디지털 포렌식

정의

디지털 증거는 컴퓨터나 디지털 저장 매체에 이진 형태로 기록되어 있으면서, 사건의 사실관계를 입증하는 데 사용될 수 있는 정보를 말합니다. 문서 파일과 이메일처럼 사람이 만든 데이터도 있고, 접속 로그와 시스템 기록처럼 기계가 자동으로 남긴 데이터도 있습니다.

둘의 성격은 꽤 다릅니다. 사람이 만든 데이터는 내용 자체가 주장이므로 진위를 따져야 하고, 기계가 남긴 데이터는 의도가 개입하지 않는 대신 그 기록을 만든 시스템이 제대로 작동했는지를 따져야 합니다. 조사에서 로그가 중시되는 이유는 그것이 거짓말을 하지 않아서가 아니라, 거짓말을 하려면 시스템 자체를 건드려야 하고 그 흔적이 또 남기 때문입니다.

물리적 증거와 다른 점

• 비가시성: 데이터 자체는 눈으로 볼 수 없고, 반드시 소프트웨어라는 매개를 통해 해석해야 내용이 드러납니다. 따라서 해석에 사용한 도구의 신뢰성까지 함께 따집니다.
• 취약성: 전원을 켜거나 파일을 열어보는 것만으로도 접근 시각 등이 변경됩니다. 지문이나 혈흔과 달리, 관찰하는 행위 자체가 증거를 훼손할 수 있습니다.
• 매체 독립성: 원본과 사본이 비트 단위로 완전히 같기 때문에 물리적 원본이라는 개념이 희미합니다. 대신 해시값으로 동일성을 증명합니다.
• 대량성: 저장 용량이 커서 수집 대상이 수백 기가바이트에 이르는 일이 흔하고, 그중 사건과 관련된 데이터를 걸러 내는 선별이 분석만큼 중요해집니다.
• 변조 가능성: 물리적 증거는 위조하려면 흔적이 남지만, 디지털 데이터는 이론적으로 완벽한 위조가 가능합니다. 그래서 데이터 자체보다 그것을 둘러싼 절차가 신뢰의 근거가 됩니다.

증거능력의 요건

디지털 증거가 재판에서 받아들여지려면 일반적으로 다음 요소가 확인되어야 합니다.

• 진정성: 그 데이터가 주장하는 출처에서 나온 것이 맞는가.
• 무결성: 수집 이후 변경되지 않았는가. 해시값 비교와 관리 연속성 기록으로 뒷받침합니다.
• 신뢰성: 데이터를 만들어 낸 시스템과 분석에 사용한 도구가 믿을 만한가.
• 적법성: 수집 절차가 법이 정한 요건을 지켰는가. 위법하게 수집된 증거는 내용이 아무리 결정적이어도 배제될 수 있습니다.

기업 내부 조사에서 특히 자주 걸리는 것이 적법성입니다. 회사 소유의 PC 라 해도 직원의 개인 영역까지 무제한으로 들여다볼 수 있는 것은 아니며, 사전에 고지된 정책과 동의의 범위가 어디까지인지가 늘 쟁점이 됩니다.

휘발성과 수집 순서

디지털 데이터는 사라지는 속도가 서로 다릅니다. CPU 캐시와 메모리의 내용, 네트워크 연결 상태는 전원을 끄는 순간 사라지고, 임시 파일은 재부팅이나 정리 작업으로 없어지며, 디스크에 기록된 파일은 상대적으로 오래 남습니다.

이 차이 때문에 수집에는 휘발성이 높은 것부터 확보한다는 순서 원칙이 있습니다. 실행 중인 시스템을 만났을 때 무작정 전원을 뽑으면 메모리에만 있던 암호키나 실행 중이던 프로세스 정보가 통째로 사라집니다. 반대로 시스템을 계속 켜 두면 디스크의 데이터가 조금씩 덮어써집니다. 어느 쪽 손실을 감수할지 판단하는 것이 현장 대응의 핵심이며, 그 판단의 근거를 기록으로 남기는 것 또한 절차의 일부입니다.

정의

관리 연속성은 증거물이 확보된 순간부터 법정에 제출되기까지, 그것을 누가 점유하고 어떤 처리를 했는지를 시간 순서대로 빠짐없이 기록한 이력을 말합니다. 보관의 사슬이라고 옮기기도 합니다. 사슬이라는 비유가 정확한 이유는, 고리 하나만 끊겨도 전체가 제 기능을 못 하기 때문입니다.

