Jak odzyskać usunięte pliki? Instrukcja krok po kroku

Odzyskiwanie usuniętych plików bywa proste, jeśli działasz od razu, ale może się okazać niemożliwe, gdy minęło zbyt dużo czasu lub nośnik to nowoczesny SSD. Ten artykuł przeprowadzi Cię przez kolejne kroki – od sprawdzenia Kosza po profesjonalne oprogramowanie i decyzję, kiedy warto skontaktować się z laboratorium.

Najważniejsze informacje z tego artykułu:

• Usunięty plik na dysku HDD fizycznie pozostaje na nośniku, dopóki jego miejsce nie zostanie nadpisane przez nowe dane.
• Na dyskach SSD z włączonym TRIM skasowany plik może zostać fizycznie wyzerowany w ciągu minut lub godzin, co sprawia, że odzysk jest bardzo trudny lub niemożliwy.
• Pierwsze co należy zrobić po utracie danych, to zaprzestać używania nośnika, żeby nie nadpisać usuniętych plików.
• Do odzyskiwania plików z dysku, pendrive’a lub karty pamięci można użyć bezpłatnych programów, takich jak Recuva, TestDisk lub PhotoRec.
• Jeśli dysk wydaje niepokojące dźwięki lub nie jest wykrywany, nie należy uruchamiać go samodzielnie – wymagana jest pomoc laboratorium odzyskiwania danych.

Jak odzyskać usunięte pliki krok po kroku?

Zanim uruchomisz jakikolwiek program, zatrzymaj wszelką aktywność na nośniku, z którego chcesz odzyskać dane. Każdy zapis – logowanie do systemu Windows, synchronizacja chmury, indeksowanie plików przez antywirus – może nadpisać dokładnie te sektory, gdzie leżą Twoje skasowane pliki. To ważniejsze niż jakiekolwiek narzędzie, które wybierzesz.

Kroki, które należy wykonać, żeby odzyskać usunięte pliki:

1. Sprawdź Kosz. Jeśli plik usunąłeś skrótem Delete (bez Shift), domyślnie trafia do Kosza. Otwórz Kosz, znajdź plik, kliknij prawym przyciskiem myszy i wybierz Przywróć. To odtwarza plik dokładnie do folderu, z którego go usunąłeś.
2. Sprawdź poprzednie wersje. Na Windows kliknij prawym przyciskiem na folder, w którym był plik, i wybierz Właściwości, a następnie zakładkę Poprzednie wersje. Jeśli usługa Volume Shadow Copy (VSS) była aktywna, zobaczysz migawki z różnych dat. Wybierz odpowiednią wersję i kliknij Przywróć.
3. Sprawdź kopię zapasową. Na Windows sprawdź Historia pliku lub Kopia zapasowa systemu Windows. Na macOS otwórz Time Machine – lokalne migawki APFS mogą zawierać skasowane pliki nawet wtedy, gdy zewnętrzny dysk kopii zapasowej nie był w tym czasie podłączony.
4. Sprawdź chmurę. Jeśli plik był zsynchronizowany z OneDrive, Google Drive, Dropbox lub iCloud, zaloguj się przez przeglądarkę. Te usługi prowadzą wersjonowanie i kosz własny, niezależny od systemowego – starszą wersję można przywrócić nawet po kilku tygodniach od usunięcia.

Wskazówka: Nawet jeśli Kosz jest opróżniony, nie zamykaj systemu i nie instaluj nic nowego. Samo logowanie do Windows uruchamia procesy, które zapisują dane na dysku – im szybciej zaczniesz odzyskiwanie, tym większe szanse na sukces.

Jakich programów do odzyskiwania danych użyć?

Dobór narzędzia zależy od systemu operacyjnego, rodzaju nośnika i tego, ile czasu minęło od usunięcia pliku.

Recuva to dobry punkt startowy dla użytkowników Windows – szybko skanuje nośniki i pokazuje stan odzyskiwalności każdego pliku.

PhotoRec, mimo mylnej nazwy, odzyskuje ponad 400 typów plików, jednak odbywa się to kosztem nazw i struktury katalogów. Dzieje się tak, bo PhotoRec pracuje na sygnaturach plików zapisanych bezpośrednio w danych, a nie na metadanych systemu plików, gdzie przechowywane są nazwy i ścieżki.

TestDisk to bardziej zaawansowane narzędzie – radzi sobie z odbudową tablicy partycji i przywracaniem dostępu do plików przez bezpośrednią analizę struktur NTFS lub ext4.

