TL;DR
- 원본 문서 파일을 지우더라도 윈도우에는 저장장치 내 어떤 폴더를 탐색하고 무슨 파일을 열어보았는지 기록하는 '포렌식 아티팩트(Jump List, Shellbags)'가 남습니다.
- 파일 탐색기 설정 변경만으로는 시스템 깊숙이 저장된 포렌식 아티팩트를 완전히 제거할 수 없습니다.
- 레지스트리 키 삭제 및 무료 보안 도구(PrivaZer 등) 활용을 통해 해당 열람 흔적을 깔끔하게 소거할 수 있습니다.
- 매각 전 윈도우 재설치나 초기화를 수행하더라도, 개별 드라이브나 비활성 영역의 이력을 개별 정리해야 하는 상황이 존재합니다.
윈도우 포렌식 아티팩트: Jump List와 Shellbags란?
PC를 매각하기 전 파일을 지워도 윈도우에는 어떤 폴더를 열어봤고 어떤 파일에 접근했는지 보여주는 기록이 남습니다. 이 기록을 Jump List와 Shellbags라 부르며, 디지털 포렌식 분석에서 자주 활용되는 대표적인 시스템 행위 이력입니다. 일반적인 포맷이나 단순 파일 삭제는 데이터 영역의 링크만 끊을 뿐, 윈도우가 사용자 편의를 위해 별도로 기록해 둔 이 이력까지 지우지는 못합니다.
Jump List는 작업 표시줄의 앱 아이콘이나 파일 탐색기에서 최근에 열어본 파일의 이름과 절대 경로를 저장하는 데이터베이스입니다. 원본 파일이 존재하지 않더라도 어떤 이름의 문서나 사진을 어디에 저장하고 열람했는지 그대로 나타납니다.
Shellbags는 사용자가 파일 탐색기로 접근했던 모든 폴더의 위치, 크기, 아이콘 배치, 창 크기 등을 기록하는 레지스트리 항목입니다. USB 메모리나 외장 하드를 연결해 폴더를 열어본 뒤 장치를 제거해도, 해당 외장 드라이브 내 폴더 구조와 이름이 PC 레지스트리에 그대로 남아있게 됩니다.
단계별 실행 가이드: 최근 문서 및 포렌식 아티팩트 소거법
1단계. 윈도우 기본 기능을 통한 최근 항목 및 Jump List 비활성화
윈도우 기본 설정에서 최근 열어본 파일 기록 기능을 끄고 기존 생성된 캐시를 지웁니다.
Windows Key + I를 눌러 설정으로 이동합니다.- 개인 정보 및 보안 > 시작 (또는 개인 설정 > 시작) 항목을 선택합니다.
- '시작 메뉴, 점프 목록 및 파일 탐색기에서 최근에 연 항목 표시' 옵션을 꺼짐(Off)으로 변경합니다.
- 파일 탐색기를 열고 상단 메뉴의
...(자세히 보기) > 옵션을 클릭합니다. - '일반' 탭 하단의 '개인정보 보호' 섹션에서 지우기 버튼을 눌러 탐색기 기록을 삭제합니다.
2단계. 레지스트리 및 Shellbags 데이터 수동 정리
레지스트리에 기록된 Shellbags 정보는 일반 설정 메뉴로 삭제되지 않으므로 직접 경로를 찾아 정리해야 합니다.
Win + R키를 누르고regedit를 입력하여 레지스트리 편집기를 실행합니다.- 다음 경로로 이동합니다.
HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell및HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell - 해당 경로 하위에 있는
Bags키와Baggage키를 마우스 우클릭 후 삭제합니다. - 탐색기 프로세스(
explorer.exe)를 작업 관리자에서 재시작하면 새로운 기본값으로 Shellbags가 재설정됩니다.
3단계. 보안 전용 도구를 활용한 완벽 소거
레지스트리 및 Jump List 바이너리 파일을 수동으로 하나씩 지우는 작업은 번거로울 수 있습니다. 검증된 무료 잔여물 정리 도구를 활용하면 이 과정을 한 번에 처리할 수 있습니다.
- PrivaZer: 윈도우 내 다양한 아티팩트(Jump Lists, Shellbags, Prefetch, USB 접속 이력 등)를 깊이 있게 스캔하여 복구 불가능하게 덮어써 삭제해 주는 무료 보안 도구입니다.
- BleachBit: 캐시, 임시 파일, 레지스트리 잔여 흔적을 일괄 제거해 주는 오픈소스 프로그램으로, 데이터 파기 기능을 제공합니다.
