Format został zakończony, system wygląda na pusty, a w głowie pojawia się jedno pytanie: jak odzyskać dane po formacie, zanim zostaną nadpisane. W takiej sytuacji liczy się nie szybkość klikania, tylko właściwa kolejność działań. Jeden nieprzemyślany zapis na nośniku potrafi zamienić prosty przypadek logiczny w znacznie trudniejsze, a czasem nieodwracalne uszkodzenie danych.
Najważniejsza informacja jest prosta: format nie zawsze oznacza fizyczne usunięcie plików. Bardzo często system usuwa przede wszystkim informacje o strukturze danych – wpisy w systemie plików, tablice alokacji, rekordy katalogów – a same pliki przez pewien czas nadal pozostają na nośniku. To właśnie dlatego odzysk po formacie bywa możliwy. Problem zaczyna się wtedy, gdy nośnik dalej pracuje, instalowany jest system, kopiowane są nowe pliki albo uruchamiają się procesy automatycznego zapisu.
Jak odzyskać dane po formacie – od czego to zależy
Nie każdy format wygląda tak samo. Dla skuteczności odzysku kluczowe znaczenie ma rodzaj nośnika, typ formatu oraz to, co wydarzyło się po nim. Szybki format zwykle usuwa informacje logiczne o plikach, ale nie czyści całej zawartości sektor po sektorze. Pełny format może być znacznie bardziej problematyczny, szczególnie w nowszych systemach, gdzie dochodzi do nadpisania części obszarów i sprawdzania nośnika.
Duże znaczenie ma też sam nośnik. Na klasycznych dyskach HDD odzysk po formacie bywa częsty, o ile dane nie zostały nadpisane. Na dyskach SSD i NVMe sytuacja jest bardziej złożona przez mechanizmy TRIM i garbage collection. Po formacie i dalszej pracy systemu komórki pamięci mogą zostać oczyszczone w tle, co radykalnie ogranicza możliwość odzysku. Dlatego ten sam błąd użytkownika na HDD i SSD może dawać zupełnie inne rokowania.
Istotny jest również system plików. Inaczej pracuje się z NTFS, inaczej z exFAT, FAT32, APFS czy ext4. W praktyce nie chodzi tylko o sam format, ale o to, jakie metadane zostały utracone i czy da się odbudować strukturę katalogów, nazwy plików oraz spójność danych. W prostszych przypadkach odzyskuje się pełne drzewo folderów. W trudniejszych odzysk odbywa się sygnaturowo, czyli po rozpoznawaniu typów plików, bez oryginalnych nazw.
Czego nie robić po formacie
Pierwsza zasada brzmi: natychmiast przerwać pracę na nośniku. Nie instalować programów do odzysku na tym samym dysku, nie zapisywać na nim kopii, nie tworzyć nowych folderów i nie uruchamiać napraw systemowych. Nawet pozornie niewinne działania potrafią nadpisać sektory, w których znajdują się jeszcze utracone dane.
Druga sprawa to unikanie przypadkowych prób naprawy, jeśli nośnik wykazuje objawy uszkodzenia fizycznego. Jeżeli dysk stuka, znika z BIOS-u, ma niestabilne zasilanie, zawiesza komputer albo zgłasza błędy odczytu, problem nie jest już wyłącznie logiczny. Wtedy samodzielne skanowanie może pogorszyć stan powierzchni, głowic lub firmware’u.
Trzecia kwestia dotyczy telefonów, tabletów i nowoczesnych SSD. Tu intuicja użytkownika często podpowiada, żeby działać szybko i testować kolejne aplikacje. To zwykle zły kierunek. Szyfrowanie, TRIM i mechanizmy bezpieczeństwa sprawiają, że liczba nieudanych prób ma realne znaczenie dla końcowego wyniku.
Kiedy odzysk po formacie jest realny
Najlepszy scenariusz to szybki format, brak dalszego zapisu i sprawny technicznie nośnik. W takiej sytuacji często można odzyskać znaczną część danych, czasem niemal komplet. Dotyczy to zwłaszcza HDD, kart pamięci i pendrive’ów, choć w tych dwóch ostatnich przypadkach wszystko zależy jeszcze od jakości kontrolera i stanu pamięci NAND.
Sytuacja jest gorsza, gdy po formacie zainstalowano system operacyjny, skopiowano nowe pliki albo rozpoczęto pracę na urządzeniu. Wtedy odzysk nadal może być możliwy, ale zwykle częściowy. Część katalogów zostaje nadpisana, część plików traci fragmenty, a część odzyskuje się bez nazw i oryginalnej struktury.
Najtrudniejsze przypadki dotyczą SSD po formacie i aktywnym TRIM, a także urządzeń mobilnych z szyfrowaniem. Tu odpowiedź na pytanie jak odzyskać dane po formacie często brzmi: to zależy od tego, czy dane logicznie zniknęły, czy zostały już fizycznie wyczyszczone przez kontroler. Bez specjalistycznej diagnostyki nie da się tego uczciwie ocenić.
