중고 PC 거래할 때 SSD 포맷만 하면 안 되는 이유

저도 처음 중고 PC를 팔 때는 포맷하고 Windows 재설치하면 끝이라고 생각했습니다. 파일 탐색기를 열어봤더니 아무것도 안 보이길래, 그냥 깨끗해졌다고 판단한 거죠. 그런데 거래 글을 올리고 나서 혹시 몰라 SSD 복구 관련 글을 찾아보다가 생각보다 찜찜한 사실을 발견했습니다. 포맷했다는 말 한마디가 생각보다 훨씬 다양한 의미를 가질 수 있다는 것, 그게 이 글을 쓰게 된 이유입니다.

포맷하면 다 지워진다는 착각

솔직히 이건 예상 밖이었습니다. 파일을 지우거나 드라이브를 포맷하면 데이터가 그 즉시 물리적으로 사라진다고 생각하는 분들이 많은데, 실제로는 그렇지 않습니다. 일반적인 파일 삭제는 운영체제가 해당 저장 공간에 "이 자리는 다시 써도 됩니다"라는 표시를 바꾸는 것에 가깝습니다. 새 데이터가 그 위에 덮이기 전이라면, 복구 도구를 통해 일부 파일을 되살릴 수 있는 가능성이 남습니다.

빠른 포맷(Quick Format)도 마찬가지입니다. 파일 시스템을 새로 구성하는 데 초점이 있는 작업이라서, "아무도 복구할 수 없는 상태로 만든다"는 의미와는 거리가 있습니다. 제가 처음 판매 준비를 할 때 했던 포맷이 바로 이 수준이었는데, 그 PC에 예전 이력서와 각종 증명서 스캔본, 업무 파일이 저장된 적 있다는 사실을 떠올리니 그냥 넘기기가 어려웠습니다.

물론 PC를 계속 본인이 사용할 때라면 빠른 포맷만으로도 충분한 경우가 많습니다. 문제는 저장장치 자체가 낯선 사람에게 넘어가는 상황입니다. 새 소유자는 SSD를 물리적으로 손에 쥐고 시간을 들여 복구를 시도할 수 있습니다. 가능성이 얼마나 높냐와는 별개로, 굳이 개인정보가 남아 있을 여지를 만들어둘 필요는 없다고 봤습니다.

Windows 데이터 정리 옵션, 어디까지 믿을 수 있나

제가 두 번째로 초기화할 때 선택한 방법은 Windows의 '이 PC 초기화' 기능이었습니다. 이번에는 단순히 Windows만 다시 설치하는 것이 아니라 '모든 항목 제거'를 선택하고, 드라이브 데이터를 정리하는 옵션까지 켰습니다. 처음 포맷했을 때보다 시간이 훨씬 오래 걸렸는데, 오히려 그 과정을 거치고 나니 마음이 훨씬 편해졌습니다.

Microsoft 공식 안내에 따르면, '모든 항목 제거'와 함께 드라이브 정리 옵션을 활성화하면 삭제된 데이터를 다른 사람이 복구하기 어렵게 만든다고 설명합니다. 실제로 Microsoft는 PC를 기부하거나 판매할 예정이라면 이 옵션을 사용하도록 안내하고 있습니다(출처: Microsoft 지원). 단, Microsoft는 이 기능이 소비자용 데이터 삭제 기능이며, 정부나 산업 표준을 충족하지는 않는다고 명확히 밝히고 있습니다.

여기서 중요한 구분이 있습니다. "복구하기 어렵게 만든다"와 "어떤 기술을 써도 절대 복구할 수 없다"는 전혀 다른 표현입니다. 일반적인 개인 PC를 중고로 판매한다면, Windows의 데이터 정리 기능만으로 현실적인 수준의 보호를 기대할 수 있다고 봅니다. 다만 신분증 사본, 계약서, 금융 서류처럼 한 번 유출되면 피해가 큰 자료가 오랫동안 저장됐던 SSD라면, 한 단계 더 확인할 이유가 충분히 있습니다.

SSD에 덮어쓰기를 반복하면 더 안전할까

SSD 삭제 방법을 찾아보면서 가장 의외였던 부분이 바로 이 지점이었습니다. "3회, 7회, 심지어 수십 번 덮어쓰면 완벽하게 지워진다"는 글이 인터넷에 여전히 많습니다. HDD를 사용하던 시절에는 그 방식이 표준적인 삭제 방법으로 통했으니 당연한 이야기이기도 합니다. 그런데 SSD에서는 이 방식이 생각만큼 단순하게 작동하지 않습니다.

