TL;DR
- Windows를 새로 설치하거나 전체 드라이브를 포맷하지 않고도, 휴지통을 비운 뒤 남아 있는 이전 데이터 흔적만 안전하게 영구 소거할 수 있습니다.
- Windows 기본 내장 유틸리티인
cipher.exe의/w스위치를 사용하면 현재 존재하는 파일은 그대로 보존하면서 빈 공간(미할당 영역)만 0x00, 0xFF, 난수로 3회 덮어씁니다. - 파일 크기가 클러스터 배수와 일치하지 않아 생기는 틈새인 '파일 슬랙(File Slack)'의 잔여 데이터도 함께 덮어써 포렌식 복구를 차단합니다.
- 추가 소프트웨어 설치 없이 명령 프롬프트(CMD) 관리자 권한 실행 한 번으로 작업이 가능합니다.
핵심 개념
휴지통 비우기가 데이터를 지우지 못하는 이유
Windows 탐색기에서 파일을 지우고 휴지통을 비워도 파일의 실제 본문(Payload)은 저장장치에 그대로 남아 있습니다. 운영체제(NTFS/FAT32 파일 시스템)는 파일 할당 테이블(MFT)에서 해당 파일의 위치 링크만 '사용 가능(Unallocated, 미할당)'으로 상태를 바꿀 뿐, 블록 단위의 자기장이나 플래시 메모리 셀을 물리적으로 지우지 않습니다. 따라서 데이터 복구 프로그램을 구동하면 미할당 영역의 연속된 섹터를 읽어내 파일을 손쉽게 복원해 냅니다.
파일 슬랙(File Slack)의 위험성
파일 시스템은 데이터를 '클러스터(Cluster, 기본 4KB 단위)'라는 최소 할당 블록으로 관리합니다. 만약 1KB짜리 텍스트 문서를 저장하면 4KB 크기의 클러스터 하나를 통째로 할당받게 되며, 나머지 3KB는 빈 채로 남습니다. 이 사용되지 않는 3KB 공간을 파일 슬랙이라고 부릅니다.
새로운 파일이 이전 파일이 있던 자리에 덮어씌워지더라도, 새 파일의 크기가 이전 데이터보다 작다면 슬랙 영역에 이전 데이터 조각이 고스란히 남아 디지털 포렌식 분석 시 유출될 수 있습니다. 단순한 파일 덮어쓰기만으로는 이러한 틈새 흔적까지 지울 수 없습니다.
Cipher.exe의 구동 원리
Windows 2000 시절부터 기본 탑재된 cipher.exe는 원래 EFS(파일 암호화 시스템) 관리 도구이지만, /w(Wipe) 옵션을 지정하면 디스크의 여유 공간 전체를 안전하게 덮어쓰는 기능을 수행합니다.
- 대상 드라이브의 미할당 영역에 임시 파일을 생성하여 디스크 용량이 0바이트가 될 때까지 0x00(Zero)을 연속 기록한 뒤 제거합니다.
- 동일한 영역에 0xFF를 가득 채우고 다시 제거합니다.
- 마지막으로 난수(Random Number)를 가득 채워 덮어쓴 뒤 임시 파일을 영구 삭제합니다.
이 3단계 과정을 거치면 현재 저장되어 있는 정상 파일에는 아무런 영향을 주지 않으면서, 과거 삭제 흔적과 파일 슬랙 영역만 완전히 덮어써 복구를 원천 차단합니다.
단계별 실행 가이드
1단계: 실행 전 사전 정리
- 휴지통 비우기: 복구 불가능하게 만들고자 하는 개인 문서, 사진, 다운로드 폴더 내 불필요한 파일을 모두 휴지통으로 이동 후 [휴지통 비우기]를 완료합니다.