왜 필요한가

디지털 데이터는 흔적을 남기지 않고 바꿀 수 있습니다. 그래서 상대측은 언제든 이렇게 물을 수 있습니다. "제출된 그 파일이 수집 당시의 그 파일과 같다는 것을 어떻게 아느냐." 이 질문에 답하는 장치가 관리 연속성입니다.

중요한 것은 이 기록이 결백을 증명하는 문서가 아니라 의심을 차단하는 문서라는 점입니다. 실제로 아무도 증거를 건드리지 않았더라도, 건드릴 수 있었던 공백이 있었다면 그 공백만으로 신뢰가 흔들립니다. 조사기관의 성실함을 믿어 달라고 요구하는 대신, 믿음이 필요 없도록 만드는 것이 이 제도의 취지입니다.

기록에 담기는 것

• 수집 일시와 장소, 수집한 사람과 입회한 사람
• 대상 기기의 식별 정보 (모델, 일련번호, 외관 상태)
• 수집 방법과 사용한 도구, 도구의 버전
• 수집 직후 산출한 해시값
• 봉인 여부와 봉인 번호
• 이후 보관 장소, 접근한 사람, 인수인계 일시와 서명
• 분석 수행 내역, 그리고 반환 또는 폐기 기록

기록의 밀도는 사안의 무게에 따라 달라지지만, 원칙은 하나입니다. 제3자가 이 문서만 읽고도 증거의 이동 경로를 처음부터 끝까지 따라갈 수 있어야 합니다.

해시값과의 역할 분담

해시 함수는 데이터를 입력받아 고정된 길이의 값을 내놓습니다. 원본이 1비트만 달라져도 결과가 전혀 다른 값이 되므로, 수집 시점의 해시와 제출 시점의 해시가 같다면 그사이 데이터가 바뀌지 않았다고 볼 수 있습니다.

다만 해시값만으로는 부족합니다. 해시는 "이 데이터가 그때 그 데이터와 같다" 는 것만 말해 줄 뿐, "이 데이터가 그 PC 에서 나왔다" 는 것은 말해 주지 못합니다. 출처를 말해 주는 것은 사람이 남긴 기록, 즉 관리 연속성 문서입니다. 해시값이 데이터의 동일성을 수학적으로 보증하고, 관리 연속성 문서가 그 데이터의 출처와 이동을 서술적으로 보증합니다. 둘은 함께 쓰일 때만 의미가 있습니다.

사슬이 끊어지는 순간들

• 수집한 디스크를 잠금장치 없는 책상 서랍에 두고 퇴근한 경우
• 사본을 여러 사람이 돌려 보면서 누가 언제 열었는지 기록하지 않은 경우
• 수집 당시 해시값을 산출하지 않아 나중에 비교할 기준이 없는 경우
• 기기를 인수인계하면서 서명이나 일시를 빠뜨린 경우

어느 것도 고의적인 조작이 아닙니다. 그래서 더 위험합니다. 조사의 실력이 아니라 사무의 성실함에서 무너지는 사례가 실제로는 훨씬 많습니다.

단계 구분

기관마다 표현은 조금씩 다르지만, 디지털 포렌식의 절차는 대체로 다섯 단계로 정리됩니다.

• 식별: 어떤 기기와 데이터가 사건과 관련 있는지 파악하고 확보 우선순위를 정합니다.
• 수집: 대상 데이터를 원본 변경 없이 확보합니다.
• 보존: 확보한 데이터의 무결성을 유지한 채 보관합니다.
• 분석: 사본을 대상으로 데이터를 복구하고 해석해 사실관계를 재구성합니다.
• 보고: 절차와 결과를 제3자가 검증할 수 있는 형태의 문서로 남깁니다.

이 순서는 편의상의 배열이 아닙니다. 앞 단계가 무너지면 뒤 단계의 결과물이 통째로 쓸모없어지는 종속 관계입니다. 수집이 잘못되면 아무리 정교하게 분석해도 그 결과를 쓸 수 없습니다.

