Cómo eliminar archivos de forma permanente: métodos de borrado seguro

Eliminar un archivo no lo borra realmente. El sistema operativo simplemente marca ese espacio en disco como disponible y sigue adelante — los datos en sí permanecen exactamente donde estaban, esperando a que cualquiera con el software adecuado los encuentre. Para la mayoría de los archivos eso no importa, pero para cualquier cosa sensible, es un problema serio.

Piensa en quién necesita hacer esto bien: periodistas que protegen a sus fuentes, médicos con historiales clínicos, empresas que manejan datos financieros. Si alguna vez vendiste un portátil, devolviste un ordenador de empresa o tiraste un disco duro viejo sin limpiarlo, hay muchas posibilidades de que esos archivos "eliminados" siguieran siendo perfectamente legibles.

Por qué falla la eliminación estándar

Los sistemas operativos optimizan para la velocidad, no para la seguridad. Cuando borras un archivo, el sistema actualiza su tabla de archivos para marcar esos sectores como reutilizables, pero no toca los datos en sí. Es como tachar el título de un libro del catálogo de la biblioteca sin retirar el libro del estante. Cualquiera que sepa dónde mirar puede seguir leyéndolo.

Las herramientas de recuperación explotan exactamente este comportamiento. Programas gratuitos como PhotoRec y TestDisk escanean el espacio en disco "vacío" en busca de patrones de datos y reconstruyen archivos eliminados con tasas de éxito sorprendentemente altas. Las fuerzas del orden y los laboratorios forenses van más lejos, usando microscopía de fuerza magnética para recuperar datos incluso después de intentos básicos de sobreescritura.

El riesgo no se limita a tu dispositivo actual. Cada archivo que creías haber eliminado se va contigo cuando vendes un portátil o devuelves equipos de empresa. El almacenamiento en la nube y los sistemas de copia de seguridad complican aún más las cosas: los archivos sincronizados antes de ser eliminados suelen persistir en el historial de versiones o en las instantáneas de copia de seguridad mucho después de haberlos borrado en local.

Métodos de sobreescritura

La idea central detrás de la eliminación segura es sencilla: sobreescribir los datos con información aleatoria o con patrones predefinidos para que el contenido original sea irrecuperable. Una sola pasada suele ser suficiente en hardware moderno. El NIST actualizó sus directrices en 2014 para confirmar que la sobreescritura en una sola pasada ofrece protección suficiente para las unidades actuales.

Sobreescritura en una sola pasada

En Linux y macOS, shred se encarga de esto limpiamente:

# Sobreescribir el archivo 3 veces con datos aleatorios y luego eliminarlo
shred -vfz -n 3 sensitive_document.pdf

# Una sola pasada para una eliminación más rápida
shred -vfz -n 1 financial_records.xlsx

# Borrar una partición completa (usar con extrema precaución)
sudo shred -vfz -n 1 /dev/sdb1

Los parámetros funcionan así: -v muestra el progreso, -f fuerza los cambios de permisos para permitir la eliminación, -z añade una pasada final de ceros para ocultar que se usó shred, y -n establece el número de pasadas.

Windows tiene el comando integrado cipher, aunque solo borra el espacio libre en lugar de apuntar a archivos concretos:

# Borrar el espacio libre en la unidad C: con 3 pasadas
cipher /w:C:\

# Nota: cipher solo borra espacio libre, no archivos específicos
# Usar junto con SDelete para archivos individuales

Para archivos individuales en Windows, la utilidad SDelete de Sysinternals te da un control más preciso:

# Eliminación segura en una sola pasada
sdelete -p 1 sensitive_data.docx

# Múltiples pasadas con el estándar DoD 5220.22-M
sdelete -p 7 classified_info.pdf

Estándares de múltiples pasadas

Antes de las unidades modernas, existían preocupaciones legítimas sobre residuos magnéticos que sobrevivían a las sobreescrituras, que es de donde surgieron estándares como DoD 5220.22-M (7 pasadas) y el método Gutmann (35 pasadas). Hoy en día esas preocupaciones no aplican al hardware actual, pero ciertos marcos normativos de cumplimiento todavía los exigen.