Dla bardziej skomplikowanych przypadków na Linuksie warto rozważyć ext4magic, który odczytuje dziennik systemu plików ext4 i wydobywa poprzednie wersje inodów skasowanych plików.

Wskazówka: Jeśli odzyskujesz dokumenty Word, arkusze Excel, pliki PST Outlooka lub projekty wideo – sprawdź, czy odzyskany plik rzeczywiście otwiera się poprawnie. Takie pliki mogą wyglądać na całe, ale być logicznie uszkodzone, jeśli nadpisano wewnętrzne bloki indeksów lub tabele danych.

Czy da się odzyskać pliki trwale usunięte bez kopii zapasowej?

Tak, często można odzyskać pliki usunięte trwale, czyli po opróżnieniu Kosza lub przez Shift+Delete – ale tylko wtedy, gdy dane nie zostały nadpisane. Samo opróżnienie Kosza nie usuwa bowiem danych fizycznie z dysku. W systemach plików NTFS i ext4 usunięcie pliku oznacza wyłącznie to, że rekord w strukturze katalogów traci odniesienie do danych, a miejsce zajmowane przez plik jest oznaczane jako dostępne. Fizyczne bity pozostają na nośniku do czasu, gdy system coś tam zapisze.

Inaczej wygląda sytuacja na dyskach SSD. Na SSD z aktywnym TRIM skasowany plik może zostać fizycznie wyzerowany przez mechanizm garbage collection w tle – bez żadnego widocznego zapisu ze strony użytkownika. Kontroler flash traktuje zwolnione bloki jako przeznaczone do wymazania i czyści je, żeby nowe dane mogły być zapisywane szybko. Po zakończeniu tego procesu nie ma już fizycznie nic do odczytu, nawet w profesjonalnym laboratorium.

Na HDD szanse na odzyskanie skasowanego pliku bez kopii zapasowej są realne, jeśli działasz szybko. Na nowoczesnym SSD z TRIM jednak często są bliskie zeru.

Warto też pamiętać o kilku mniej oczywistych źródłach:

• Volume Shadow Copy w Windows – migawki woluminu mogą zawierać poprzednie wersje pliku sprzed usunięcia. Sprawdź przez polecenie vssadmin list shadows w wierszu poleceń, czy migawki istnieją. Uwaga: programy do czyszczenia dysku często usuwają je jako pierwsze – dlatego po utracie danych nie uruchamiaj żadnych narzędzi optymalizacyjnych.
• Lokalne migawki Time Machine na macOS – nawet bez zewnętrznego dysku backup, macOS tworzy lokalne migawki APFS, np. przed aktualizacjami systemu.
• Cache i miniatury komunikatorów – zdjęcia usunięte z Messengera, WhatsAppa czy Telegrama mogą nadal istnieć w folderach cache aplikacji, katalogach miniaturek lub kopiach wysłanych plików.

W NTFS małe pliki (zazwyczaj poniżej około 700 bajtów) mogą być przechowywane bezpośrednio w rekordzie MFT (Master File Table, czyli głównej tablicy plików), a nie w osobnych klastrach danych. Taki plik da się odzyskać bezpośrednio z rekordu MFT, nawet jeśli obszary danych na dysku zostały już częściowo nadpisane.

Jak odzyskać pliki z pendrive’a lub karty pamięci?

Pendrive’y i karty SD traktuj tak samo jak dysk zewnętrzny – odłącz od komputera od razu po zauważeniu problemu. Skanowanie przeprowadzaj programem uruchomionym na komputerze, a nie z samego nośnika.

Proces odzyskiwania:

1. Podłącz nośnik do komputera.
2. Uruchom Recuvę lub PhotoRec i wybierz właściwy nośnik jako źródło skanowania.
3. Przeprowadź głębokie skanowanie (deep scan).
4. Odzyskane pliki zapisz na dysk komputera, nigdy na ten sam pendrive lub kartę SD.

Kontrolery w kartach SD i pendrive’ach wykonują operację wear leveling, czyli równomiernego rozkładania zapisów po komórkach pamięci. Oznacza to, że adres logiczny pliku widoczny dla systemu nie zawsze odpowiada temu samemu fizycznemu miejscu w pamięci NAND. To utrudnia pełne odzyskanie, szczególnie gdy nośnik był intensywnie używany przed utratą danych.

Jeśli nośnik nie jest widoczny w systemie albo pojawia się jako nierozpoznany lub wymagający formatowania – nie formatuj go. Uruchom TestDisk, który potrafi odbudować strukturę partycji bez kasowania zawartości.

Jak odzyskać pliki z telefonu?

