Walnut

Walnut(정식 명칭 Walnut KFA · KakaoTalk Forensic Analyzer)은 PC에 암호화된 상태로 저장된 카카오톡 대화 데이터를 복호화하고, 열람·검색·통계와 무결성 기록까지 하나의 결과물로 정리하는 분석 프로그램입니다. 수집부터 결과 생성까지 대상 PC 또는 분석 환경 안에서 처리되며, 대화 내용은 외부로 전송되지 않습니다. 제품을 도입해 직접 수집·분석하거나, 직접 수행이 어려운 경우 디지털포렌식 전문 인력에게 의뢰할 수 있습니다.

Walnut이란

업무와 일상에서 오간 카카오톡 대화는 사실관계 확인, 내부조사, 분쟁 대응 과정에서 핵심 자료로 활용되는 경우가 많습니다. 확인이 필요한 대화가 한 채널에 모여 있는 셈입니다.

PC에 저장된 카카오톡 대화 데이터는 암호화된 형태로 보관되어 일반적인 방법으로는 내용을 확인하기 어렵습니다. PC 사용이 계속되면 일부 흔적이 덮어써질 수 있어 확보 가능한 데이터가 줄어들 수 있고, 삭제되거나 사라진 대화방은 일반적인 방식으로는 분석이 제한될 수 있습니다. 저장·보호 방식도 지속적으로 변경되고 있어, 과거 버전 기준의 복호화 방식만으로는 최신 데이터 분석이 제한될 수 있습니다. 확인이 필요한 사안이라면 데이터가 남아 있는 시점에 수집하는 편이 유리합니다.

Walnut은 이 데이터를 복호화하고 열람·검색·통계로 정리하는 분석 프로그램입니다. Windows 환경을 지원하는 단일 실행 파일(EXE)과 기간제 USB 동글키로 제공되며, 동글 1개당 1대에서 사용합니다. 사용 설명서를 함께 제공하고 도입 및 기술 문의에 대응합니다. 직접 수행이 어려운 경우에는 디지털포렌식 전문 인력에게 수집·분석을 의뢰할 수 있으며, 분석 의뢰는 HM Company ADFS 본부에서 수행합니다. ADFS 본부는 민간 최초로 디지털포렌식 분야 KOLAS 공인시험기관 인정을 보유하고 있으며, 15년 이상 디지털포렌식 기반 조사·진단을 수행하며 누적 19,946건 이상의 증거물을 처리했습니다.

• 암호화된 PC 카카오톡 대화 복호화
• 대화 내용을 외부로 보내지 않는 처리
• 삭제·회수 메시지 표시와 조건식 검색
• 해시값과 처리 이력 기반의 무결성 관리
• 동의 또는 정당한 권한을 전제로 한 분석

대화 내용을 외부로 보내지 않고 분석합니다

카카오톡 대화에는 확인이 필요한 사실관계뿐 아니라 제3자의 개인정보와 사생활이 함께 담깁니다. 그래서 어디에서 처리하는지가 결과만큼 중요합니다. 수집부터 결과 생성까지는 대상 PC 또는 분석 환경 안에서 처리되며, 대화 내용은 외부로 전송되지 않습니다. 다만 첨부파일 원본이나 썸네일을 내려받는 기능을 사용하는 경우에는 카카오 서버에 접속하게 되므로, 필요 여부를 확인한 뒤 사용합니다.

분석은 세 가지 방식으로 시작합니다. 확보한 자료 유형에 따라 적합한 시작 방식을 선택합니다.

복호화 키는 메모리에서 확보되므로 수집 시점에 대상 PC에서 카카오톡이 실행 중이어야 하며, 폴더나 디스크 이미지를 분석할 때에도 메모리 사본이 함께 필요합니다. 확보 시점과 PC 사용 상황에 따라 복원 가능한 범위는 달라질 수 있습니다. 이후 복호화와 분석은 여섯 단계로 진행되며, 완료되면 메시지 수와 채팅방 수, 친구 수, 복호화 범위가 요약으로 표시됩니다.

1. 1

   메모리 덤프 검증

   복호화 키의 출처가 되는 메모리 사본을 먼저 확인합니다.

2. 2

   카카오톡 데이터 폴더 검증

   분석 대상이 되는 카카오톡 데이터 폴더의 상태를 확인합니다.

3. 3

   복호화 기기 정보 추출

   복호화에 필요한 기기 정보를 추출합니다.

4. 4

   대화 기록 복호화 및 복원

   암호화된 상태로 저장된 대화 기록을 복호화하여 복원합니다.

5. 5

   채팅방·발신자 매핑

   복원된 메시지를 채팅방과 발신자 정보에 연결합니다.

6. 6

   분석 결과 생성

   열람과 검색이 가능한 형태로 분석 결과를 생성합니다.

대화 내용은 분석 환경 밖으로 나가지 않고, 분석 과정은 기록으로 남습니다.

브라우저에서 열람하고, 조건식으로 검색합니다

분석 결과는 HTML 파일로 생성됩니다. 별도의 프로그램을 설치하지 않은 PC에서도 웹 브라우저로 열어볼 수 있어, 분석을 수행한 사람과 결과를 확인하는 사람이 다른 경우에도 같은 화면을 보고 논의할 수 있습니다. 화면은 채팅방·친구·검색 집계·첨부·캐시·통계 탭으로 구성됩니다.

