내 계정으로 남은 기록이 내가 한 일이 아닐 때, 무엇으로 소명할 수 있나

회사 업무 시스템에서 고객 자료를 한꺼번에 내려받은 기록이 본인 아이디로 남아 있다는 통보를 받는 경우가 있습니다. 사내 메신저로 보낸 적 없는 메시지의 발신자로 지목되거나 본인 명의 SNS 계정에 올라간 글 때문에 문제를 제기받는 경우도 있습니다. 기록에는 본인 계정이 남아 있고 본인은 그 일을 하지 않았다는 입장입니다.

이런 상황에서 상담 때 자주 받는 질문이 있습니다. 본인 아이디로 기록이 남았으면 본인이 한 일로 정해지느냐는 질문입니다. 계정 기록은 판단에 쓰이는 중요한 자료이지만 그 기록만으로 행위자가 정해지지는 않습니다. 다만 계정 기록만으로는 행위자를 알 수 없다는 주장 하나로 소명이 되지도 않습니다. 본인이 하지 않았다는 사실을 뒷받침하는 다른 기록이 함께 있어야 합니다.

계정 기록이 확인해 주는 것과 확인해 주지 못하는 것

계정 기록은 어느 계정으로 로그인된 상태에서 어떤 작업이 처리되었는지를 남긴 기록입니다. 시스템에 따라 로그인 일시, 접속한 IP 주소(인터넷에 연결된 기기나 네트워크에 부여되는 주소), 사용한 기기와 브라우저 정보, 내려받은 파일 이름 같은 항목이 함께 남습니다.

이 기록으로 확인되는 것은 그 계정의 아이디와 비밀번호가 입력되었거나 이미 로그인된 상태가 사용되었다는 사실입니다. 그 시각에 계정 주인이 직접 기기 앞에 있었는지는 기록에 담기지 않습니다.

계정 주인이 아닌 사람이 그 계정으로 작업하게 되는 경우는 여러 가지입니다.

• 자리를 비운 사이 로그인된 채로 남아 있던 화면을 다른 사람이 사용한 경우
• 업무 편의로 비밀번호를 동료와 공유했거나 적어 둔 비밀번호가 다른 사람에게 노출된 경우
• 예전에 쓰던 다른 기기에 로그인 상태가 그대로 유지되어 있던 경우
• 외부에서 계정 정보를 빼내 접속한 경우(계정 탈취)

어느 경우에 해당하는지는 계정 기록만으로 알 수 없습니다. 아래 기록들과 함께 맞춰 보아야 확인됩니다.

함께 맞춰 볼 네 가지 기록

1. 접속한 기기와 네트워크

로그인 기록에 남은 기기 정보와 IP 주소가 본인이 평소 쓰는 기기, 네트워크와 같은지 확인합니다. 본인이 쓰지 않는 기기나 낯선 지역의 IP 주소에서 접속한 기록이라면 다른 사람이 사용했을 가능성을 판단하는 자료가 됩니다. 반대로 같은 사무실에서는 여러 사람이 같은 IP 주소로 인터넷에 연결되는 경우가 많습니다. IP 주소가 같다는 사실만으로 사람을 특정하기는 어렵습니다.

2. 같은 시각 본인의 다른 기록

문제의 작업이 처리된 시각에 본인이 다른 곳에서 다른 일을 하고 있었다는 기록입니다. 건물 출입 기록, 다른 업무 시스템의 작업 기록, 회의 일정, 본인 휴대전화의 통화 기록이 여기에 해당합니다.

비교하기 전에 시각 기준부터 맞춥니다. 서버에 저장된 시각과 개인 기기에 표시된 시각은 조금씩 어긋날 수 있고 해외 서비스는 국제 표준시(UTC) 기준으로 기록을 남기기도 합니다. 한국 시각과는 아홉 시간 차이가 납니다.