SSD 내부에는 웨어 레벨링(Wear Leveling)이라는 기술이 동작합니다. 이 기술은 특정 셀에 쓰기 작업이 집중되는 것을 막기 위해 데이터를 내부적으로 분산시키는 방식입니다. 쉽게 말해, 사용자가 같은 위치에 반복해서 덮어쓰더라도 SSD 내부에서는 실제로 다른 셀에 데이터를 기록할 수 있습니다. 여기에 더해 오버프로비저닝(Overprovisioning)이라는 여유 공간이 존재하는데, 이는 사용자에게 보이지 않는 예비 저장 영역으로, 일반적인 덮어쓰기 명령으로는 이 영역까지 접근하기가 어렵습니다.

NIST(미국 국립표준기술원)가 발표한 저장매체 삭제 가이드인 SP 800-88에서도 이 부분을 명확하게 짚고 있습니다. 오버프로비저닝 영역이 있는 SSD에서는 기존 방식의 여러 차례 덮어쓰기가 충분한 보호를 제공하지 못할 수 있으므로 피하도록 권고합니다(출처: NIST SP 800-88). 더 많이 덮어쓴다고 반드시 더 확실한 삭제가 보장되는 것이 아니라, 오히려 불필요하게 쓰기 작업만 늘릴 수 있다는 이야기입니다. 제 경험상 이건 꽤 직관에 반하는 부분이라 처음 접했을 때 솔직히 당황스러웠습니다.

• 웨어 레벨링(Wear Leveling): 셀 수명을 늘리기 위해 쓰기 위치를 내부적으로 분산하는 기술
• 오버프로비저닝(Overprovisioning): 사용자에게 보이지 않는 SSD 내부 예비 저장 공간
• 반복 덮어쓰기: HDD에는 유효하지만, SSD에서는 내부 구조상 모든 영역을 직접 지정해 덮을 수 없어 한계가 있음
• NIST 권고: 높은 보호 수준이 필요하다면 Clear(일반 덮어쓰기) 대신 Purge 방식을 우선 고려

민감도에 따라 다르게, Secure Erase와 백업 순서

그렇다면 현실적으로 어디까지 해야 할까요. 제가 내린 결론은, 저장돼 있던 데이터의 민감도에 따라 단계를 나누는 것이 가장 합리적이라는 것입니다.

웹 서핑, 문서 작성, 영상 시청 정도로만 사용했고 민감한 자료가 거의 없었다면, Windows의 '모든 항목 제거 + 데이터 정리' 조합이 일반 개인 거래에서는 충분하다고 봅니다. 반대로 주민등록증 사본, 금융 서류, 회사 업무 자료처럼 유출됐을 때 피해가 큰 데이터가 오랫동안 저장됐던 SSD라면 기준을 높이는 편이 낫습니다.

이 경우 확인해볼 것이 시큐어 이레이즈(Secure Erase) 또는 새니타이즈(Sanitize) 기능입니다. 시큐어 이레이즈란 SSD 제조사가 저장 장치 자체에 내장한 삭제 명령으로, 사용자 영역뿐 아니라 오버프로비저닝 영역까지 포함해 셀의 데이터를 초기화하는 것을 목적으로 합니다. 삼성 SSD의 경우 공식 Samsung Magician 소프트웨어에서 Secure Erase 기능을 제공하며, Crucial SSD는 Storage Executive를 통해 Sanitize Drive 기능을 지원합니다. 제조사와 모델에 따라 지원 여부와 방식이 다르므로, 인터넷에서 찾은 명령어를 무작정 실행하기보다 자신의 SSD 제조사 공식 프로그램을 먼저 확인하는 것이 중요합니다.

실제로 처음 Secure Erase 메뉴를 열어봤을 때 PC에 연결된 다른 SSD까지 함께 목록에 표시되는 것을 보고 꽤 긴장했습니다. 잘못 선택하면 판매할 드라이브가 아니라 현재 사용 중인 저장장치를 지울 수 있기 때문입니다. 드라이브 선택 전에 반드시 두 번 이상 확인하는 것을 권합니다.