“There are only two types of companies: those that have been hacked and those that will be.”

— Robert Mueller

El inconveniente es el tiempo. Una sola pasada sobre un disco de 1 TB lleva varias horas. Con 35 pasadas, estamos hablando de días.

Consideraciones según el sistema de almacenamiento

No todos los soportes de almacenamiento son iguales, y la misma técnica que funciona perfectamente en un disco duro tradicional puede quedarse corta en un SSD.

Discos duros mecánicos

Los discos con platos magnéticos son predecibles. Los datos residen en ubicaciones físicas fijas, por lo que la sobreescritura sector a sector funciona exactamente como se espera. Lo principal es asegurarse de cubrir todas las copias: archivos temporales, espacio de intercambio (swap) y los journals del sistema de archivos pueden conservar rastros de datos que creías haber eliminado.

Unidades de estado sólido y almacenamiento flash

Los SSD complican considerablemente las cosas. Los algoritmos de nivelación de desgaste (wear-leveling) distribuyen las escrituras entre las celdas de memoria para prolongar la vida útil de la unidad. Esto significa que cuando sobreescribes un archivo, el SSD puede escribir en una ubicación física completamente distinta y simplemente marcar la antigua como disponible en lugar de borrarla. Las herramientas de sobreescritura estándar no tienen visibilidad sobre esto — no pueden alcanzar de forma fiable los datos originales.

El comando ATA Secure Erase es el enfoque correcto en este caso. Le indica al controlador de la propia unidad que limpie todas las celdas que conoce, incluidos los bloques de reserva que el sistema operativo no puede ver:

# Comprobar si la unidad está bloqueada (la mayoría lo están al arrancar)
sudo hdparm -I /dev/sda | grep frozen

# Si está bloqueada, suspender y reanudar el sistema para desbloquearla
# Luego ejecutar el borrado seguro
sudo hdparm --user-master u --security-set-pass password /dev/sda
sudo hdparm --user-master u --security-erase password /dev/sda

Para unidades NVMe, usa nvme-cli en su lugar:

# Comprobar las capacidades de saneado de la unidad
sudo nvme id-ctrl /dev/nvme0 -H | grep -i sanitize

# Ejecutar borrado criptográfico si está disponible
sudo nvme sanitize /dev/nvme0 -a 0x02

El soporte de TRIM en los SSD sí libera bloques eliminados, pero funciona de forma asíncrona en segundo plano. No cuentes con él para nada que requiera inmediatez.

El cifrado como estrategia de eliminación

El cifrado de disco completo cambia las reglas del juego. Cuando tu disco está cifrado, cada byte del soporte físico es texto cifrado. Eliminar la clave de cifrado hace que todo sea irrecuperable — no importa si los archivos individuales fueron eliminados de forma segura o no. No queda nada útil que recuperar.

Windows, macOS y Linux incluyen opciones sólidas de serie: BitLocker, FileVault y LUKS respectivamente. Para situaciones de alto riesgo, puedes combinar el cifrado de disco completo con la eliminación selectiva de archivos para obtener ambas capas de protección:

# Configuración del cifrado LUKS en Linux
sudo cryptsetup luksFormat /dev/sdb1
sudo cryptsetup luksOpen /dev/sdb1 secure_volume

# Al terminar, cerrar el volumen y eliminar las claves hace los datos irrecuperables
sudo cryptsetup luksClose secure_volume
sudo cryptsetup luksErase /dev/sdb1

Herramientas de cifrado a nivel de archivo como VeraCrypt crean contenedores cifrados que funcionan del mismo modo — elimina de forma segura el archivo de claves y el contenido se vuelve inaccesible:

# Crear un contenedor cifrado
veracrypt -c --volume-type=normal --size=1G --encryption=AES \
  --hash=SHA-512 --filesystem=FAT sensitive_data.vc

# Eliminar de forma segura la clave tras desmontar el volumen
shred -vfz -n 3 sensitive_data.vc

Comparativa de métodos de eliminación