В Windows 11 даже после удаления файла, очистки корзины и перезагрузки системы остаются многочисленные следы, пригодные для криминалистического анализа. Стандартный сценарий «удалил и забыл» не гарантирует полного уничтожения данных, так как система хранит множество метаданных и фрагментов в различных служебных областях.

Ключевые артефакты можно найти в журналах NTFS, теневых копиях томов и файле подкачки, которые не очищаются автоматически. Даже простой текстовый документ оставляет после себя фрагменты содержимого в незанятых кластерах диска, которые можно извлечь специализированным ПО без особого труда.

Особый интерес для форензики представляют точки восстановления системы и быстрые ссылки в меню «Недавние документы», которые обновляются при каждом обращении к файлу. Помимо этого, значимый объем информации сохраняется в реестре — там фиксируются пути к последним открытым файлам и временные метки работы с ними.

Примечательно, что даже перезагрузка не сбрасывает эти данные, так как они специально поддерживаются системой для обеспечения стабильности работы. Полное удаление следов требует использования специализированных утилит для затирания свободного пространства и обязательного отключения службы теневого копирования.

В итоге для рядового пользователя это означает, что надеяться на безопасность после простого удаления файлов наивно, а для специалистов по безопасности — это еще одно подтверждение необходимости шифрования дисков с самого начала работы.