백업 순서도 의외로 신경 쓸 부분이 많았습니다. 처음에는 바탕화면과 문서 폴더만 외장 SSD에 복사했는데, 나중에 다운로드 폴더를 열어보니 예전 계약서 PDF와 개인 자료가 섞여 있었습니다. 평소에 다운로드 폴더를 임시 공간처럼 쓰다 보니 중요하지 않다고 생각했던 것입니다. 그 이후로는 초기화 전에 백업할 경로를 먼저 목록으로 적어두는 습관이 생겼습니다. 바탕화면, 문서, 다운로드, 사진 폴더는 물론이고 브라우저 북마크, 로컬 프로그램 데이터, 게임 세이브, 인증서까지 확인합니다. 클라우드를 쓰더라도 동기화가 실제로 완료됐는지 웹에서 한 번 더 확인하는 것도 빠뜨리지 않습니다. 삭제는 다시 할 수 있지만, 백업하지 않은 파일은 한 번 지우면 돌아오지 않을 수 있기 때문입니다.

계정 문제도 놓치기 쉬웠습니다. SSD를 깨끗하게 지웠다고 해서 모든 준비가 끝나는 것이 아닙니다. Microsoft 계정 장치 목록에서 해당 PC를 확인하고, Chrome이나 Edge로 로그인한 상태였다면 브라우저 동기화 상태도 점검하는 것이 좋습니다. BitLocker나 장치 암호화를 사용 중이었다면 중요한 자료를 백업하고 복구키도 미리 확인해두어야 합니다.

자주 묻는 질문

Q. 중고 PC 팔기 전에 그냥 Windows 초기화만 해도 되나요?

A. 초기화 방식에 따라 다릅니다. '모든 항목 제거'에서 드라이브 데이터 정리 옵션까지 켠 경우라면, 일반적인 개인 거래에서는 현실적인 수준의 보호를 기대할 수 있습니다. 다만 단순히 Windows를 재설치하거나 빠른 포맷만 한 것이라면, 데이터가 완전히 지워졌다고 보기 어렵습니다. 저도 처음엔 그 차이를 몰랐습니다.

Q. SSD를 여러 번 덮어쓰면 HDD보다 더 안전하게 지울 수 있지 않나요?

A. 오히려 반대라고 보는 시각도 있습니다. HDD에서는 반복 덮어쓰기가 유효한 방식이었지만, SSD는 웨어 레벨링과 오버프로비저닝 구조 때문에 사용자가 같은 위치를 반복해서 덮어써도 내부의 모든 셀이 실제로 덮인다는 보장이 없습니다. NIST SP 800-88도 SSD에서 이 방식의 한계를 명시하고 있습니다.

Q. Secure Erase를 하면 SSD가 고장 나거나 수명이 줄어드나요?

A. Secure Erase는 SSD 제조사가 공식적으로 제공하는 기능으로, 일반적인 사용에서 수명에 큰 영향을 주지 않는 것으로 알려져 있습니다. 다만 실행 전에 반드시 드라이브 선택이 올바른지 확인해야 합니다. 처음 메뉴를 열었을 때 연결된 모든 드라이브가 목록에 표시되는 것을 보고 저도 꽤 긴장했습니다.

Q. 초기화 전에 꼭 백업해야 할 폴더가 따로 있나요?

A. 바탕화면, 문서, 사진 폴더는 대부분 챙기는데, 다운로드 폴더를 빠뜨리는 경우가 많습니다. 제 경험상 다운로드 폴더에 계약서, 개인 자료, 설치 파일이 생각 이상으로 쌓여 있었습니다. 브라우저 북마크, 로컬 프로그램 데이터, 클라우드 동기화 완료 여부도 초기화 전에 한 번 더 확인하는 것을 권합니다.

결론

중고 PC 판매 준비를 직접 해보고 나서 가장 크게 바뀐 생각은, '포맷했다'는 말 한마디가 실제로 어떤 수준까지 데이터를 지웠는지 알 수 없다는 점입니다. 빠른 포맷, Windows 초기화, 데이터 정리 옵션 초기화, Secure Erase는 목적과 삭제 수준이 모두 다릅니다. 이 차이를 모른 채 "화면에서 안 보이니까 끝"이라고 생각하는 것이 가장 위험한 태도라고 봅니다.

그렇다고 인터넷에서 데이터 복구 가능성을 읽고 겁에 질려 멀쩡한 SSD를 무조건 폐기할 필요도 없습니다. 일반적인 개인 용도로 사용했다면 Windows의 데이터 정리 기능으로도 현실적으로 충분한 경우가 많고, 민감한 정보가 많았다면 제조사의 Secure Erase나 Sanitize 기능을 한 단계 더 확인하면 됩니다. 제가 지금 다시 PC를 판매한다면, 거래 날짜를 잡기 전에 백업 목록을 먼저 만들고, 계정 연결을 확인한 뒤, 마지막으로 저장장치를 정리하는 순서를 그대로 따를 것입니다.