3. 계정 설정이 바뀐 이력

문제 시점 전후로 비밀번호 변경, 2단계 인증(비밀번호 외에 휴대전화 확인 등을 한 번 더 거치는 로그인 방식) 해제, 로그인 알림 끄기, 메일 자동 전달 추가 같은 변경이 있었는지 확인합니다. 본인이 하지 않은 변경이 있다면 다른 사람이 계정을 사용했을 가능성을 뒷받침하는 기록이 됩니다. 변경 이력도 어느 기기와 IP 주소에서 이루어졌는지 함께 봅니다.

4. 작업이 처리된 기기에 남은 흔적

문제의 작업이 본인 업무용 PC에서 처리된 것으로 나온다면 그 PC를 분석합니다. 해당 시각에 PC가 켜져 있었는지, 어떤 사용자 계정으로 로그인되어 있었는지, 원격 제어 프로그램이 실행되었거나 외부에서 접속한 흔적이 있는지를 확인합니다. 원격 접속 흔적이 나오면 그 접속이 어디에서 들어왔는지는 별도의 접속 기록으로 다시 확인합니다.

네 가지 가운데 어느 하나만으로 결론이 나지는 않습니다. 출입 기록상 사무실 밖에 있었더라도 원격 접속 가능성은 따로 확인합니다. 낯선 IP 주소가 나와도 본인이 출장지나 집에서 접속한 기록일 수 있습니다.

소명 자료는 무엇부터 보전해야 하나

접속 기록의 상당수는 본인이 아니라 회사나 서비스 운영자가 보관합니다. 보관 기간은 시스템마다 다르고 기간이 지나면 새 기록으로 덮어쓰이거나 삭제되기도 합니다. 회사 시스템의 기록이 필요하다면 조사를 진행하는 부서에 해당 기간의 접속 기록과 설정 변경 이력을 보존해 달라고 서면으로 요청해 둘 수 있습니다. 회사 밖 소송으로 이어진 경우에는 법원에 증거보전을 신청하는 절차가 있습니다.

본인이 직접 확보할 수 있는 자료는 먼저 저장해 둡니다.

• 메일, 메신저, SNS 서비스가 보여 주는 로그인 기록과 연결된 기기 목록 화면(내보내기 기능이 있으면 그 파일도 함께)
• 문제 시각 전후의 본인 휴대전화 통화 기록, 일정, 출장이나 외근 증빙
• 회사나 서비스 운영자에게서 받은 통보 메일과 첨부 자료 원본

비밀번호를 바꾸거나 다른 기기를 로그아웃시키기 전에 현재 상태 화면을 먼저 저장해 두면 변경 전 상태가 남습니다.

본인 PC는 그대로 두는 편이 낫습니다. 문제를 확인하려고 파일을 여러 개 열어 보거나 정리 프로그램을 실행하면 파일의 마지막 접근 시각 같은 정보가 바뀌거나 원격 접속 흔적처럼 소명에 필요한 기록이 지워질 수 있습니다. 분석을 맡길 때는 원본을 그대로 복제한 뒤 사본으로 분석하는지와 해시값(복제한 사본이 원본과 같은지 확인하는 값)을 기록으로 남기는지를 확인합니다.

계정 기록은 어느 계정이 사용되었는지를 보여 줍니다. 누가 사용했는지는 접속 기기, 같은 시각의 다른 기록, 설정 변경 이력, 작업이 처리된 기기의 흔적을 함께 맞춰 보아야 확인됩니다. 이 기록들은 대부분 보관 기간이 정해져 있으므로 문제가 제기된 직후 보존을 요청하고 본인이 가진 자료부터 저장해 두어야 합니다.

PC나 휴대전화에 남은 기록을 분석해 소명에 쓸 자료로 정리해야 한다면 HM ADFS의 개인 대상 디지털 포렌식 상담을 이용할 수 있습니다. 자세한 안내는 www.hmadfs.com에서 확인할 수 있습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.