대화를 한 건씩 읽어 내려가는 방식만으로는 필요한 내용을 찾기 어렵습니다. 조건식을 이용한 검색과 검색 결과에 대한 통계를 함께 제공하며, 확인한 메시지는 북마크와 메모로 사건별로 정리할 수 있습니다. 전화번호·계좌번호·주민등록번호 등 유형을 선택해 마스킹을 적용할 수 있고, 결과는 HTML·PDF·Excel·CSV와 처리 이력으로 내보낼 수 있습니다.

결과 화면에서 확인한 내용은 그대로 보고서와 표 형식 데이터로 출력됩니다.

분석 결과의 산출 근거를 기록으로 남깁니다

자료의 양이 늘어날수록 함께 확인되는 것은 내용만이 아니라, 그 결과가 어떤 자료에서 어떤 절차를 거쳐 나왔는지입니다. 수집·복호화·분석 과정이 기록되지 않으면 분석 결과의 산출 근거를 설명하기 어렵습니다.

산출물에는 감사 로그와 서명, 복호화 범위를 포함한 무결성 기록이 함께 제공됩니다. HTML 뷰어와 PDF 보고서, Excel·CSV 표 형식 데이터도 같은 처리 이력을 근거로 출력됩니다.

1. 1

   원본 데이터 보존

   입력한 원본은 수정하지 않으며, 복호화 결과는 별도 영역에 기록합니다.

2. 2

   해시 검증

   입력 데이터와 산출물의 SHA-256 해시값을 기록해 원본과의 동일성 및 변경 여부를 확인합니다.

3. 3

   처리 이력 기록

   수집·복호화·분석·보고 각 단계의 수행 시각과 처리 내용이 감사 기록으로 남습니다.

4. 4

   분석자 및 생성 시점 기록

   분석을 수행한 사람의 정보와 결과 생성 시점이 산출물에 포함됩니다.

5. 5

   분석 재현성

   동일한 입력 자료를 기준으로 다시 분석할 때 같은 복호화 결과가 재현되도록 설계했습니다.

원본은 그대로 두고, 결과는 다시 확인할 수 있는 형태로 남깁니다.

동의와 정당한 권한이 확인된 범위에서 활용합니다

HM Company는 수사기관이 아니며, Walnut을 이용한 분석은 소지자·당사자의 동의 또는 기업의 정당한 권한을 전제로 수행됩니다. 분석에 앞서 다음 세 가지 가운데 어디에 해당하는지를 확인하고, 확인된 범위 안에서만 진행합니다. 본인이 사용하거나 소유한 PC의 카카오톡 데이터를 분석하는 경우(본인 데이터), 기기 소지자 또는 대화 당사자의 명시적 동의에 따라 분석하는 경우(소지자·당사자 동의), 기업이 소유·관리하는 기기에 대해 사전 고지와 동의, 내부 규정에 근거하여 내부조사를 위탁하는 경우(정당한 위탁)입니다.

통신비밀보호법, 개인정보보호법 등 관계 법령과 적법 절차를 준수하며, 분석 과정에서 확인되는 제3자의 개인정보는 필요한 경우 마스킹하여 보호합니다.

아래 활용 상황은 모두 위 세 가지 전제 가운데 하나가 확인된 경우를 기준으로 합니다.

• 기업 내부조사 : 임직원 부정행위나 정보유출이 의심되는 상황에서, 사전 고지와 동의 및 내부 규정에 근거가 확인된 범위에서 회사 소유 업무 PC의 카카오톡 대화를 복호화하여 심야 대화, 외부 연락처, 첨부파일 등 관련 정황을 확인합니다. 조사 목적과 무관한 사적 대화는 열람 범위에서 제외합니다.
• 퇴직자 영업비밀 유출 의심 : 반납된 회사 소유 PC를 대상으로, 재직 중 사전 고지와 동의 및 내부 규정에 근거가 확인된 범위에서 카카오톡 대화와 첨부파일 흔적을 확인하여 반출 정황을 정리합니다.
• 이혼·가사 분쟁 : 본인이 대화 당사자인 자신의 카카오톡 계정 데이터를 자료로 정리하려는 경우, 본인 계정에 남아 있는 대화를 복호화하여 타임라인과 참여자 정보를 확인할 수 있습니다. 배우자 등 타인 계정의 대화 데이터는 본인의 명시적 동의가 확인되지 않으면 분석하지 않습니다.
• 명예훼손·분쟁 대응 : 본인 대화를 근거로 사실관계를 소명해야 하는 경우, 본인 데이터를 복호화하고 무결성 기록과 함께 보고서로 출력합니다.

동의 또는 정당한 권한이 확인되지 않은 자료는 분석하지 않습니다.

제품 구성과 도입 방식

USB 동글키를 받아 대상 PC에서 직접 수집·분석하거나, 직접 수행이 어려운 경우 디지털포렌식 전문 인력에게 수집·분석을 의뢰할 수 있습니다. 분석 결과는 다음 형식으로 산출됩니다.

상표 고지

카카오톡(KakaoTalk)은 카카오(Kakao Corp.)의 상표입니다. HM Company는 카카오와 제휴 관계나 공식 관계가 없으며, Walnut은 카카오가 제공하거나 보증하는 제품이 아닌 HM Company의 자체 개발 분석 프로그램입니다. 모든 분석은 소지자·당사자의 동의 또는 기업의 정당한 권한을 전제로 수행됩니다.