- 브라우저 캐시 및 임시 파일 정리: 웹 브라우저(Edge, Chrome 등)의 방문 기록, 캐시 파일, Windows 임시 폴더(
%temp%)를 정리하여 미할당 공간으로 전환합니다. - 작업 중인 프로그램 종료: Cipher 작업 중에는 여유 디스크 공간이 0바이트에 도달했다가 복구되므로, 실행 중인 문서 작업이나 프로그램을 모두 저장하고 닫습니다.
2단계: 명령 프롬프트(CMD) 관리자 실행
- Windows 작업 표시줄 검색창에
cmd를 입력합니다. - 검색 결과의 '명령 프롬프트' 우측 메뉴에서 [관리자 권한으로 실행]을 클릭합니다.
3단계: Cipher 명령어 실행
드라이브 전체의 미할당 영역을 소거하거나, 특정 폴더 하위의 슬랙 공간을 타깃으로 지정할 수 있습니다. 일반적으로 드라이브 루트를 지정하는 것이 가장 확실합니다.
- C 드라이브 미할당 공간 전체 소거:
cmd cipher /w:C: - D 드라이브(보조 드라이브) 미할당 공간 소거:
cmd cipher /w:D: - 특정 폴더 경로 하위 여유 공간 소거:
cmd cipher /w:C:\Users\사용자명\Documents
명령어를 입력하고 엔터를 누르면 다음과 같은 진행 표시가 나타납니다.
지울 수 있는 공간을 제거하려면 드라이브의 다른 모든 응용 프로그램을 종료하십시오.
이 작업은 대상 볼륨의 여유 공간 크기에 따라 오랜 시간이 걸릴 수 있습니다.
0x00 쓰는 중: .......................................
0xFF 쓰는 중: .......................................
난수 쓰는 중: .......................................
각 단계가 완료될 때마다 마침표(.)가 늘어나며, 점 하나는 일정 블록의 기록 완료를 의미합니다.
4단계: 완료 확인
세 단계(0x00 -> 0xFF -> 난수)가 모두 끝나면 별도의 재부팅 없이 일반 프롬프트 창으로 복귀합니다. 이 상태가 되면 과거 삭제 파일의 잔여 섹터가 완전히 난수화된 상태입니다.
비교/체크리스트
삭제 방식별 보안 수준 및 데이터 보존 비교
| 구분 | 일반 삭제 (휴지통 비우기) | 빠른 포맷 (Quick Format) | 전체 포맷 (Full Format) | Cipher (/w 옵션) | 드라이브 전체 초기화 |
|---|---|---|---|---|---|
| 기존 OS/프로그램 유지 | O | X (전체 초기화) | X (전체 초기화) | O (완벽 유지) | X (운영체제 재설치) |
| 정상 파일 보존 여부 | 보존됨 | 보존 안 됨 | 보존 안 됨 | 보존됨 | 보존 안 됨 |
| 미할당 영역 덮어쓰기 | 없음 (MFT만 갱신) | 없음 | O (1회 0 덮어쓰기) | O (3회 정밀 덮어쓰기) | O (정리 옵션 선택 시) |
| 소프트웨어 복구 차단 | 취약 (즉시 복구 가능) | 취약 (대부분 복구 가능) | 안전 (단일 드라이브 기준) | 매우 안전 | 안전 |
| 외부 툴 설치 필요 여부 | 불필요 | 불필요 | 불필요 | 불필요 (Windows 기본) | 불필요 |
실무 사례 또는 예시
사무실에서 공용 업무용으로 사용하던 조립 PC를 신규 입사자나 타 부서 인원에게 인계할 때 주로 발생합니다. 업무 특화 프로그램(ERP 클라이언트, 세무 회계 프로그램, 복합기 스캔 드라이버 등)의 세팅 환경이 복잡하여 OS 재설치를 할 수 없는 상황이었습니다.
이전 담당자는 본인의 개인 문서, 급여 명세서 엑셀 파일, 브라우저 다운로드 기록을 삭제하고 휴지통을 비웠습니다. 하지만 시중의 무료 파일 복구 도구를 시험 구동해 본 결과, 방금 지운 엑셀 파일과 주민등록증 스캔본이 원본 그대로 복구 목록에 노출되었습니다.