비교/체크리스트
| 구분 | 단순 파일 삭제 | 빠른 포맷 | Jump List / Shellbags 소거 | 윈도우 드라이브 정리 초기화 |
|---|---|---|---|---|
| 원본 파일 본문 | 지워짐 (복구 가능성 있음) | 지워짐 (복구 가능성 있음) | 영향 없음 (이력만 삭제) | 완전 덮어쓰기 (복구 불가) |
| 폴더 탐색 이력 (Shellbags) | 그대로 남음 | 그대로 남음 | 완전 소거됨 | 완전 소거됨 |
| 최근 연 문서 경로 (Jump List) | 그대로 남음 | 그대로 남음 | 완전 소거됨 | 완전 소거됨 |
| 권장 적용 상황 | 단순 정리 | 드라이브 재사용 | 개인 PC 특정 이력만 삭제 | PC 양도 및 중고 매각 |
실무 사례
사무실에서 사용하던 노트북을 중고로 처분하기 전, 중요 업무 폴더만 Shift + Delete로 직접 삭제하고 외장 SSD를 분리한 뒤 양도한 사례가 있었습니다.
구매자가 별도의 고급 포렌식 분석 도구 없이 ShellBags Explorer 같은 무료 탐색 프로그램을 실행했을 뿐인데도, 이전 사용자가 외장 SSD에서 접근했던 '2025_재무제표_최종', '개인자산현황' 같은 폴더 경로와 생성 시점이 그대로 노출되었습니다. 파일 본문은 없었지만 폴더명만으로도 기밀 정보 유출 정황이 확인될 수 있는 상황이었습니다. 이처럼 원본 데이터 삭제와 별개로 운영체제 시스템 기록 삭제 조치가 반드시 병행되어야 합니다.
자주 묻는 질문(FAQ)
Q1. 윈도우를 '모든 항목 제거' 옵션으로 초기화해도 Shellbags 기록이 남나요?
아니요. 윈도우 설정의 '이 PC 초기화 > 모든 항목 제거(드라이브 정리 포함)'를 수행하면 레지스트리와 시스템 파티션 전체가 새로 구성되므로 Jump List와 Shellbags를 포함한 운영체제 아티팩트가 함께 삭제됩니다.
Q2. SSD에서 Shellbags나 Jump List를 지울 때 다중 덮어쓰기(Shredding) 작업이 필요한가요?
아닙니다. 레지스트리와 시스템 작은 파일 이력은 다중 덮어쓰기가 필요한 대상이 아니며, 일반적인 삭제와 레지스트리 정리 이후 SSD의 TRIM 기능이 동작하면 해당 영역의 데이터가 비활성화됩니다.
Q3. Jump List 파일만 따로 저장되는 물리적 경로가 있나요?
네. %AppData%\Microsoft\Windows\Recent\AutomaticDestinations 및 CustomDestinations 폴더에 바이너리 형태(.automaticDestinations-ms)로 저장됩니다. 해당 폴더 내 파일을 직접 삭제하면 Jump List 기록이 초기화됩니다.
용어 설명
- 포렌식 아티팩트 (Forensic Artifacts): 운영체제나 애플리케이션을 사용하는 동안 사용자 활동에 의해 시스템에 자동으로 남겨지는 디지털 흔적(로그, 레지스트리, 캐시 파일 등)입니다.
- Jump List: 윈도우 7 이상부터 도입된 기능으로, 자주 사용하거나 최근에 연 파일 목록을 앱별로 묶어 빠르게 접근하도록 돕는 이력 저장소입니다.
- Shellbags: 사용자가 파일 탐색기에서 방문한 폴더의 뷰 설정과 경로 정보를 저장하는 윈도우 레지스트리 데이터 세트입니다.
마무리
파일을 지우는 것만으로 개인정보 보호 조치가 완결되지 않습니다. 윈도우 시스템 내부에는 사용자의 행동 패턴과 폴더 구조를 증명하는 다양한 아티팩트가 남기 때문입니다. PC를 양도하거나 타인에게 전달하기 전에는 레지스트리와 캐시 기록까지 꼼꼼히 정리하는 습관이 필요합니다.
개인 PC나 사무용 기기를 매각하는 과정에서 데이터 보안 소거 조치가 번거롭거나 확실한 처리가 부담된다면 전문가의 도움을 받는 것이 안전합니다. 데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적 받기를 통해 부담 없이 매각 상담을 이어가 보세요.