Recuperación de datos de CCTV, DVR y NVR en Panamá

¿Qué es la recuperación de datos de CCTV, DVR y NVR?

Un sistema de circuito cerrado de televisión (CCTV) graba lo que ven las cámaras en un equipo central: un DVR (grabador digital, para cámaras analógicas o HD por coaxial) o un NVR (grabador de red, para cámaras IP). Ese equipo escribe el video de forma continua en uno o varios discos duros internos. Recuperar esas grabaciones es el proceso de volver a leer el disco cuando el grabador ya no puede: porque el disco se dañó, porque el sistema de archivos se corrompió, porque alguien lo formateó o porque la secuencia que se busca quedó marcada para sobrescribir.

La parte que sorprende a casi todo el mundo es que el video no está guardado como un archivo de película que se pueda copiar y abrir. El grabador guarda el flujo de las cámaras en su propio formato interno, pensado para escribir muchas horas seguidas sin pausa, y mantiene una tabla de índice que dice qué trozo de disco corresponde a qué cámara y a qué minuto. Cuando esa estructura se rompe, o cuando el disco deja de responder, el material sigue físicamente en los platos, pero hace falta un laboratorio para volver a ensamblarlo.

¿Por qué un PC no puede leer el disco de un DVR?

Es la pregunta que más nos llega, casi siempre después de un intento fallido. Al sacar el disco del grabador y conectarlo a una computadora con Windows, el Administrador de discos lo muestra como "No inicializado" o "No asignado" y ofrece, muy servicial, inicializarlo y formatearlo. La tentación de aceptar es enorme, y es justo el error que vuelve un caso fácil en uno difícil.

La razón es sencilla: Windows, macOS y Linux solo reconocen sistemas de archivos conocidos —NTFS, exFAT, ext4, APFS—. Los grabadores de videovigilancia rara vez usan ninguno de ellos. Para poder escribir varios flujos de cámara a la vez, sin parar, durante semanas, los fabricantes diseñaron sistemas de archivos propios, cerrados y sin documentación pública, optimizados para velocidad de escritura y capacidad, no para que otro equipo los pueda leer. Las herramientas de recuperación que se descargan de internet buscan firmas de NTFS, ext4 o FAT32; al no encontrarlas, declaran el disco vacío aunque contenga gigabytes de video. Ese disco no está vacío: está escrito en un idioma que esos programas no hablan.

DVR, NVR e híbrido: dónde viven las grabaciones

Conviene distinguir los tres equipos, porque cambia dónde está el dato y qué puede fallar:

• DVR. Recibe cámaras analógicas o HD por cable coaxial, digitaliza la señal y la escribe en uno o dos discos internos. Es lo habitual en comercios e instalaciones más antiguas.
• NVR. Recibe cámaras IP por red, ya digitales, y las almacena en disco. Suele admitir más cámaras y mayor resolución, y a veces guarda en varios discos o en una cabina externa.
• Híbrido y videograbador en la nube. Algunos equipos mezclan entradas analógicas e IP; otros suben una copia a la nube. Cuando hay copia remota, la recuperación puede partir de ahí, pero suele ser de menor resolución y con retención corta.

En los tres casos, el material que importa vive en un disco duro, y ese disco es el centro del trabajo de recuperación. Cuando el NVR usa varios discos en un volumen combinado, el caso se parece al de un arreglo NAS o RAID: hay que reconstruir el orden de los discos antes de poder leer el video.

¿Por qué la grabación cíclica corre contra el reloj?

Los grabadores escriben en ciclo, lo que se llama grabación FIFO: cuando el disco se llena, el equipo empieza a borrar la grabación más antigua para hacer sitio a la nueva. Es lo que permite tener "los últimos treinta días" siempre disponibles sin intervención humana. Y es también lo que convierte cada hora en algo valioso cuando se necesita rescatar una secuencia.