식별 단계에서 정하는 것

현장에는 대개 확보할 수 있는 것보다 많은 기기가 있습니다. 무엇을 가져오고 무엇을 두고 갈지, 어느 것을 먼저 확보할지는 사건의 성격에 따라 달라집니다. 정보 유출 의심이라면 대상자의 PC 와 이동식 매체, 서버 접근 로그가 우선이고, 회계 부정이라면 업무 시스템의 데이터베이스와 결재 이력이 먼저입니다.

이 단계에서 판단을 잘못하면 뒤에서 만회할 수 없습니다. 놓친 기기는 그사이 초기화되고, 확보하지 않은 로그는 보존 기간이 지나 사라집니다.

수집 단계의 핵심 기법

• 이미징: 저장 매체를 파일 단위가 아니라 비트 단위로 통째로 복제합니다. 삭제된 영역과 빈 공간까지 함께 확보되므로 이후 복구 분석이 가능해집니다. 필요한 파일만 복사하면 그 순간 삭제 흔적은 영영 사라집니다.
• 쓰기 방지: 복제 과정에서 원본 매체에 어떤 데이터도 기록되지 않도록 하드웨어나 소프트웨어로 차단합니다. 이 장치 없이 원본을 조사용 PC 에 연결하면 운영체제가 자동으로 무언가를 기록해 버립니다.
• 해시 산출: 원본과 사본의 해시값을 계산해 동일함을 기록합니다. 이 값이 이후 모든 무결성 주장의 출발점이 됩니다.

선별의 문제

수집 대상이 방대할 때는 사건과 무관한 개인 정보까지 함께 확보됩니다. 대상자의 가족 사진과 병원 기록이 조사 자료에 섞여 들어오는 일은 실제로 흔합니다.

그래서 목적에 필요한 범위로 한정해 수집하고 분석하는 것이 원칙입니다. 이것은 법적 요구이기도 하고, 조사의 효율 문제이기도 하며, 조사 결과의 신뢰 문제이기도 합니다. 범위를 넘어선 자료를 들여다본 사실이 드러나면 조사 전체의 정당성이 공격받습니다.

분석 단계에서 하는 일

분석은 흩어진 흔적을 시간 순서로 엮어 사실관계를 재구성하는 작업입니다. 파일 하나를 찾는 것이 아니라, 그 파일이 언제 만들어져 누구 손을 거쳐 어디로 갔는지의 경로를 세우는 것이 목적입니다. 이 과정을 타임라인 분석이라고 부릅니다.

이때 지켜야 할 규율이 하나 있습니다. 가설을 세우는 것은 필요하지만, 가설에 맞는 증거만 찾아서는 안 됩니다. 반증이 될 만한 흔적도 같은 강도로 찾아야 하며, 찾지 못했다면 못 찾았다고 적어야 합니다.

보고 단계

보고서는 기술 배경이 없는 사람이 읽고 판단할 수 있어야 합니다. 확인된 사실과 그로부터의 추정을 구분해 적고, 확인하지 못한 부분도 밝히는 것이 신뢰의 조건입니다. 필요할 경우 분석을 수행한 사람이 법정에 출석해 절차와 결과를 직접 설명하기도 합니다.

서명한 문서가 무엇을 확인하는지

휴대전화를 제출하거나 포렌식 절차에 참여하면 전자정보확인서를 접할 수 있습니다. 문서에는 대상 기기와 전자정보, 절차 참여에 관한 의사 등 해당 서식과 처리 단계에 따른 내용이 담깁니다.

이때 확인할 것은 문서의 제목보다 실제 기재 내용입니다. 기기를 반출하는 단계인지, 전자정보를 선별하여 압수한 단계인지에 따라 확인하는 사항이 달라질 수 있습니다.

대법원 2022도2071 판결에서도 휴대전화 반출 이후의 탐색·복제·출력 과정에 대한 참여 의사가 기재된 전자정보확인서가 등장합니다. 전자정보확인서를 앞으로 도입될 제도로만 이해해서는 안 되는 이유입니다.

문서와 실제 자료를 함께 봅니다

전자정보확인서를 검토할 때는 대상 기기가 실제 제출한 기기와 일치하는지, 확인 대상이 전체 복제본인지 선별된 파일인지 살핍니다. 관련 목록과 작업 기록이 있다면 서로 연결되는지도 확인합니다.

예를 들어 휴대전화 한 대에서 자료를 확보했더라도 전체 추출 결과와 사건 관련 대화만 정리한 제공본은 서로 다른 자료입니다. 어느 자료를 확인한 것인지 구분되지 않으면 이후 분석 결과와 연결하기 어렵습니다.

