電腦遭到勒索軟體攻擊、檔案被惡意刪除，或使用者不小心清空資料後，許多人第一個問題都是：「SSD 裡面的資料還救得回來嗎？」
答案通常不樂觀。相較於傳統 HDD，SSD 的資料刪除與清除速度更快；一旦 TRIM 與垃圾回收機制開始運作，原本看似只是「刪除」的檔案，可能很快就被永久清除。
美國佛羅里達國際大學（Florida International University，FIU）研究團隊近期提出一種 SSD 自體防護設計，目標是讓儲存裝置在駭客入侵後仍能協助保留資料。研究團隊表示，在其設計與測試條件下，已刪除資料的可復原歷程最長可達 126 天，資料保護窗口至少提升 60%，且對效能造成的額外影響有限。
這項研究仍在技術開發階段，尚未成為市售 SSD 的標準功能，但它凸顯了儲存控制器在資安與資料救援中的重要性。
為什麼 SSD 刪除後比 HDD 更難救？
HDD 使用磁性碟片記錄資料。檔案刪除後，作業系統通常只是把空間標記為可重新使用，實際內容未必立即消失；在新資料覆蓋前，仍可能存在分析空間。
SSD 使用 NAND 快閃記憶體，資料不能像 HDD 一樣直接覆寫。控制器需要整理有效資料、搬移資料並清除整個區塊，才能重新寫入。
作業系統會透過 TRIM 告知 SSD 哪些檔案已刪除。SSD 接著可能在背景執行 Garbage Collection（垃圾回收），回收無效區塊以維持速度與壽命。當 TRIM 與垃圾回收完成，原本被刪除檔案的 NAND 內容可能已遭清除，資料救援難度也會大幅提高。
| 儲存裝置 | 刪除後常見狀態 | 資料救援難度 |
|---|---|---|
| HDD | 多半先標示為可用空間 | 相對較有機會 |
| SATA SSD | 可能觸發 TRIM 與垃圾回收 | 較困難 |
| NVMe SSD | 背景管理與加密機制更複雜 | 通常更具挑戰 |
| SSD RAID／全快閃 NAS | 受 RAID、檔案系統與控制器影響 | 難度高 |
FIU 的作法：讓近期刪除資料多保留一段時間
一般 SSD 的垃圾回收主要以釋放空間、維持效能與降低寫入放大為目標，不會特別判斷檔案何時被刪除。
FIU 團隊提出的設計，會依照資料被刪除的時間進行管理。較早刪除的資料優先淘汰，近期刪除的檔案則盡量保留更久。若公司剛遭到勒索軟體入侵，這種時間排序可能讓資安人員有更多時間建立鑑識映像、調查攻擊行為與嘗試資料復原。
FIU 研究員 Weidong Zhu 將這種設計比喻為銀行保險庫：即使作業系統像銀行前端一樣遭到入侵，SSD 控制器仍可能保有相對獨立的資料保護能力。
126 天不代表所有 SSD 都能救回資料
126 天是 FIU 團隊在其設計與測試條件下達到的最長可復原資料歷程，不代表目前所有市售 SSD 都具備相同能力，也不代表遭勒索軟體加密的檔案在四個月後一定可以還原。
實際資料能保留多久，仍會受到 SSD 剩餘空間、後續寫入量、TRIM 狀態、韌體垃圾回收策略、檔案覆寫、硬體加密、格式化、RAID 重建，以及 NAND 或控制器故障等因素影響。
這項研究不能取代備份，也不應成為刪除資料後繼續使用原 SSD 的理由。
SSD 誤刪或遭勒索軟體後，第一時間怎麼做？
- 停止使用原裝置：不要繼續開檔、下載軟體、安裝救援工具、更新系統或複製大量資料。
- 懷疑勒索軟體時先隔離網路：中斷網路線與 Wi-Fi，並暫停 NAS 共用資料夾及雲端同步，避免感染擴散。
- 不要急著初始化或修復磁碟：看到格式化、初始化、修復或 RAID 重建提示時，先不要執行。
- 先確認備份與版本紀錄：檢查檔案歷程記錄、Time Machine、雲端資源回收桶、NAS Snapshot、離線備份與異地副本。
- 重要資料不要反覆自行掃描：帳務、客戶資料、研究檔案、資料庫、虛擬機與 RAID 陣列應先停止操作，再評估專業處理方式。
SSD 資料保護仍要回到備份
SSD 自體防護技術未來若能普及，可能延長事件發生後的資料救援時間；現階段最可靠的做法仍是保留多份副本、使用不同媒體、保留離線或異地備份，並定期確認資料真的可以還原。
常見問題
SSD 刪除檔案後一定救不回來嗎？
不一定。若尚未執行 TRIM、垃圾回收或大量新資料寫入，仍可能存在分析空間；但一旦資料已清除或覆寫，成功機率會明顯下降。
SSD 誤刪後可以自己安裝救援軟體嗎？
不建議把救援軟體安裝在同一顆 SSD。安裝與掃描可能產生新的寫入，對重要資料應先停止使用原裝置。
FIU 的 126 天技術可以直接用在現有 SSD 嗎？
目前不行。這是研究團隊提出的儲存管理設計，尚未成為一般市售 SSD 的標準功能。