Nowoczesne smartfony z Androidem i iOS stosują szyfrowanie całego dysku (FDE – Full Disk Encryption) lub szyfrowanie per plik (FBE – File-Based Encryption), co sprawia, że odzysk usuniętych danych z pamięci wewnętrznej telefonu bez wcześniejszej kopii jest w większości przypadków niemożliwy.

Na iPhonie najlepsza droga to iCloud lub iTunes/Finder – pełna kopia zapasowa pozwala przywrócić telefon do stanu z daty backupu. Podobnie na Androidzie kopia Google One lub kopia producenta (Samsung Cloud, Xiaomi Cloud itd.) jest praktycznie jedyną metodą.

Usunięte dane na telefonach mogą się jednak zachować w nieoczekiwanych miejscach:

• Cache miniaturek – galeria systemowa przechowuje miniatury zdjęć nawet po usunięciu oryginału.
• Bazy danych aplikacji SQLite – komunikatory (SMS, WhatsApp, Messenger) przechowują wiadomości i media w bazach SQLite. Usunięte rekordy pozostają w wolnych stronach bazy danych, dopóki aplikacja ich nie nadpisze. Narzędzia forensic mogą je odczytać, ale wymaga to dostępu do pliku bazy danych, często zarezerwowanego dla roota lub backupu.
• Foldery synchronizacji – pliki zsynchronizowane z Google Drive, Dropbox czy iCloud mogą być dostępne przez panel webowy usługi.

Po factory resecie odzysk jest praktycznie niemożliwy, bo reset usuwa klucze szyfrowania – bez nich surowe dane na chipie to losowy szum.

Co zrobić, żeby nie nadpisać usuniętych plików?

Lista działań, które należy podjąć natychmiast po utracie danych:

• Zatrzymaj wszelki zapis na nośniku – wyłącz synchronizację chmury, antywirusa, programy działające w tle.
• Wyłącz komputer – jeśli nie wiesz, co jest uruchomione, bezpieczniejsze jest wyłączenie maszyny niż jej dalsze działanie.
• Odłącz nośnik zewnętrzny – pendrive, dysk zewnętrzny lub kartę SD natychmiast odłącz od portu.
• Nie instaluj oprogramowania do odzysku na tym samym dysku – pobierz je na inny nośnik i uruchom stamtąd.
• Nie defragmentuj, nie optymalizuj i nie czyść dysku – narzędzia do czyszczenia często usuwają kopie Shadow Volume jako pierwsze.
• Nie otwieraj ani nie uruchamiaj pliku, który ma zastąpić skasowany – nowe dane zajmują te same sektory.

Wskazówka: Jeśli korzystasz z dysku SMR (Shingled Magnetic Recording – technologia nakładkowego zapisu magnetycznego stosowana w pojemnych dyskach HDD), długie pozostawienie dysku pod napięciem po usunięciu pliku bywa ryzykowne – dysk może w tle reorganizować dane wewnętrznie, nawet bez widocznej aktywności ze strony użytkownika.

Kiedy potrzebna jest pomoc specjalisty od odzyskiwania danych?

Są sytuacje, w których samodzielne działanie nie tylko nie pomoże, ale może nieodwracalnie zniszczyć szansę na odzysk.

Skontaktuj się z laboratorium, jeśli:

• Dysk wydaje klikające lub piszczy – to objaw uszkodzenia głowic odczytujących lub silnika. Dalsze uruchamianie może spowodować head crash, czyli uderzenie głowicy w talerz magnetyczny z prędkością 7200 obrotów na minutę.
• Nośnik nie jest wykrywany przez BIOS lub system – problem może leżeć w elektronice dysku lub uszkodzeniu mechaniki.
• System wykrywa nośnik, ale nie można go zamontować – możliwe uszkodzenie struktury partycji lub systemu plików wymagające zaawansowanej naprawy.
• Dysk był zalewany, przypalany lub upuściłeś go – w takich przypadkach interwencja mechaniczna w czystym pomieszczeniu (ISO Class 5, czyli środowisko o kontrolowanej czystości powietrza z maksymalnie 100 cząsteczkami kurzu na stopę sześcienną) jest jedyną drogą.
• Masz macierz RAID i jeden lub więcej dysków padło – kolejność dysków, rozmiar paska i parametry parzystości muszą być odtworzone precyzyjnie. Błędna rekonstrukcja RAID może nadpisać metadane i całkowicie uniemożliwić odzysk.