다음 항목은 기술 검토에 활용할 수 있는 예시입니다. 모든 확인서의 법정 필수 기재사항을 뜻하지는 않습니다.

해시값과 서명이 설명하는 범위

해시값은 파일 등의 데이터로 계산하는 값입니다. 적절한 알고리즘으로 같은 범위의 데이터를 비교했을 때 값이 일치하면, 비교 대상의 동일성을 확인하는 근거로 활용할 수 있습니다.

다만 자료를 확보한 뒤 계산한 해시값만으로 확보 이전에 편집이 없었다거나, 대화 상대가 실제로 해당 내용을 작성했다는 사실까지 입증할 수는 없습니다. 수집 경위와 원본 자료, 관련 기록을 함께 살펴야 합니다.

서명 역시 문서에 기재된 확인 내용과 당시 절차를 기준으로 해석해야 합니다. 서명이 있다는 사실만으로 모든 절차적 문제가 해소되는 것은 아닙니다. 대법원 2022도2071 판결은 친권자에게 참여 기회를 부여한 사정만으로 실제 피압수자에 대한 참여 기회 미보장 문제가 해소되지 않는다고 판단했습니다.

민간 포렌식의 기록과 구분합니다

기업 내부조사나 개인 의뢰 포렌식에서도 수집 대상, 수행 방법, 해시값과 인계 내역을 기록할 필요가 있습니다. 이러한 기록은 분석 결과가 어떤 자료에서 나왔는지 설명하는 기반이 됩니다.

민간 기관이 작성한 수집확인서나 분석보고서는 작성 목적과 수행 범위를 명확히 표시해야 합니다. 수사기관의 전자정보확인서와 명칭이 비슷하다는 이유로 같은 절차적 의미를 갖는다고 설명해서는 안 됩니다.

검토 결과에도 직접 확인한 사실과 의뢰인이 설명한 내용을 구분합니다. 원본을 확인하지 못했다면 제공받은 사본을 기준으로 검토했다는 한계를 남깁니다.

디지털포렌식 전문가의 역할

전자정보확인서에 대한 기술 검토는 문서와 실제 데이터 사이의 연결을 확인하는 작업입니다. 파일 목록의 대상이 맞는지, 해시값을 재검증할 수 있는지, 수집 기록과 분석 결과가 일치하는지 등을 살핍니다.

검토 결과는 확인한 사실, 차이가 있는 항목, 추가 자료가 필요한 부분으로 나누어 설명할 수 있습니다. 이러한 정리는 의뢰인과 법률대리인이 증거의 확보 경위와 검토 쟁점을 이해하는 데 도움이 됩니다.

법률대리인은 절차의 적법성과 증거능력에 관한 주장을 검토하고, 포렌식 전문가는 그 판단에 필요한 기술적 사실과 한계를 설명합니다. 확인서 한 장보다 이를 뒷받침하는 자료와 기록이 중요합니다.

관련 정보의 선별이 원칙입니다

형사소송법 제106조제3항은 정보저장매체에 기억된 정보의 범위를 정하여 출력하거나 복제해 제출받도록 규정합니다. 이 규정은 제219조에 따라 사법경찰관의 압수·수색에도 준용됩니다. 범위를 정한 출력·복제가 불가능하거나 압수 목적 달성이 현저히 곤란한 경우에는 예외적으로 매체 압수가 허용됩니다.

복제본이나 매체를 외부로 반출해 탐색하는 경우에도 혐의사실 관련성과 영장의 제한을 지켜야 합니다. 현장에서 선별하기 어렵다는 이유만으로 모든 정보의 탐색·압수가 허용되는 것은 아니며, 반출 이후 과정에서도 피압수자나 변호인의 참여 기회 등 절차적 보장이 중요합니다.

무관정보와 집행 종료 여부를 확인합니다

대법원 2026. 10. 1. 선고 2026도11005 판결은 압수·수색 집행이 종료된 뒤 삭제·폐기됐어야 할 복제본을 재탐색해 얻은 전자정보의 위법성이 사후 영장 발부로 치유되지 않는다고 판단했습니다. 이 판단을 적법하게 압수된 유관정보의 결과물을 다시 검토하는 경우와 혼동해서는 안 됩니다.

