Восстановление удалённых файлов с компьютера¶

Восстановление удалённых файлов — это совокупность программных методов и приёмов, направленных на возврат данных, удалённых с носителя информации (жёсткого диска, твердотельного накопителя, флеш-карты), в случае, когда стандартные средства операционной системы (корзина) не помогают. Метод применим в операционных системах Windows, macOS и Linux и опирается на принцип работы файловых систем и физического хранения данных на носителе.

¶Принцип работы удаления файлов

При удалении файла в операционной системе данные физически не стираются с накопителя сразу. Файловая система (NTFS, FAT32, exFAT, ext4) лишь удаляет запись о файле из таблицы размещения (например, MFT — Master File Table в NTFS) и помечает занимаемые блоки как свободные. Содержимое файла остаётся на диске до тех пор, пока эти блоки не будут перезаписаны новыми данными.

Корзина в Windows и «Корзина» в macOS выполняют роль промежуточного хранилища: удалённые файлы перемещаются туда и могут быть восстановлены в исходное расположение двойным щелчком по файлу или командой «Восстановить». Однако файлы могут не попасть в корзину в ряде случаев:

• при удалении с помощью комбинации клавиш Shift + Delete (в Windows);
• при очистке корзины;
• при превышении объёма корзины (старые файлы удаляются автоматически);
• при удалении с флеш-накопителя или внешнего диска (файлы не перемещаются в корзину);
• при сбое файловой системы или форматировании носителя.

¶Основные методы восстановления

¶Встроенные средства операционной системы

В Windows 10 и Windows 11 существует функция «Файловые истории» (File History), которая регулярно создаёт резервные копии пользовательских папок на внешний накопитель или сетевой ресурс. Для восстановления файла необходимо открыть «Панель управления» → «Файловое историю» → «Восстановление личных файлов» и выбрать нужную версию.

В macOS аналогичная функция — Time Machine. После настройки резервного копирования на внешний диск можно восстановить любой файл, удерживая клавишу Option и открывая «Time Machine» в меню Apple.

В Linux резервное копирование настраивается индивидуально с помощью утилит rsync, Déjà Dup или штатных инструментов дистрибутива.

¶Программы для восстановления данных

Если файлы не были включены в резервную копию, используются специализированные утилиты. Наиболее распространённые из них:

Принцип работы большинства программ сводится к сканированию носителя, поиску «осиротевших» файлов (тех, чьи записи в таблице размещения удалены, но содержимое не перезаписано) и копированию их в другое расположение.

¶Восстановление через командную строку

В Windows при удалении файла с помощью Shift + Delete есть шанс восстановить его через командную строку с помощью утилиты attrib. Запускают cmd от имени администратора и выполняют команду:

attrib -h -r -s /s /d X:\.

где X — буква диска. Эта команда снимает атрибуты «скрытый», «только для чтения» и «системный» со всех файлов на диске. Метод применим, если файл был помечен как скрытый, а не удалён полностью.

¶Правила при восстановлении данных

Главное правило при попытке восстановления — не записывать новые данные на носитель, с которого произошло удаление. Каждая новая запись может перезаписать блоки, содержащие удаляемый файл, что делает его восстановление невозможным.

Рекомендации:

1. Прекратить работу на носителе сразу после обнаружения потери данных.
2. Устанавливать программы восстановления на другой диск.
3. Восстанавливаемые файлы сохранять на другой носитель, не на тот, с которого они восстанавливаются.
4. При восстановлении с SSD учитывать, что функция TRIM автоматически стирает данные удалённых файлов, что резко снижает шансы на успех.

¶Восстановление с SSD

Твердотельные накопители работают иначе, чем жёсткие диски. Команда TRIM, которую отправляет операционная система, немедленно очищает ячейки памяти удалённого файла. В результате восстановление данных с SSD практически невозможно, если только TRIM не был отключён. В Windows состояние TRIM можно проверить командой fsutil behavior query DisableDeleteNotify в командной строке: значение 0 означает, что TRIM включён.

¶Когда обращаться к специалистам

При физическом повреждении носителя (удар, попадание влаги, щелчки жёсткого диска) программные методы неэффективны. В таких случаях требуется обращение в специализированные лаборатории восстановления данных, которые работают в чистых помещениях и используют профессиональное оборудование. Стоимость таких услуг в России начинается от нескольких тысяч рублей и зависит от сложности повреждения и объёма данных.

Источники:

• Техническая документация Microsoft по File History и NTFS
• Руководство пользователя macOS по Time Machine
• Документация проекта TestDisk/PhotoRec (cgsecurity.org)
• Статьи журнала «Хакер» о восстановлении данных