Resposta rápida
Não, formatar um disco não apaga os dados — apaga o índice que o sistema operacional usa para encontrá-los, não os dados em si.
- Arquivos deletados, metadados, logs de acesso, registros de USB e o Prefetch do Windows sobrevivem a uma formatação padrão.
- A janela forense se fecha no momento em que uma nova gravação sobrescreve os blocos antigos — depois disso, a recuperação fica pouco confiável rápido.
- A virada: a maioria dos times de TI formata o dispositivo como último passo do desligamento — exatamente quando a evidência ainda existe e está prestes a ser destruída de propósito.
Um colaborador pede demissão. O notebook volta no último dia.
O próximo passo da TI, em quase todo lugar, é sempre o mesmo: formatar, reinstalar a imagem, entregar para a próxima contratação.
Parece responsável. O equipamento é redistribuído, os dados “somem”, o chamado é fechado.
Só que formatar não faz o que a maioria imagina que faz.
E quando alguém pergunta o que aquele notebook realmente fez nos últimos três dias, a resposta já sumiu — não porque nunca existiu, mas porque alguém apagou de propósito, achando que essa era a atitude segura.
O que a formatação realmente apaga
Quando um arquivo é deletado ou um disco é formatado, o sistema operacional remove o ponteiro para aquele arquivo — não o arquivo em si.
É como arrancar o índice de um livro. Os capítulos continuam encadernados ali dentro. Você só perdeu o número das páginas.
Uma análise forense feita antes de uma nova gravação sobrescrever esses blocos consegue recuperar uma parcela surpreendente do que foi “apagado”.
O que fica invisível depois de uma limpeza “completa”
Conteúdo de arquivos deletados
Os bytes continuam no disco até algo sobrescrevê-los. Na maioria dos notebooks corporativos, nada faz isso antes de o equipamento ser redistribuído.
Metadados
Quem criou um arquivo, em qual máquina, quando, e quantas vezes foi aberto — isso viaja junto com o arquivo, separado do conteúdo.
Logs de acesso
Quais pastas foram abertas, quais arquivos foram tocados, em qual horário. É isso que transforma uma suspeita em linha do tempo.
Registro de dispositivos USB
O Windows registra todo drive externo já conectado, com data, hora e identificador de hardware — mesmo depois de o drive físico ter sumido.
Prefetch do Windows
Um registro de todo programa executado na máquina, e a última vez que rodou. Sobrevive a uma formatação padrão por padrão.
| Ação tomada | O que a TI presume | O que realmente sobrevive |
|---|---|---|
| Deletar arquivo, esvaziar a lixeira | O arquivo sumiu | Conteúdo integral, até o bloco ser reutilizado |
| Formatação rápida | Disco limpo | Índice apagado, dados intactos por baixo |
| Reset de fábrica (padrão) | Equipamento “zerado” | Blocos de memória raramente sobrescritos por completo |
| SSD com TRIM ativo | Igual a um HD comum | O drive apaga os blocos liberados em segundo plano — recuperação genuinamente mais difícil |
A única exceção real é um SSD moderno com TRIM ativo: o controlador apaga os blocos liberados de forma proativa, por causa do wear leveling, e a chance de recuperação cai com o tempo. Não é instantâneo, nem garantido — mas é o único caso em que “provavelmente já se apagou sozinho” tem algum respaldo técnico. O resto deste artigo assume que o TRIM ainda não rodou, o que num notebook devolvido no mesmo dia é quase sempre verdade.
O dado não sumiu. Está apenas esperando alguém fazer a pergunta certa antes de ser sobrescrito.
O cenário que se repete
Um colaborador está na última semana. Nos três dias anteriores, ele abre pastas de contratos fora da sua área.
Copia arquivos para um HD externo pessoal. Devolve o notebook, já formatado, no último dia.
Uma perícia — feita antes de qualquer coisa sobrescrever o disco — recupera a lista completa de arquivos acessados, o horário exato de cada acesso, o identificador do dispositivo USB e os nomes dos arquivos copiados.
Isso não é hipótese. Veja como essa análise funciona na prática:
Assista à demonstração completa aqui
Como construir prontidão forense antes de precisar dela
- Congele o equipamento antes de formatar.Acrescente uma etapa de retenção ao desligamento: nenhuma reimagem antes de o disco ser preservado ou clonado.
- Capture o rastro enquanto ele existe.Acesso a arquivos, conexões USB e histórico de execução têm validade medida no próximo ciclo de gravação, não em semanas.
- Separe “redistribuir” de “apagar”.Um notebook pode ser entregue à próxima contratação no dia seguinte e ainda assim ter a evidência anterior preservada em outro lugar.
- Torne a política explícita e documentada.Um hábito informal não se sustenta numa auditoria. Um procedimento de desligamento por escrito, sim.
Um auditor não pergunta se você confia no seu time. Pergunta se você consegue provar o que aconteceu. “Formatamos todo notebook devolvido” é uma política. É também, sem uma etapa forense antes, exatamente o motivo de não sobrar evidência nenhuma para apresentar.
Como a INGITE ajuda
Cloud Digital Forensics Investigation
Preserva e reconstrói o rastro — acesso a arquivos, atividade USB, histórico de execução — antes de um equipamento ser formatado, com uma cadeia de evidência que se sustenta numa investigação.
Cloud EndPoint Security
Controla e registra o uso de USB e a política de endpoint em tempo real, para que a cópia arriscada seguida de devolução nunca aconteça sem ninguém perceber.
Se aquele notebook fosse formatado hoje, você conseguiria provar o que aconteceu nele?
Responda com honestidade, com evidência — não com o que você presume que é verdade.
- O seu checklist de desligamento preserva o equipamento antes da reimagem?
- Você conseguiria listar todo arquivo que um colaborador acessou na última semana?
- Você saberia dizer qual dispositivo USB foi conectado, e quando?
- Se o jurídico pedisse a prova amanhã, você teria, ou estaria formatando ela para longe?
Se a resposta honesta é “estaríamos chutando”, a lacuna não é a integridade do seu time. É a visibilidade que acaba no momento em que a barra de formatação termina.
Formatar um disco rígido realmente apaga todos os dados?
Dá para recuperar arquivos deletados depois de um reset de fábrica?
Que evidências digitais sobrevivem num notebook corporativo depois que um colaborador sai?
Quanto tempo a empresa tem para recuperar evidência antes de perdê-la?
Pare de perder evidência para o seu próprio checklist de desligamento
A Cloud Digital Forensics Investigation preserva o rastro antes da formatação, para que “o que aconteceu naquele notebook” tenha resposta.
Conheça a Cloud Digital Forensics Investigation
Ou comece agora a sua conta e veja funcionando no seu próprio ambiente.