y Máy tính (CFTT) Thông số kỹ thuật hình ảnh đĩa (csrc.nist.gov).
• Cơ quan an ninh cơ sở hạ tầng và an ninh mạng (CISA, Hoa Kỳ): Sao lưu dữ liệu, bảo quản pháp y và Nguyên tắc xử lý sự cố (cisa.gov).
• Dự án GNU / Antonio Diaz Diaz (Quốc tế): Hướng dẫn sử dụng GNU ddrescue chính thức: Công cụ khôi phục dữ liệu và thuật toán chặn bản đồ thiết bị (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (Quốc tế): Tài liệu chính thức của TestDisk & PhotoRec: Phục hồi phân vùng và Chữ ký khắc tệp (cgsecurity.org).
• Bảo mật nền tảng Apple (Hoa Kỳ): FileVault, Lớp bảo vệ dữ liệu, Khóa mã hóa mỗi tệp và Kiến trúc trang trí APFS trên Hệ thống Apple Silicon và T2 (support.apple.com/guide/security).
• Dự án mã nguồn mở Android (AOSP, quốc tế): Mã hóa dựa trên tệp (FBE) và Kiến trúc mã hóa siêu dữ liệu (source.android.com/docs/security/features/encryption).
• Hiệp hội SD (Quốc tế): Thông số kỹ thuật SD Phần 1: Thông số kỹ thuật đơn giản hóa lớp vật lý (Xóa lệnh CMD32, CMD33, CMD38 và Công tắc cơ học bảo vệ ghi) (sdcard.org).

Hướng dẫn liên quan¶

• Lỗi ổ cứng và phục hồi dữ liệu
• Sao lưu máy tính: Chiến lược 3-2-1 và khắc phục thảm họa
• Phần mềm tống tiền và phần mềm độc hại
• Điện thoại bị hỏng hoặc vô nước
• Lỗi khởi động hệ thống Linux và sửa chữa GRUB
• Màn hình xanh Windows (BSOD) và sửa chữa khởi động