따라서 처음 무엇을 복제했는지뿐 아니라 무엇을 선별해 압수했는지, 집행이 언제 종료됐는지, 남은 무관정보와 복제본이 어떻게 처리됐는지 확인해야 합니다. 선별 중 별건 혐의 정보가 발견된 상황과 집행 종료 후 남은 복제본을 다시 탐색하는 상황도 구분해 검토합니다.

보전요청은 압수와 구별됩니다

형사소송법 제215조의2의 보전요청은 법정 요건에 따라 정보통신서비스 제공자가 보유한 사건 관련 전자정보의 멸실·변경을 막는 제도입니다. 보전 자체로 수사기관이 그 정보를 취득하거나 압수한 것은 아닙니다. 이후 취득에는 압수·수색영장 집행이나 통신사실 확인자료 제공 등 해당 절차가 필요합니다. 보전요청은 모든 전자정보 압수에 선행하는 필수 단계도 아닙니다.

압수 범위와 과정을 기록합니다

검토 시에는 영장의 대상·범위·방법, 복제·반출 경위, 탐색·선별 과정과 참여 기록, 실제 압수물의 상세목록 및 무관정보 처리 기록을 연결합니다. 키워드 검색 결과만으로 관련성을 확정하지 않고 자료의 내용과 맥락도 확인합니다. 전자정보확인서는 이 결과와 확인 과정을 살펴보는 주요 자료입니다.

대상에 따른 구분

• 디스크 포렌식: 하드디스크나 SSD 등 저장 매체를 대상으로 파일, 삭제 흔적, 파일 시스템 기록을 분석합니다. 가장 오래되고 기본이 되는 분야입니다. 다만 SSD 는 성능을 위해 지워진 블록을 스스로 정리하는 기능이 있어, 전통적인 복구 가능성 전제가 그대로 적용되지 않는 경우가 있습니다.
• 모바일 포렌식: 스마트폰과 태블릿을 대상으로 통화 기록, 메시지, 위치 정보, 앱 데이터를 분석합니다. 기기마다 잠금과 암호화 방식이 달라 데이터에 접근하는 것 자체가 첫 번째 과제가 됩니다. 개인의 생활이 통째로 담기는 기기이므로 조사 범위를 한정하는 문제도 가장 예민합니다.
• 네트워크 포렌식: 오가는 트래픽과 통신 장비 로그를 분석해 침입 경로나 데이터 전송 사실을 확인합니다. 데이터가 흘러가면 사라지므로, 사고가 난 뒤에 확보하려 해도 이미 늦은 경우가 많습니다. 평소에 무엇을 얼마나 기록해 두었는지가 조사 가능성을 결정합니다.
• 메모리 포렌식: 실행 중인 시스템의 휘발성 메모리를 확보해 분석합니다. 디스크에 남지 않는 암호키, 실행 중이던 악성코드, 복호화된 상태의 데이터를 확인할 수 있습니다. 디스크에 아무 파일도 남기지 않는 공격 기법이 늘면서 중요성이 커졌습니다.
• 클라우드 포렌식: 데이터가 물리적으로 어디에 있는지 특정하기 어렵고, 확보하려면 사업자의 협조가 필요합니다. 서버가 다른 나라에 있으면 관할 문제까지 따라옵니다. 기술의 문제라기보다 절차와 계약의 문제가 되는 영역입니다.

목적에 따른 구분

같은 기법이라도 목적에 따라 다르게 불립니다. 범죄 수사를 위한 조사, 기업 내부의 부정 행위를 확인하는 감사 목적의 조사, 침해 사고의 원인을 규명하는 사고 대응이 대표적입니다.

목적이 다르면 요구되는 절차의 엄격함과 산출물의 형식도 달라집니다. 내부 보고용이라면 신속함이 우선일 수 있지만, 소송이 예상된다면 처음부터 법정 기준으로 진행해야 합니다. 나중에 소송으로 번질 가능성을 낮게 보고 절차를 생략했다가, 실제로 소송이 시작된 뒤 증거를 다시 만들 수 없어 곤란해지는 일이 자주 생깁니다.

안티 포렌식

조사를 방해하기 위한 기법을 통틀어 안티 포렌식이라고 합니다. 데이터를 여러 번 덮어써 복구를 막는 완전 삭제, 파일 시간 정보를 조작하는 타임스탬프 변조, 다른 파일 안에 데이터를 숨기는 은닉, 로그 삭제 등이 있습니다.

