TL;DR
- 외장 하드나 외장 SSD에서 일반 파일 삭제를 진행해도 루트 디렉터리의 숨김 시스템 폴더인
$RECYCLE.BIN내부에는 파일 복구용 인덱스와 사용자 고유 보안 식별자(SID) 폴더가 그대로 남습니다. - 이 폴더 내부의
$I및$R파일 메타데이터를 방치하면 포렌식 도구나 기본 파일 탐색기를 통해 원본 파일명, 삭제 일시, 윈도우 계정 식별자가 노출됩니다. - 관리자 권한 명령 프롬프트(CMD)에서
rd /s /q명령어로 드라이브별 휴지통 폴더 트리를 완전히 날리거나, 드라이브 전체 포맷 및 미할당 공간 덮어쓰기를 병행해야 안전하게 양도할 수 있습니다.
핵심 개념
외장 드라이브에 $RECYCLE.BIN이 생성되는 구조
Windows 운영체제는 내부 드라이브뿐만 아니라 NTFS 또는 exFAT 포맷의 외장 하드 및 외장 SSD가 연결되었을 때, 각 볼륨 루트에 숨김 및 시스템 속성을 가진 $RECYCLE.BIN 폴더를 독립적으로 생성합니다. 사용자가 외장 저장장치 내 파일을 선택하고 '삭제(Delete)' 키를 누르면, 파일이 PC 본체의 휴지통으로 이동하는 것이 아니라 외장 드라이브 내부의 $RECYCLE.BIN\<사용자-SID> 경로로 이동합니다.
사용자 SID(보안 식별자)와 메타데이터의 위험성
휴지통 내부 하위 폴더명은 S-1-5-21-... 형태의 고유 보안 식별자(Security Identifier, SID)로 명명됩니다. 이 식별자는 특정 윈도우 설치 환경과 로그인 계정에 1:1로 대응되는 값입니다. 외장 드라이브를 타인에게 양도했을 때, 상대방이 숨김 파일을 해제하는 것만으로도 이전 소유자의 윈도우 계정 체계와 고유 SID를 확인할 수 있습니다.
더 큰 문제는 윈도우 휴지통의 삭제 파일 처리 방식입니다. 휴지통 내부로 들어간 파일은 두 가지 쌍으로 분리되어 보관됩니다.
- $I 파일: 원본 파일 경로, 파일 크기, 삭제 일시 정보를 기록하는 메타데이터 인덱스 파일
- $R 파일: 파일의 실제 데이터 본문
바탕화면 휴지통 비우기를 누르면 파일 시스템 상에서 가리키는 포인터만 해제될 뿐, $RECYCLE.BIN 디렉터리 내에 기록되었던 메타데이터 흔적과 실제 데이터 블록은 새로운 데이터로 덮어쓰기 전까지 그대로 잔존합니다.
단계별 실행 가이드
외부 서드파티 프로그램 없이 윈도우 표준 환경에서 외장 드라이브 휴지통과 잔여 SID 폴더를 완전히 강제 삭제하는 절차입니다.
1단계: 외장 드라이브 문자 확인 및 백업
- 외장 드라이브를 PC에 연결하고, 파일 탐색기에서 드라이브 문자(예:
E:,F:)를 정확히 확인합니다. - 보존해야 할 파일이 있다면 다른 안전한 저장장치로 미리 백업합니다.
2단계: 관리자 권한 명령 프롬프트(CMD) 실행
- 작업 표시줄 검색창에
cmd를 입력합니다. - 검색 결과의 '명령 프롬프트'를 마우스 우클릭한 뒤 [관리자 권한으로 실행]을 클릭합니다.
3단계: $RECYCLE.BIN 강제 삭제 명령어 실행
관리자 권한 콘솔 창에 아래 명령어를 입력합니다. 여기서 E:는 대상 외장 드라이브 문자로 변경해야 합니다.
rd /s /q E:\$RECYCLE.BIN
rd: 디렉터리 제거(Remove Directory) 명령어입니다./s: 지정된 디렉터리와 그 하위의 모든 파일, 서브폴더(SID 폴더 전체)를 강제로 제거합니다./q: 삭제 확인 메시지를 묻지 않는 조용한 모드(Quiet mode)입니다.
주의: 드라이브 문자를 잘못 입력하면 운영체제 드라이브(C:)나 다른 보조 드라이브의 휴지통이 삭제될 수 있으므로 대상을 반드시 재확인하십시오.
4단계: 삭제 완료 상태 검증
명령어 실행 후 오류 메시지 없이 다음 프롬프트 라인이 출력되면 삭제가 완료된 것입니다. 실제 제거 여부를 확인하려면 아래 명령어를 입력합니다.
dir /a E:\$RECYCLE.BIN
"파일을 찾을 수 없습니다" 또는 "지정된 파일을 찾을 수 없습니다"라는 메시지가 출력되면 잔여 SID 및 $I, $R 인덱스 폴더가 볼륨에서 완전히 내려간 상태입니다. 이후 외장 드라이브를 재연결하거나 새 파일을 삭제하기 전까지 휴지통 폴더는 재생성되지 않습니다.
5단계: 빈 공간 데이터 덮어쓰기 (선택 권장)
메타데이터 폴더 구조를 지운 뒤에도 과거에 기록되었던 실제 데이터 블록이 복구 도구로 검출되는 것을 차단하려면, 윈도우 기본 도구로 빈 공간을 0으로 덮어씁니다.
cipher /w:E:
이 작업은 외장 드라이브의 미사용 여유 공간에 대해 덮어쓰기를 수행하여 과거 휴지통에 머물렀던 파일 본문 데이터를 무력화합니다.
