Has perdido la contraseña de BitLocker. O el PIN. O simplemente nunca supiste que ese disco estaba cifrado hasta que ha dejado de dejarte entrar. Es normal que cunda el pánico: BitLocker tiene fama de ser un cifrado muy difícil de romper, y esa fama está bien ganada.
Pero que sea difícil no significa que sea imposible. En un laboratorio de recuperación de datos, un disco con BitLocker y sin contraseña no se trata como un caso cerrado, sino como un caso que hay que diagnosticar. El pronóstico depende de variables muy concretas: el hardware exacto del equipo, la versión de Windows, cómo se configuró el cifrado y qué ha ocurrido con ese disco desde entonces.
Analizamos los cinco escenarios más habituales en los que existe una vía real de acceso a los datos.:
1. El cifrado se quedó a medias
Hay escenarios como una actualización de Windows o un cambio de configuración en los que la protección se suspende temporalmente. BitLocker gestiona el cifrado mediante un concepto llamado protector de clave (key protector). Cuando Windows necesita realizar una operación de mantenimiento —una actualización acumulativa, un cambio de firmware UEFI, una modificación del gestor de arranque—, puede invocar una suspensión temporal de BitLocker (Suspend-BitLocker a nivel de sistema). Durante esa ventana, el volumen queda desbloqueado internamente aunque la interfaz siga mostrando el disco como “cifrado”.
Es uno de los motivos por los que nunca conviene dar un disco por perdido sin que una empresa especializada lo analice primero: lo que a simple vista es una pantalla de bloqueo puede ser, en realidad, un cifrado a medio aplicar.
2. La clave sigue flotando en la memoria del equipo
Cuando un ordenador está encendido y BitLocker ha desbloqueado el disco para que Windows funcione con normalidad, la clave de descifrado tiene que estar en algún sitio accesible para el sistema: la memoria RAM. Si ese equipo se apaga de forma poco convencional, en determinadas circunstancias esa clave puede seguir siendo recuperable durante un margen de tiempo muy breve.
Muchos fabricantes de equipos y departamentos de IT automatizan actualizaciones de BIOS/UEFI o de drivers de disco mediante scripts que suspenden BitLocker antes del proceso y deberían reactivarlo (Resume-BitLocker) al finalizar. Si ese segundo paso falla —por un reinicio inesperado, un corte de electricidad, un fallo del script—, el volumen puede quedar en un estado de suspensión indefinida.
Lo bueno: si tu equipo sigue encendido o en suspensión, todavía hay margen. Lo malo: si ya lo has apagado y ha pasado tiempo, esta vía deja de estar disponible.
3. El disco es un SSD autocifrado
No todo lo que ves como “BitLocker” lo gestiona realmente Windows. Muchos SSD incorporan su propio cifrado de hardware (cifrado autocifrado, o SED), y Windows se limita a confiar en él en lugar de aplicar el suyo. El problema es que, con los años, se han hecho públicos varios casos de fabricantes cuyo cifrado de hardware tenía fallos de implementación que permitían acceder a los datos sin la contraseña real.
Hablamos de discos SED (Self-Encrypting Drive), que implementan el estándar TCG Opal (Trusted Computing Group) para cifrar los datos a nivel de controladora, de forma transparente al sistema operativo. Cuando Windows detecta un SED compatible, BitLocker delega el cifrado en el propio hardware del disco («eDrive» o Hardware-based encryption) en lugar de cifrar por software. Si el disco en cuestión es un modelo de esa época o de fabricantes con vulnerabilidades similares documentadas después, el análisis técnico cambia completamente respecto a un disco que solo depende del cifrado por software de Windows.
Saber qué modelos son susceptibles a este tipo de fallos es de las primeras cosas que comprobamos en un diagnóstico porque puede cambiar por completo el pronóstico de un caso que a primera vista parecía irrecuperable.
4. Existe una copia de la clave en algún rincón que no habías revisado
Este es, con diferencia, el escenario más frecuente y el que más casos resuelve. Windows tiene la costumbre de guardar la clave de recuperación en más sitios de los que se recuerdan: una cuenta Microsoft antigua que ya no se usa, un archivo de texto en un USB que se daba por perdido, una copia en la nube de una empresa donde ya no se trabaja, o un sistema de gestión corporativo que sigue teniendo el registro aunque el empleado ya no esté. No es una vulnerabilidad ni una técnica avanzada: es una búsqueda metódica en todos los lugares posibles. Y es sorprendente cuántos casos “irrecuperables” se resuelven así, sabiendo exactamente dónde mirar.
Dónde suele aparecer:
- Azure AD / Microsoft Entra ID: en el atributo
msFVE-RecoveryInformationdel objeto de dispositivo, consultable por un administrador desde el portal de Entra. - Active Directory on-premise: en el mismo atributo, pero replicado en el controlador de dominio local en vez de en la nube.
- Cuenta Microsoft personal: sincronizado vía el servicio de respaldo de BitLocker asociado a la cuenta, accesible desde
account.microsoft.com/devices/recoverykey. - Microsoft Intune / MDM: en el inventario de cumplimiento del dispositivo, bajo la sección de cifrado.
5. El caso requiere de herramientas avanzadas
Cuando ninguno de los escenarios anteriores aplica de forma directa, todavía queda una última vía: las herramientas especializadas como Elcomsoft Forensic Disk Decryptor o Passware Kit Forensic (el nombre comercial incluye “forensic”, aunque su uso no se limita a peritajes judiciales).
Estas herramientas no “rompen” el cifrado de forma mágica: lo que hacen es identificar debilidades ya conocidas y documentadas, que solo aparecen en ciertas combinaciones de equipo, año de fabricación o configuración. Por eso el resultado nunca se puede prometer de antemano sin analizar primero el disco: cada caso es distinto, y la experiencia para identificar qué debilidad aplica —si es que aplica alguna— es lo que marca la diferencia entre recuperar los datos o no.