흥미로운 점은 이런 행위 자체가 또 하나의 흔적이 된다는 것입니다. 완전 삭제 도구를 설치하고 실행한 기록, 로그가 특정 구간만 비어 있다는 사실, 파일 시간이 파일 시스템의 다른 기록과 앞뒤가 맞지 않는다는 점은 모두 확인 가능합니다. 은폐의 시도가 오히려 고의를 드러내는 정황이 되기도 합니다.

시계부터 맞추는 이유

분석 화면에 오전 9시 12분이라는 시각이 보입니다. 저는 그 숫자를 곧바로 사건 시각으로 쓰지 않습니다. 운영체제의 시간대, 서버의 표준시 설정, 모바일 앱의 저장 방식부터 확인합니다. 같은 행위도 PC에는 현지 시각으로, 서버에는 협정세계시로, 내보낸 보고서에는 다시 변환된 시각으로 남을 수 있기 때문입니다.

타임라인 분석은 기록을 시간순으로 정렬하는 작업처럼 보이지만, 실제로는 각 시각이 무엇을 뜻하는지 해석하는 일에 가깝습니다. 파일의 생성 시각, 수정 시각, 접근 시각은 서로 다른 사건을 가리킵니다. 복사나 압축 해제 과정에서 일부 시각이 새로 만들어지기도 합니다.

한 줄의 기록은 한 가지 설명만 허용하지 않습니다

파일이 특정 시각에 수정되었다는 사실만으로 누가 내용을 바꾸었다고 단정할 수는 없습니다. 프로그램의 자동 저장, 동기화, 백업 복원도 같은 흔적을 남깁니다. 저는 파일 시스템 기록을 로그인 이력, 프로그램 실행 기록, 외부 저장매체 연결 기록과 함께 놓고 봅니다. 서로 독립된 기록이 같은 흐름을 가리킬 때 설명의 힘이 생깁니다.

반대로 기록 사이에 어긋남이 있으면 오류로 지우지 않습니다. 시스템 시계가 바뀌었거나, 가상 환경과 실제 장비의 시간이 달랐거나, 수집 이후 파일이 다른 위치로 복사되었을 가능성을 검토합니다. 불일치는 종종 분석의 출발점이 됩니다.

보고서에는 사실과 해석을 나누어 적습니다

저는 확인된 시각과 그 시각에서 추정한 행위를 분리해 씁니다. 예를 들어 '외장 저장매체가 연결되었다'는 기록과 '해당 파일이 외부로 반출되었다'는 판단은 같은 문장이 아닙니다. 파일 접근과 복사를 잇는 추가 흔적이 있어야 두 사실을 연결할 수 있습니다.

좋은 타임라인은 빈칸도 보여 줍니다. 로그 보존기간이 지나 확인할 수 없는 구간, 시간대 변환이 불확실한 기록, 자동화된 동작과 사용자의 동작을 구분하기 어려운 부분을 표시합니다. 사건의 흐름을 매끄럽게 만드는 것보다 어디까지 확인했는지를 정확히 밝히는 편이 낫습니다.

실무에서 확인할 항목

• 기기와 서버의 시간대 및 시계 오차
• 각 타임스탬프의 생성 주체와 변경 조건
• 독립된 기록 사이의 교차 확인
• 확인 사실, 추정, 확인 불가의 구분

화면은 데이터의 일부만 보여 줍니다

메신저 대화방에는 몇 줄만 남아 있는데 기기 내부 데이터베이스에는 대화방 식별값과 전송 상태가 남아 있는 경우가 있습니다. 반대도 있습니다. 화면에는 보이지만 실제 내용은 서버에서 잠시 불러온 것이어서 기기 안에는 거의 남지 않습니다. 저는 화면을 기록의 원본으로 보기보다 앱이 선택해 보여 주는 결과로 봅니다.

모바일 앱은 데이터베이스, 설정 파일, 캐시, 첨부파일 폴더를 나누어 사용합니다. 같은 메시지도 본문, 발신자 정보, 전송 시각, 미디어 파일이 서로 다른 위치에 저장될 수 있습니다. 한 경로만 확인하면 내용은 찾았지만 맥락을 잃을 수 있습니다.

