Восстановление удаленных файлов в целом выполняется так же, как и восстановление любых данных. Однако, возможность восстановления удаленных файлов зависит от файловой системы, типа устройства, операционной системы и ее активности.
Реально перезаписанные данные не могут быть восстановлены никакими современными средствами. Для современных жестких дисков нет технологий восстановления данных в том числе после однократной перезаписи. Однако, насколько быстро данные будут перезаписаные после удаления, зависит от активности ОС и конкретного случая. На современных ОС удаленные файлы на системном диске могут быть перезаписаны в течение нескольких секунд. Если необходимо предотвратить перезапись случайно удаленных данных, имеет смысл немедленно отключить питание ПК вместо использования штатной процедуры отключения.
Другим препятствием для восстановления удаленных данных (в том числе путем форматирования диска) является технология trim, используемая на дисках SSD (а также на современных SMR HDD-дисках), которая помечает удаленные блоки как пустые, поэтому эти блоки не читаются. Теоретически можно считать банки памяти напрямую с помощью специального оборудования, однако, ротация блоков, а также другие преобразования данных на SSD-дисках не позволяют надежно восстановить такие данные (тем не менее некоторые случайные фрагменты данных все еще можно найти).
В любом случае стоит попробовать восстановление данных, так как нельзя точно сказать, успели ли перезаписаться удаленные данные. За восстановлением ценных данных также стоит обратиться к специалистам со специальным оборудованием и знаниями.
В отличие от восстановления по сигнатурам ("Raw"), восстановление по файловой системе позволяет восстановить файлы с их исходными именами и путями, а также с учетом фрагментации (см. Полное сканирование).
Однако, если данные потеряны вследствие именно удаления, то возможность восстановления по ФС значительно зависит от типа ФС. Некоторые файловые системы сразу уничтожают прежние структуры, а другие только отмечают файлы как удаленные, и они остаются доступны до момента перезаписи. Файловые системы также могут иметь журнал, однако, журнал содержит лишь небольшой объем последних операций. Восстановление по сигнатурам остается как последняя возможность.
| Файловая система | Доступность по ФС | Особенности при удалении |
| NTFS | высокая | Размер больших файлов (>2ГБ) может обнуляться драйвером NTFS в Windows |
| ReFS, APFS, btrfs | высокая | Стратегия "copy-on-write" оставляет старые структуры на диске, пока они не будут перезаписаны (если не действует trim) |
| FAT, ExFAT | средняя | Известен только адрес первого фрагмента файла, в FAT32 может частично затираться и адрес первого фрагмента, нет журнала |
| HFS+/X, Ext3/4 | низкая | в ФС Ext могут оставаться имена, но информация о местоположении файла на диске уничтожается |
При полном форматировании в ОС Windows, начиная с версии Windows Vista, производится перезапись раздела нулями. Возможно восстановление только данных, не попавших под перезапись (например, форматирование было прервано, ранее был другой размер раздела, др.).
Быстрое форматирование обычно приводит лишь к некоторой потере исходной структуры ФС, некоторых файлов. Однако, исходная фрагментация структур ФС, изменение параметров форматирования, наличие мусора и вкраплений других ФС (например, из образов дисков) могут существенно ухудшить результат реконструкции исходной ФС.
При форматировании FAT/exFAT очищаются таблицы кластеров, содержащие информацию для восставновления фрагментированных файлов.
При потере стоит поискать предыдущие версии файлов или временные копии, а также копии на других дисках.
При использовании точек восстановления Windows ОС может сохранять предыдущие версии файлов. Щелкните правой кнопкой мыши файл/каталог и проверьте в свойствах указание на предыдущие версии, доступные для восстановления.