El detalle técnico que marca la diferencia es este: cuando el grabador "borra" un tramo viejo, en realidad lo marca como espacio reutilizable, pero los datos siguen en el disco hasta que se escribe encima. Mientras esa zona no se reescriba, el video puede rescatarse. Por eso, ante un incidente —un robo, un accidente, un episodio que hay que conservar—, la medida más útil y la más barata es apagar el grabador de inmediato. Cada minuto que sigue encendido es video nuevo que se escribe sobre el que quizá necesitabas. Este comportamiento de sobrescritura se ha descrito incluso como una característica anti-forense de estos sistemas, porque destruye evidencia sin que nadie lo ordene.

¿Qué NO debes hacer si necesitas recuperar grabaciones?

Casi todos los casos que llegan complicados pasaron antes por uno de estos errores. Vale la pena evitarlos todos:

• No formatees ni inicialices el disco cuando Windows te lo pida: estarías escribiendo sobre las grabaciones.
• No dejes el grabador encendido "grabando por si acaso" si lo que quieres es una secuencia pasada: la grabación cíclica la sobrescribe.
• No reinicies ni reconstruyas el arreglo de discos del NVR desde el menú; una reconstrucción mal hecha puede sellar la pérdida.
• No corras software de recuperación genérico sobre el disco: no entiende el formato del grabador y, si el disco tiene daño físico, lo empeora.
• No abras el disco ni lo golpees si hace clic o zumba; eso es trabajo de sala limpia.
• Apaga, etiqueta y anota marca del grabador, número de cámaras y la franja horaria que buscas; acelera el diagnóstico.

Sistemas de archivos propietarios: Hikvision, Dahua y compañía

El corazón técnico de esta recuperación está aquí. Cada fabricante guarda el video a su manera, y conocer ese formato es lo que separa una recuperación real de un escaneo que no encuentra nada. Hikvision usa un sistema de archivos propio, sin especificación pública, que la comunidad forense ha tenido que documentar por ingeniería inversa. Dahua emplea su propio formato, conocido como DHFS —en sus versiones recientes, DHFS 4.1—, que encapsula el video en segmentos con una cabecera y un pie de bloque característicos.

Lo importante para quien tiene el problema delante es una consecuencia práctica: el sistema de archivos lo define la marca del grabador, no la del disco. Un mismo WD Purple sacado de un NVR Hikvision tiene una disposición de datos completamente distinta que ese mismo modelo dentro de un Dahua. Por eso lo primero que hacemos es identificar el fabricante y la versión del formato; sin ese paso, cualquier herramienta trabaja a ciegas. Estos sistemas, además, no organizan el contenido por nombre de archivo: mantienen tablas de índice internas que asocian marca de tiempo e identificador de cámara a bloques físicos del disco, pensadas para añadir segmentos nuevos a gran velocidad. Reconstruir esa tabla, o saltársela cuando está dañada, es buena parte del oficio.

Carving de video: reconstruir el flujo H.264 y H.265

Cuando la tabla de índice está intact­a, se puede leer el video por su mapa, ordenado y limpio. Cuando no —porque se corrompió, porque el disco tiene zonas ilegibles o porque la secuencia ya fue marcada para sobrescribir—, se recurre al carving: rastrear el disco entero buscando las firmas que delimitan cada fragmento de video. Los segmentos H.264 y H.265 empiezan y terminan con patrones reconocibles, y muchos fabricantes añaden además cabeceras propias; con esas marcas se localizan los trozos de video aunque el índice ya no exista.

El trabajo no termina al encontrar los fragmentos. Hay que volver a ordenarlos en el tiempo, y para eso se interpreta la marca temporal que cada segmento lleva dentro, según la lógica del fabricante, de modo que el video recuperado quede en su secuencia real y asignado a la cámara correcta. Es la parte más minuciosa, porque los fragmentos quedan dispersos por todo el disco. Para dar una idea de hasta dónde llega la técnica: una metodología forense publicada en 2025, probada sobre 27 discos de videovigilancia Hikvision y Dahua, reportó una tasa de recuperación del 91,8% con una precisión temporal del 96,7%. Son cifras de laboratorio, no una promesa para cada caso, pero muestran que un disco que el grabador da por perdido está lejos de serlo.

