Recuperación de Información Eliminada u Oculta

Cuando un usuario elimina un archivo, en la mayoría de los sistemas de archivos lo que realmente ocurre es que el espacio que ocupaba se marca como disponible para reescritura, pero el contenido permanece físicamente en el disco hasta que otro dato lo sobrescribe, a veces durante meses. La recuperación forense aprovecha precisamente esa ventana para reconstruir archivos eliminados a partir de espacio no asignado, fragmentos de metadatos residuales o técnicas de talla de archivos que identifican estructuras conocidas de formatos comunes dentro de datos aparentemente aleatorios. La información oculta plantea un reto distinto: técnicas de esteganografía, particiones ocultas o streams de datos alternativos en sistemas NTFS pueden esconder contenido de forma que herramientas convencionales de exploración de archivos ni siquiera lo detecten. En investigaciones de delitos económicos o filtración de datos, encontrar el archivo que alguien intentó eliminar deliberadamente suele ser la pieza que convierte una sospecha en una prueba concluyente.