12 следов, которые Windows хранит после удаления файла

Удалить файл — не значит удалить след

Когда вы удаляете файл, NTFS лишь помечает его запись в главной таблице файлов (MFT) как свободную и прячет данные из папки; сами секторы хранят старое содержимое, пока их не перезапишут. Эта часть известна большинству. А вот чего почти никто не учитывает — так это окружения: добрый десяток компонентов Windows независимо записали имя файла, его превью и факт открытия, и об удалении им никто не сообщил.

Проводник, поиск, Office и оболочка ведут собственные журналы, оптимизированные под удобство, а не под приватность. Поэтому вопрос после удаления чувствительного документа звучит не «исчез ли файл», а «кто ещё записал его имя».

12 следов: от очевидных до скрытых

Верхний слой виден каждый день. Списки последних документов и списки переходов хранят полные пути ко всем открытым вами файлам в %APPDATA%\Microsoft\Windows\Recent, включая файлы AutomaticDestinations, которые питают контекстные меню панели задач. Кеш эскизов (thumbcache_*.db в %LOCALAPPDATA%\Microsoft\Windows\Explorer) хранит превью картинок и видео задолго после исчезновения оригиналов. Корзина — вообще копия файла, а Shift+Delete сам по себе её не опустошает.

Глубже лежит бухгалтерия: индекс поиска Windows (Windows.edb) хранит имена файлов для быстрого поиска; журнал изменений USN фиксирует каждое создание, переименование и удаление в NTFS; Prefetch (.pf) запоминает имена запущенных программ и тронутых ими файлов; Office и Adobe держат собственные списки последних в реестре; hiberfil.sys и pagefile.sys могут сохранять копии документов, открытых на момент сна или сбоя, и дампы памяти делают то же самое; Восстановление системы и История файлов могут хранить целые предыдущие версии; а OneDrive ещё 30 дней и больше держит «удалённый» файл в облачной корзине.

• Список последних и списки переходов — %APPDATA%\Microsoft\Windows\Recent, полные пути к каждому открытому файлу
• Кеш эскизов — thumbcache_*.db в %LOCALAPPDATA%\Microsoft\Windows\Explorer, превью удалённых изображений
• Индекс поиска — файл Windows.edb хранит проиндексированные имена для мгновенного поиска
• Журнал USN — $Extend\$UsnJrnl:$J, системный журнал NTFS о создании, переименовании и удалении файлов
• Prefetch — %SystemRoot%\Prefetch\*.pf, имена запущенных программ и тронутых ими файлов
• Снимки памяти — hiberfil.sys, pagefile.sys и дампы аварий могут хранить копии открытых документов

Как стереть хвост по-настоящему

Начните с видимого слоя: опустошите корзину, очистите список последних и снимите галочку «Показывать недавно использовавшиеся файлы» в параметрах папки, чтобы список не отстраивался заново. Кеш эскизов, индекс поиска и Prefetch чистятся через «Очистку диска» или страницу «Память» в параметрах без всякого риска — они просто пересоздадутся с небольшой разовой потерей времени. Глубокий слой требует осознанных действий: powercfg /h off удаляет hiberfil.sys, облачную корзину OneDrive придётся опустошать в браузере, а старые точки восстановления — урезать в настройках защиты системы.

Ничего из этого несложно, но проделывать руками каждый раз — мука, поэтому в Kleaner PRO все эти следы собраны в одну категорию приватности, и чистка перед продажей ноутбука занимает минуту, а не вечер. Дело не в паранойе: просто «удалено» и «неотслеживаемо» на Windows — два разных состояния.

Вопросы и ответы

Читайте также