Samodzielne odzyskiwanie czy laboratorium
Jeżeli nośnik jest sprawny, nie wydaje niepokojących dźwięków, jest poprawnie wykrywany i chodzi o prosty przypadek logiczny, można rozważyć ostrożne działania we własnym zakresie. Warunek jest jeden – praca wyłącznie na kopii sektorowej albo obrazie nośnika. Profesjonalne podejście zaczyna się od zabezpieczenia źródła, a nie od skanowania oryginału do skutku.
W praktyce wiele osób robi odwrotnie. Uruchamia kilka programów, każdy z nich skanuje cały dysk, komputer się zawiesza, a stan nośnika się pogarsza. To częsty scenariusz przy dyskach z błędami odczytu, niestabilnych pendrive’ach i kartach pamięci po nagłym odłączeniu zasilania.
Laboratorium jest właściwym wyborem wtedy, gdy nośnik ma uszkodzenie mechaniczne, elektroniczne albo firmware’owe, gdy dane są biznesowo istotne albo gdy wcześniejsze próby już się nie powiodły. W takich przypadkach kluczowe są narzędzia klasy serwisowej, doświadczenie w pracy na kopiach oraz możliwość wejścia na poziom niższy niż standardowy system operacyjny. Dotyczy to między innymi dysków HDD i SSD, macierzy RAID, nośników NVMe czy urządzeń mobilnych.
Jak wygląda profesjonalny proces odzysku danych po formacie
Proces zaczyna się od diagnozy. Trzeba ustalić, czy problem jest wyłącznie logiczny, czy pod nim kryje się jeszcze uszkodzenie elektroniki, firmware’u lub samego nośnika. To etap, na którym odróżnia się przypadki rokujące bardzo dobrze od tych, gdzie każda kolejna próba może obniżyć szansę odzysku.
Następnie wykonuje się kopię sektorową albo pozyskuje dane w sposób kontrolowany, z pominięciem niestabilnych obszarów i z ograniczeniem obciążenia nośnika. Dopiero na kopii prowadzi się analizę systemu plików, rekonstrukcję struktury katalogów i odzysk plików użytkownika. Jeżeli metadane są mocno uszkodzone, stosuje się odzysk sygnaturowy, czyli identyfikację typów plików po nagłówkach i charakterystycznych strukturach.
W bardziej złożonych przypadkach dochodzi jeszcze praca z firmware’em, translacją adresów, uszkodzonym kontrolerem albo pamięcią NAND odczytywaną bezpośrednio. To już obszar, w którym znaczenie mają konkretne platformy sprzętowe i procedury laboratoryjne. Dla klienta najważniejsze jest jednak coś prostszego: bezpieczeństwo nośnika i realna ocena szans, bez obietnic składanych w ciemno.
Najczęstsze sytuacje po formacie
Bardzo częsty przypadek to sformatowanie niewłaściwej partycji podczas instalacji systemu. Użytkownik widzi pusty dysk, ale fizycznie większość danych nadal może tam być. Jeżeli instalacja nie poszła dalej lub została szybko przerwana, rokowania są zwykle dobre.
Drugi scenariusz to komunikat systemu z prośbą o sformatowanie pendrive’a lub karty pamięci. Tu problem często nie kończy się na logice. Zdarza się uszkodzenie systemu plików, kontrolera albo samej pamięci. Sam format potrafi wtedy tylko zamaskować głębszą awarię, a odzysk wymaga bardziej zaawansowanej diagnostyki.
Trzeci przykład dotyczy firmowych dysków z dokumentacją, bazami, projektami lub zdjęciami. Po szybkim formacie użytkownik nierzadko zaczyna odtwarzać środowisko pracy, instalować aplikacje i zapisywać nowe dane. Z punktu widzenia odzysku to najgorszy możliwy odruch, bo każda minuta pracy zwiększa ryzyko nadpisania najbardziej wartościowych plików.
Czy da się odzyskać wszystko
Nie zawsze. Uczciwa odpowiedź brzmi: to zależy od stopnia nadpisania, typu nośnika i technologii, która nim zarządza. Na HDD po szybkim formacie i bez dalszego zapisu szanse bywają bardzo wysokie. Na SSD po formacie i aktywnym TRIM mogą spaść gwałtownie, nawet jeśli od strony użytkownika wszystko wygląda podobnie.
Trzeba też pamiętać, że odzysk kompletny i odzysk użyteczny to nie zawsze to samo. Czasem da się przywrócić najważniejsze dokumenty, zdjęcia i archiwa, ale część mniej istotnych danych będzie uszkodzona albo niekompletna. W środowiskach firmowych liczy się wtedy nie procent odzyskanych sektorów, tylko to, czy wracają pliki operacyjnie krytyczne.
Jeżeli utrata danych nastąpiła po formacie, najlepszą decyzją jest przerwanie pracy na nośniku i chłodna ocena sytuacji. Im mniej przypadkowych działań po błędzie, tym większa szansa na skuteczny odzysk. A gdy danych nie da się odtworzyć drugi raz, warto od razu potraktować nośnik jak materiał dowodowy, nie jak pole do eksperymentów.
3. miejsce na świecie — ACE Lab Greatest Data Recovery Case Contest 2023
Sprzęt: PC-3000 UDMA/Express/Portable, PC-3000 Flash, MRT, VNR, Flash Extractor