비교/체크리스트
외장 드라이브 파일 정리 방식에 따른 잔여 데이터 비교입니다.
| 처리 방식 | 파일 본문 삭제 여부 | $RECYCLE.BIN 제거 여부 | 사용자 SID 노출 방지 | 단순 복구 툴 대응 |
|---|---|---|---|---|
| 파일 선택 후 Delete 키 | X (휴지통 보관) | X (보존됨) | X (노출) | 완전 복구 가능 |
| Shift + Delete 영구 삭제 | △ (포인터만 해제) | ○ (휴지통 우회) | ○ (신규 기록 없음) | 복구 툴로 본문 검출 가능 |
| 빠른 포맷 (Quick Format) | △ (파티션 테이블만 초기화) | ○ (초기화) | ○ (초기화) | 카빙(Carving) 기법 복구 가능 |
| rd /s /q 명령어 실행 | △ (휴지통 메타데이터 소거) | ○ (완전 소거) | ○ (완전 소거) | SID 및 인덱스 추적 불가 |
| rd 명령어 + cipher /w 병행 | ○ (빈 공간 덮어쓰기) | ○ (완전 소거) | ○ (완전 소거) | 일반 복구 도구 복구 불가 |
실무 사례 또는 예시
소규모 사무실에서 공용으로 사용하던 2TB 외장 하드를 개인 간 거래로 양도한 사례가 있습니다. 양도자는 탐색기에서 폴더를 모두 드래그하여 삭제한 뒤 바탕화면 휴지통 비우기까지 마친 상태로 장치를 전달했습니다.
그러나 장치를 넘겨받은 구매자가 데이터 복구 프로그램을 구동하자, 드라이브 루트의 $RECYCLE.BIN 경로 하위에 남아 있던 두 개의 고유 SID 폴더가 그대로 검출되었습니다. 구매자는 복구 툴을 통해 이전 사용자가 삭제했던 계약서 PDF와 정산 엑셀 파일의 원본 파일명 및 크기를 고스란히 열람할 수 있었습니다.
파일 탐색기에서 파일을 지우는 동작은 볼륨 내부의 휴지통 서브폴더로 파일의 링크를 옮겨 적는 행위에 불과합니다. 따라서 외장 저장장치를 양도할 때는 단순 삭제가 아닌 디렉터리 트리 강제 소거(rd /s /q)나 전체 포맷(느린 포맷) 과정을 거쳐야 메타데이터 흔적을 원천 차단할 수 있습니다.
자주 묻는 질문(FAQ)
Q1. 탐색기에서 숨김 파일 보기를 켰는데도 $RECYCLE.BIN 폴더가 보이지 않는 이유는 무엇인가요?
$RECYCLE.BIN은 일반 '숨김 파일' 속성뿐만 아니라 운영체제 핵심 구성요소에 부여되는 '보호된 운영 체제 파일' 속성을 동시에 가지고 있습니다. 탐색기의 폴더 옵션 보기 탭에서 [보호된 운영 체제 파일 숨기기(권장)] 체크를 해제해야 비로소 회색빛 폴더로 화면에 나타납니다.
Q2. rd 명령어를 실행했더니 '액세스 거부' 오류가 발생합니다. 어떻게 해결하나요?
드라이브 내부의 파일을 사용 중인 프로그램이 있거나 휴지통 프로세스가 잠겨 있을 때 발생합니다. 실행 중인 파일 탐색기 창을 모두 닫고, 열려 있는 문서나 백업 도구를 종료한 뒤 명령 프롬프트를 반드시 '관리자 권한'으로 다시 열어 실행하십시오.
Q3. 외장 SSD에서도 cipher /w 명령어를 사용하는 것이 안전한가요?
SATA 또는 NVMe 외장 SSD의 경우 과도한 다중 덮어쓰기는 플래시 메모리 수명을 불필요하게 소모시킵니다. SSD는 단순 덮어쓰기보다 제조사 관리 툴(Samsung Magician, SanDisk Dashboard 등)의 Secure Erase 또는 Sanitize 기능을 사용하거나, 빠른 포맷 후 볼륨 전체에 TRIM 명령이 내려가도록 처리하는 것이 하드웨어 수명과 보안 측면에서 더 권장됩니다.
용어 설명
- SID (Security Identifier): 윈도우가 사용자 계정, 그룹, 컴퓨터 보안 주체를 식별하기 위해 부여하는 불변의 고유 문자열(예: S-1-5-21-...)입니다.
- $I / $R 파일: 윈도우 휴지통 내부에서 삭제된 파일을 관리하는 구조체입니다.
$I로 시작하는 파일은 원본 경로와 타임스탬프 등 헤더 정보를 담고,$R로 시작하는 파일은 실제 원본 데이터를 담습니다. - 메타데이터(Metadata): 파일의 본문 데이터 자체가 아니라, 파일의 이름, 생성/수정/삭제 시각, 폴더 경로, 접근 권한 등을 설명하는 관리 데이터입니다.
마무리
외장 하드나 외장 SSD를 타인에게 판매하거나 양도할 때는 눈에 보이는 파일뿐만 아니라, 시스템이 자동으로 생성한 $RECYCLE.BIN과 그 내부의 사용자 SID 흔적까지 함께 정리해야 안전합니다. 명령줄 한 줄로 디렉터리 트리를 초기화하고 빈 공간 덮어쓰기를 병행하면 불필요한 개인정보 유출을 방지할 수 있습니다.
데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적 받기로 이어가 보세요.