삭제와 동기화는 같은 현상이 아닙니다

사용자가 메시지를 지운 경우, 서버 정책에 따라 기기에서도 바로 없어질 수 있고 일부 메타데이터만 남을 수 있습니다. 다른 기기에서 로그아웃하거나 계정이 비활성화되어도 비슷한 변화가 생깁니다. 저는 '화면에 없다'는 사실을 삭제 행위와 곧바로 연결하지 않습니다.

앱 업데이트도 저장 구조를 바꿉니다. 이전 버전에서 쓰던 데이터베이스가 새 형식으로 변환되거나, 암호화 키의 보관 위치가 달라질 수 있습니다. 분석 도구가 지원하는 앱 버전과 단말의 실제 버전이 맞지 않으면 일부 데이터가 누락되거나 잘못 해석될 수 있습니다.

도구 결과를 원시 데이터와 맞춰 봅니다

분석 도구가 보기 좋은 대화 목록을 만들어 주더라도 저는 중요한 항목을 원시 데이터와 다시 맞춰 봅니다. 시각 변환, 삭제 상태, 참여자 식별값처럼 판단에 영향을 주는 필드는 특히 그렇습니다. 자동 분류는 검토의 시작점이지 최종 판단이 아닙니다.

수집 방식에 따라 확인 범위도 다릅니다. 일반 백업, 파일 시스템 수집, 물리적 수집은 접근할 수 있는 영역이 서로 다릅니다. 보고서에는 어떤 방식으로 무엇을 확보했는지와 함께, 그 방식으로 확인하기 어려운 영역도 적어야 합니다.

실무에서 확인할 항목

• 앱 버전과 단말 운영체제 버전
• 화면 데이터, 로컬 저장 데이터, 서버 데이터의 구분
• 분석 도구 결과와 원시 데이터의 대조
• 수집 방식에 따른 확인 범위와 한계

빠른 요약보다 입력 범위를 먼저 봅니다

수천 건의 문서에서 관련 가능성이 있는 자료를 가려낼 때 AI는 유용한 보조 수단이 될 수 있습니다. 저는 먼저 어떤 자료가 입력되는지 확인합니다. 조사 대상 문서에는 개인정보, 영업상 비밀, 법률 검토 내용이 섞일 수 있어 외부 서비스로 전송하는 순간 별도의 위험이 생깁니다.

모델이 데이터를 학습에 사용하는지, 입력과 출력이 어디에 저장되는지, 관리자나 서비스 제공자가 접근할 수 있는지를 확인해야 합니다. 기술의 정확도보다 먼저 정해야 할 것은 처리 경계입니다.

AI의 답은 증거가 아니라 탐색 단서입니다

AI는 문서의 주제를 묶고, 유사한 표현을 찾고, 검토 순서를 정하는 데 도움을 줄 수 있습니다. 다만 누가 어떤 행위를 했는지 판단하는 단계에서는 원문과 원시 기록으로 돌아가야 합니다. 요약 과정에서 조건문이나 부정 표현이 빠지면 문서의 의미가 달라질 수 있습니다.

저는 AI가 제시한 분류를 표본으로 재검토하고, 반대 사례도 따로 찾습니다. 관련성이 낮다고 분류된 자료 중 중요한 문서가 빠지지 않았는지 확인하는 절차가 필요합니다. 탐지된 항목만 살피면 누락을 알 수 없습니다.

같은 결과를 다시 설명할 수 있어야 합니다

분석에 사용한 모델과 버전, 입력 범위, 지시문, 주요 설정, 검토 기준을 기록합니다. 모델이 바뀌면 같은 입력에서도 출력이 달라질 수 있으므로 결과 문장만 보관해서는 재현하기 어렵습니다. 가능하면 핵심 판단은 규칙과 원문 근거로 다시 표현합니다.

보고서에서는 AI가 수행한 부분과 사람이 확인한 부분을 나눕니다. AI가 초벌 분류를 했고 분석자가 원문을 확인했다면 그 과정을 그대로 적습니다. 도구의 역할을 숨기지 않는 것이 결과의 한계를 이해하는 데 도움이 됩니다.