El disco del grabador: por qué es especial

Dentro del DVR o NVR hay un disco duro SATA de 3,5 pulgadas corriente en apariencia, pero pensado para una tarea exigente: escribir vídeo las veinticuatro horas, todos los días, durante años. Por eso se usan discos de gama videovigilancia —los WD Purple, los Seagate SkyHawk y equivalentes de Toshiba—, con una carga de trabajo (workload) muy por encima de la de un disco de escritorio y con sensores de vibración para convivir con otros discos en la misma caja.

Dos consecuencias prácticas se desprenden de esto. La primera: poner un disco de escritorio en un grabador es pedir un fallo prematuro; el disco no está hecho para esa escritura sostenida y se degrada antes. La segunda, técnica: estos discos deben ser CMR, nunca SMR, porque la grabación por solapamiento del SMR penaliza la escritura continua y complica además la recuperación. Cuando un disco de estos falla físicamente —hace clic, no es detectado, reporta capacidad errónea— el camino es el mismo que el de cualquier disco duro dañado: estabilizarlo en sala limpia y clonarlo antes de tocar el video.

¿Importa la marca del grabador o la del disco?

Importan las dos, pero por motivos distintos, y conviene no confundirlas. La marca del grabador (Hikvision, Dahua, Lorex, Swann, Provision y demás) determina el sistema de archivos: es lo que dicta cómo está organizado el video en el disco. La marca del disco (WD, Seagate, Toshiba) determina cómo se repara el hardware si hay daño físico: qué donante de cabezales sirve, cómo se trata su firmware, qué herramientas se usan. Un caso típico necesita atender ambas capas: primero recuperar la salud del disco como hardware, y después interpretar el formato del grabador que lo escribió.

El video como prueba: cadena de custodia y peritaje

Buena parte de las grabaciones que se recuperan terminan teniendo un valor que va más allá de lo operativo: sirven de prueba en un reclamo, una investigación interna o un proceso judicial. Y ahí el "cómo" se recuperó pesa tanto como el "qué". Para que un video sea admisible hay que poder demostrar que es el mismo material original, que no se alteró, y que su manejo quedó documentado de principio a fin.

Por eso trabajamos siempre sobre una copia y conservamos el disco original intacto, calculamos un hash criptográfico (SHA-256) de cada archivo exportado —una huella que cambia si se modifica un solo bit— y registramos quién accede a la evidencia y cuándo. Preservar los metadatos originales (marca de tiempo de creación, identificador de cámara, hash del archivo) desde el momento de la recepción es lo que sostiene la autenticidad. Cuando el caso lo requiere, este trabajo se articula con nuestro servicio de peritaje informático forense, que produce el informe y la cadena de custodia para uso legal.

Nuestro proceso de recuperación

El método se adapta a si hay daño físico o solo lógico, pero respeta siempre la misma regla: el disco original no se modifica, y el video se reconstruye sobre la imagen, nunca sobre el medio que lo contiene.

1. Recepción y diagnóstico

Identificamos la marca del grabador, el modelo del disco y el sistema de archivos, y revisamos si hay daño físico antes de proponer una vía y un costo.

2. Clonado con bloqueo de escritura

Creamos una imagen sector a sector con bloqueo de escritura; si el disco hace ruidos o no es detectado, lo estabilizamos primero en sala limpia.

3. Identificación del formato del fabricante

Reconocemos el sistema de archivos propietario y localizamos las tablas de índice que mapean tiempo y canal a bloques del disco.

4. Carving y re-secuenciado

Si el índice está dañado, recuperamos los segmentos H.264/H.265 por sus cabeceras y los re-ordenamos por marca de tiempo y cámara.

5. Verificación, hash y entrega

Verificamos los tramos prioritarios, calculamos el hash de cada exportación y entregamos en MP4 reproducible, con informe.

