- 完全に削除したファイルでも、データの痕跡が残っていれば復元できる可能性はあります。
- ただし、データを0で上書きしてあれば、現実的な復元は極めて困難です。
- また、BitLocker暗号化を使えば、残るデータは復号キーなしでは読み取れません。
後からファイルを復元できるのは、ファイルシステムの仕組みを知らずに削除したつもりになっていた場合ということです。
1. 完全に削除されたファイルが復元できる？
たまに刑事ドラマなどで「削除されたファイルが復元できた」という話があります。
パソコン内のファイルを削除しただけならある程度復元できるのは理解できるのですが、データをすべて 0 で上書きするような、完全に消去した場合でも復元できる可能性はありますか？
パソコンのデータを全て 0で上書きすれば、データを復元するのは現実的には困難です。
理論的には微細な磁気痕跡が残る可能性が指摘されていますが、実際にそこからデータを復元できたという事例は確認されていません。
高度な技術を持つ専門機関では、消去されたデータの一部を復元できる場合もありますが、完全に上書きされたデータや、暗号化されたデータの復元は極めて困難です。
ドラマに出てくる「ハッカー」は、スーパーマンみたいなものなんだね。
1-1. ファイルの「論理削除」とは？
そもそも、「ゴミ箱」からも削除したファイルが復元できるのはどうしてなの？
パソコンでファイルを削除しても、実はすぐにデータが消えるわけではありません。
ファイルを「削除」したとき、ファイルシステムでは「このスペースは新しいデータを書き込んでもよい場所」という目印（フラグ）をつけるだけです。
これを「論理削除」といいます。
通常、ファイルを削除するのはドライブの空き容量を増やすためで、データ自体をHDDやSSDから消す必要がないからです。
ファイルを消すために毎回、無効なデータを書き込むのは時間がかかってしまうのです。
ファイルがシステム上は表示されなくても、実際のデータがまだ残っているため、ドライブ全体をスキャンして、データの痕跡を見つければファイルを復元できます。
とはいえ、そもそもハードディスクが物理的に破壊されていたり、強力な磁場をかけてデータを壊れたりした場合には、ドライブをスキャンできないため復元は困難です。
1-2. メタデータカービング
データの痕跡って？
ドライブ内には、ファイルには本体の他に、ファイルの作成日時やサイズなどの「メタデータ」が記録されています。
また、ファイル形式を示す特徴的なバイトパターンなどの「ファイルシグネチャ」も残されています。
このようなドライブに残されたデータの痕跡を探し出して、ファイルを復元方法を「メタデータカービング」といいます。
- ディスク全体をスキャンしてメタデータの断片を探す
- 見つかった断片から、元のファイル構造を推測する
- バラバラになったデータの断片を正しい順序で並べ直す
ただし、そのスペースに新しいデータが書き込まれてしまうと、元のデータは本当の意味で失われ、復元は難しくなります。
2. Windows 11のデータ消去機能
Windows 11の基本的なデータ消去機能は、「このPCを初期状態に戻す」です。
「すべて削除する」から「ドライブのクリーニング」を実行すると、ファイルの復元は難しくなります。
ただし、Windows 11のデータ消去機能は、データの上書きを行いますが、完全な0クリアを保証するものではありません。
![[Windows] 処分するためにパソコンのデータを抹消する](https://chiilabo.com/wp-content/uploads/2024/04/image-18-3-320x198.jpg)
2-1. DISKPART> clean all でゼロクリア
コマンドプロンプトから「diskpart1」というツールを使って、外付けハードドライブなどのデータを消去する方法もあります。
diskpart
DISKPART> select disk 1
DISKPART> clean alldiskpartには、cleanコマンドがあります。
通常は、ディスクの構造情報を削除するだけで、データ自体を0で上書きするわけではありません。
しかし、clean all コマンドなら、時間はかかりますがディスク全体を0で上書きできます。
3. HDDの磁気の痕跡？
通常のデータ復元ソフトウェアでは、0で上書きされたデータは復元できません。
HDDの磁気パターンが完全に書き換えられ、元のデータの痕跡が消えてしまうためです。
もちろん、理論的には、微小な磁気の痕跡から元のデータを「推測」できる可能性は残っています。
デジタルデータでは「0」となっていても、実際の磁気は閾値より小さくなっているだけだからです。
ただし、この方法は消された鉛筆の跡から元の文章を調べるようなこと。
ディスクを直接分析するには非常に手間がかかり、成功もほとんど期待できないため実用的ではありません。
また、このような可能性を考慮しても、ランダムなパターンで複数回上書きすれば、さらにデータの復元は難しくなります。
市販されているデータ抹消ソフトは、このような処理をしています。
3-1. SSDのウェアレベリング機能
ただし、SSDの場合は、「ウェアレベリング」機能についても考慮する必要があります。
SSD内のファイルは、実は複数の場所に分散して保存されているため、完全に削除したつもりでも、断片が別の場所に残っている可能性があるためです。
SSD内のファイルを完全に消去するには、ファイルごとにゼロクリアするのではなく、SSD全体の上書きが必要になるのです。
「ウェアレベリング（wear leveling）」は、「摩耗を平滑化する」という意味です。
SSDには、同じ場所に何度もデータを書き込むと、その部分が劣化してしまう性質があります。
そのためめ、SSDの寿命を延ばすために、データの書き込みを均等に分散させる必要があるのです。
厳密には、SSDでも、NVMeとSATA SSDなどの違いがあります。
4. BitLockerによるファイル暗号化
ちなみに、データを完全に抹消しなくても保護できる方法があります。
それは、「暗号化」です。
Windowsには、「BitLocker暗号化」というドライブ全体を暗号化する機能があります。
この機能を有効化すると、ドライブに書き込まれるすべてのデータは自動的に暗号化され、ログインするか復号キーを入力しないと読み取れません。
削除されたファイルも暗号化された状態で残っているために、復号キーがなければメタデータを読み取れないからです。
BitLocker暗号化は、そのユーザーのMicrosoftアカウントなどに記録された復号キーがなければ、総当たりで解読を試みると数十億年かかると言われています。
もちろん、パソコンのログインパスワードがかんたんだったりすると読み取られてしまいます。
（補足）
- diskpart コマンド インタープリターは、コンピューターのドライブ (ディスク、パーティション、ボリューム、または仮想ハード ディスク) を管理するのに役立ちます。 – diskpart | Microsoft Learn