Profesjonalne laboratoria najpierw tworzą pełen obraz nośnika sektor po sektorze, a dopiero potem pracują na kopii. Do obrazowania używają narzędzi takich jak ddrescue, które, w odróżnieniu od klasycznego polecenia dd, nie blokuje się na pierwszym błędnym sektorze – szybko kopiuje wszystko, co czytelne, a do trudnych miejsc wraca z ograniczoną liczbą prób. Minimalizuje to obciążenie uszkodzonego dysku i zwiększa szansę na odczyt jak największej liczby danych przed całkowitą awarią.

Nie otwieraj dysku samodzielnie. Nawet jednorazowe otwarcie w normalnym środowisku domowym powoduje osadzenie się kurzu na talerzach – przy kolejnym uruchomieniu głowice rysują warstwę magnetyczną i tych śladów nie da się cofnąć żadną metodą.

Czy szyfrowanie dysku wpływa na możliwość odzysku?

Tak i to w sposób, który warto dobrze rozumieć. Jeśli dysk był zaszyfrowany BitLockerem (Windows), FileVaultem (macOS) lub LUKS-em (Linux), odzysk ma sens wyłącznie wtedy, gdy masz dostęp do klucza szyfrowania lub hasła. Bez klucza surowe sektory na nośniku wyglądają jak losowe dane – żaden program nie odczyta z nich czegokolwiek sensownego, niezależnie od stanu fizycznego dysku.

Na macOS z systemem APFS sytuacja ma jeszcze jeden wymiar. APFS używa mechanizmu copy-on-write, co oznacza, że modyfikacja pliku nigdy nie nadpisuje istniejących bloków, lecz tworzy nowe. Starsze bloki mogą być wciąż dostępne przez snapshoty. Gdy jednak żaden snapshot ani żaden klon pliku nie odwołuje się już do danego bloku, system wysyła do SSD polecenie TRIM, które fizycznie kasuje zawartość komórek NAND. Po tym etapie dane są elektrycznie wyzerowane.

Dlatego na zaszyfrowanym dysku z aktywnym TRIM szansa na odzysk bez klucza i bez kopii zapasowej spada praktycznie do zera.

Podsumowanie

Możliwość odzyskania usuniętych plików zależy głównie od rodzaju nośnika i tego, co działo się z nim po skasowaniu danych. Na klasycznym dysku HDD skasowany plik fizycznie pozostaje, dopóki nie zostanie nadpisany – to daje realne okno na odzysk. Na SSD z TRIM to okno może zamknąć się w ciągu minut. Działaj szybko: zatrzymaj wszelki zapis na nośniku, sprawdź Kosz, poprzednie wersje i chmurę, a dopiero potem uruchom program do odzyskiwania danych – Recuvę, PhotoRec lub TestDisk. Jeśli dysk wydaje niepokojące dźwięki lub nie jest wykrywany, nie ryzykuj – oddaj go do laboratorium.

FAQ

Q: Czy można odzyskać pliki z dysku po formatowaniu?

A: Szybkie formatowanie usuwa tylko tablicę plików, dlatego dane nadal leżą na dysku. Głębokie skanowanie PhotoRec lub R-Studio ma szansę je odnaleźć. Pełne formatowanie z nadpisaniem znacznie zmniejsza szanse.

Q: Ile czasu mam na odzyskanie plików po ich usunięciu?

A: Na HDD nie ma stałego limitu – liczy się intensywność zapisu po usunięciu. Na SSD z TRIM okno może wynosić kilka minut lub godzin, zanim garbage collection fizycznie wyczyści bloki.

Q: Czy darmowe programy do odzyskiwania danych są skuteczne?

A: Recuva i PhotoRec sprawdzają się dobrze przy logicznie usuniętych plikach z dysków HDD, pendrive’ów i kart SD. Przy uszkodzeniach fizycznych lub zaawansowanych przypadkach wymagają zastąpienia przez płatne lub specjalistyczne narzędzia.

Q: Czy odzyskane pliki zawsze będą w pełni sprawne?

A: Nie zawsze. Pliki złożone z wielu bloków – bazy danych, archiwa ZIP, pliki PST, projekty wideo – mogą zostać odzyskane jako całe, ale okazać się uszkodzone logicznie, jeśli choćby część bloków została nadpisana.

Q: Co zrobić, gdy Windows nie widzi dysku zewnętrznego po podłączeniu?

A: Sprawdź Zarządzanie dyskami (diskmgmt.msc). Jeśli dysk się pojawia, ale bez litery dysku – przypisz ją ręcznie. Jeśli dysk nie jest widoczny w ogóle, może to oznaczać awarię elektroniki lub mechaniki i wymaga oddania do laboratorium.