담당자는 곧바로 관리자 권한 명령 프롬프트를 열고 cipher /w:C:를 실행했습니다. 500GB SSD에서 약 180GB의 여유 공간을 덮어쓰는 데 약 35분이 소요되었으며, 소거 완료 후 동일 복구 프로그램을 재실행했을 때 이전에 탐지되던 문서 파일들이 모두 손상(Corrupted) 처리되거나 목록에서 완전히 사라진 것을 확인하고 안전하게 기기를 인계할 수 있었습니다.
자주 묻는 질문(FAQ)
Q1. SSD에서 Cipher 명령어를 실행하면 수명이 크게 줄어드나요?
드라이브 여유 공간의 약 3배 용량을 연속 쓰기(Write)하므로 소폭의 쓰기 수명(TBW) 소모는 발생하지만 일반적인 수준에서는 안전합니다. 예를 들어 여유 공간이 100GB라면 약 300GB 쓰기 작업이 발생합니다. 최신 NVMe/SATA SSD의 TBW는 수백 TB에 달하므로 기기 양도나 반납 전 1~2회 수행하는 것으로 인한 수명 저하는 무시할 수 있는 수준입니다.
Q2. Cipher 실행 도중 디스크 용량이 꽉 찼다는 경고가 뜹니다. 오류인가요?
정상적인 구동 과정입니다. Cipher는 빈 공간 전체를 0과 1로 빈틈없이 채우기 위해 거대한 임시 파일을 디스크 끝까지 생성합니다. 이 과정에서 Windows 알림 센터에 '디스크 공간 부족' 경고가 발생할 수 있습니다. 작업이 정상 종료되면 해당 임시 파일이 자동으로 소거되며 원래의 여유 공간이 즉시 확보됩니다.
Q3. 명령 실행 중 컴퓨터가 꺼지거나 강제로 중단하면 어떻게 되나요?
기존 시스템 파일이나 데이터가 손상되지는 않지만, 작업 중 생성된 임시 파일이 삭제되지 않아 디스크 여유 공간이 줄어든 채로 남을 수 있습니다. 만약 작업이 강제 중단되어 용량이 복구되지 않는다면, 드라이브 루트(예: C:\)에 생성된 임의의 이름(예: EFSTMPWP)을 가진 숨김 임시 폴더를 수동으로 삭제하거나 Cipher 명령을 다시 끝까지 실행하면 정상 공간으로 복원됩니다.
용어 설명
- 파일 슬랙(File Slack): 파일 시스템의 물리적 할당 단위인 클러스터와 실제 파일의 크기 차이로 인해 발생하는 미사용 기록 영역. 이전 데이터 파편이 남아 포렌식 복구 대상이 되기 쉽습니다.
- 미할당 영역(Unallocated Space): 드라이브 내에서 파티션 내 어떤 파일에도 연결되어 있지 않아 새로운 데이터를 기록할 수 있도록 개방된 여유 디스크 공간입니다.
- EFS(Encrypting File System): Windows NTFS 파일 시스템 수준에서 지원하는 기본 파일 암호화 기능으로, cipher.exe는 본래 이 EFS 인증서와 암호화 상태를 관리하는 CLI 도구입니다.
마무리
Windows를 포맷하지 않고도 과거의 삭제 파일 흔적을 완전히 없애는 작업은 어렵지 않습니다. 복잡한 유료 보안 삭제 프로그램을 찾을 필요 없이 운영체제에 내장된 cipher /w 명령어 하나면 파일 슬랙부터 대용량 미할당 영역까지 안전한 3단계 덮어쓰기가 가능합니다. 타인에게 기기를 인계하기 전, 세팅은 그대로 두고 개인정보만 확실하게 비워내 보시기 바랍니다.
데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적 받기로 이어가 보세요.