# Trabajo sobre CLON. Disco original sellado, intacto, en custodia.
Grabador:  NVR Dahua (DHFS 4.1)   Disco: WD Purple 4TB (clon ddrescue)
Cobertura recuperable: 2026-05-28 18:00  ->  2026-06-02 07:40

Canal  Cámara          Segmentos   Estado          Export (MP4)
  CH1  Entrada         214         completo         cam1_entrada.mp4
  CH2  Caja            209         completo         cam2_caja.mp4
  CH3  Almacén         186         parcial          cam3_almacen.mp4   # tramo sobrescrito
  CH4  Estacionamiento 0           sin datos        -                  # zona ilegible

# Huella de integridad de cada exportación (cadena de custodia):
SHA-256  cam1_entrada.mp4  9f2c..a1   # verificado OK
SHA-256  cam2_caja.mp4     4b7e..3d   # verificado OK

Ese manifiesto es lo que entregamos junto al video: deja claro qué cámaras y qué franja se recuperaron, qué quedó parcial por sobrescritura y la huella que permite verificar después que el archivo no cambió. Es la diferencia entre "aquí tiene unos videos" y una entrega que se sostiene en una investigación.

¿Se pueden recuperar grabaciones ya sobrescritas?

A veces, en parte. La respuesta honesta es que depende de cuánto haya seguido grabando el equipo. Si una secuencia se marcó para sobrescribir pero su zona del disco todavía no recibió video nuevo, el carving puede rescatarla, completa o a fragmentos. Si en cambio el grabador siguió funcionando días, lo más probable es que esa zona ya esté pisada y solo queden restos. No hay una varita: lo que sí cambia el resultado de forma drástica es el tiempo de reacción. Apagar el grabador en cuanto se sabe que se necesita una grabación es la decisión que más material salva, y no cuesta nada.

¿Cuánto cuesta y cuánto tarda recuperar un DVR o NVR?

El costo y el plazo dependen de dos cosas: si el disco tiene daño físico y de qué fabricante es el grabador. Un disco sano con el sistema de archivos corrupto o formateado es el escenario más rápido, porque todo el trabajo es lógico; un disco que hace clic o no es detectado suma la reparación en sala limpia antes de poder leer el video. Por eso el diagnóstico va primero: hasta evaluar el disco, cualquier cifra sería una adivinanza. Una vez diagnosticado, confirmamos por escrito el alcance y el costo antes de empezar, y para situaciones críticas —una investigación con plazo, un grabador clave caído— la línea de emergencia 24/7 arranca de inmediato con su recargo. No publicamos precios "desde" porque un número sin diagnóstico promete lo que no puede sostener.

Casos frecuentes en empresas panameñas

El patrón se repite. Un comercio que necesita la grabación de un robo y descubre que el grabador llevaba semanas con un disco fallando y casi sin grabar. Una empresa cuyo NVR fue cifrado por ransomware junto con el resto de la red, porque el grabador estaba en la misma red plana y nadie lo trató como un servidor más. Un disco que empezó a dar "error de disco" en pantalla y se siguió usando hasta que dejó de montar. Una grabación clave que se sobrescribió porque el equipo siguió encendido los días que tardó en pedirse. En todos coordinamos la recepción en cualquier punto del país, priorizamos la franja y las cámaras que de verdad importan, y cuando el caso es crítico activamos la emergencia con su recargo. Al entregar, dejamos siempre la recomendación honesta: un grabador no es un archivo seguro por sí solo, y la única forma de no repetir el susto es sacar una copia de las grabaciones críticas fuera de él.

Cómo evitar volver a perder las grabaciones

La recuperación resuelve el problema una vez; la prevención evita que vuelva. Tres medidas concentran casi todo el beneficio. Primero, usar discos de gama videovigilancia (CMR, no SMR) y vigilar su estado con el SMART, porque el disco del grabador es el componente que más trabaja y el primero que falla. Segundo, tratar el NVR como lo que es —un equipo de red— y aislarlo: el grabador es un blanco frecuente del ransomware, y conviene separarlo de la red general. Tercero, y es la garantía real, sacar una copia de las grabaciones que no se pueden perder fuera del propio grabador, en un soporte inmutable o aislado (air-gap) que no se pueda borrar ni cifrar. Un grabador es el primer eslabón, no el archivo definitivo; el respaldo es lo que convierte "teníamos cámaras" en "tenemos la grabación".

Preguntas frecuentes