실무에서 확인할 항목

• 입력 데이터의 반출 및 보관 조건
• 모델, 버전, 지시문과 설정 기록
• 오탐뿐 아니라 누락에 대한 표본 검토
• 최종 판단의 원문 및 원시 기록 연결

자리를 비운 뒤에도 생기는 기록

한 조사에서, 업무가 끝난 밤 11시대에 특정 공유 폴더의 파일 수십 개가 연속으로 열린 기록이 나왔습니다. 마침 그 시각 사무실에 남아 있던 직원이 있어, 처음에는 그 사람이 자료를 열람한 것처럼 보였습니다. 그러나 백업이나 색인 생성 프로그램이 파일을 읽었을 가능성도 있습니다.

저는 접근한 시각보다 그 기록을 만든 동작을 먼저 살핍니다. 보안 검사, 미리보기, 동기화도 파일을 처리하며 같은 흔적을 남깁니다. 다만 실제로 어떤 기록이 남는지는 운영체제와 프로그램, 설정에 따라 달라지므로, 한 환경의 경험을 다른 환경에 그대로 대입하지 않습니다.

자동 실행을 판단하는 단서

예약 작업의 설정, 실행 계정, 관련 프로세스와 프로그램 로그를 함께 봅니다.

• 일정한 간격으로 반복되는지, 특정 서비스가 시작될 때 나타나는지 확인합니다.
• 규칙적인 시각만으로 자동 작업이라 확정하지 않습니다. 반복 작업을 사람이 직접 수행했을 수도 있어, 실행 당시의 로그와 설정이 맞물리는지 봅니다.
• 사용자 계정으로 실행되었다는 사실도 직접 조작의 충분한 근거는 아닙니다. 같은 계정으로 예약 작업이 수행될 수 있습니다.

실행과 설정을 나누어 봅니다

자동으로 실행된 작업이라도 누군가 그렇게 설정했을 수 있습니다. 파일 전송이 예약되어 있었다면 실행 방식과 설정 변경의 주체를 별도로 살핍니다. 필요하면 별도 시험 환경에서 동작을 재현하되, 현재 버전에서 재현한 결과를 과거 환경에 그대로 적용하지 않도록 버전과 설정 차이를 확인합니다.

정리

분석 결과는 직접 조작을 뒷받침하는 경우, 자동 작업으로 설명되는 경우, 자료가 부족해 구분하기 어려운 경우로 나뉩니다. 표면 단서인 시각의 규칙성이나 계정 이름으로 사람을 특정하기 전에, 기록을 만든 동작을 먼저 분리하고 실행과 설정을 나눠 보는 것이 핵심입니다.

짧은 답변이 가리키는 대상

한 조사에서 확보한 메신저 대화에 "그렇게 진행하세요"라는 한 줄이 있었습니다. 앞에서는 일정 변경과 자료 전달을 함께 이야기하고 있었는데, 이 답이 어느 제안에 대한 것인지에 따라 승인의 범위가 달라졌습니다.

메시지를 내보내거나 분석 도구로 표시하는 과정에서 답장 연결이 생략되면, 실제 대화에서는 분명했던 관계가 모호해집니다. 저는 문장과 함께 답장 대상, 인용 내용, 앞뒤 발언을 확인합니다.

참여자 목록의 시간 차이

지금 대화방에 있는 사람이 과거에도 참여했다고 볼 수 없고, 반대로 나간 사람도 참여 당시 자료를 보유하고 있을 수 있습니다. 그래서 다음을 구분합니다.

• 초대·퇴장 시점, 과거 대화의 표시 방식, 확보한 데이터의 범위.
• 읽음 상태의 서비스별 의미. 화면에 표시된 상태만으로 내용을 이해했거나 동의했다고 판단하기는 어렵습니다.

파일명보다 버전

같은 이름의 파일이 여러 번 올라왔다면 "수정했습니다"가 어느 파일을 가리키는지 확인합니다. 파일명만 같고 내용은 다를 수 있습니다. 첨부의 실제 내용, 전달 시점, 뒤따르는 답변을 연결하면 어떤 자료를 전제로 의견이 오갔는지 살필 수 있습니다. 연결할 파일이 없으면 그 부분의 해석은 제한됩니다.

발췌할 때 남겨야 할 맥락

보고서에 모든 대화를 옮길 필요는 없습니다. 다만 판단에 영향을 주는 조건과 반대 의견, 답장 관계는 발췌 과정에서 빠지지 않아야 합니다. 메시지에는 발언자의 주장도 담기므로, 누군가 "승인을 받았다"고 말한 사실과 실제 승인이 존재하는지는 별개의 확인 항목입니다.

정리

정리하면, 메신저 기록은 화면에 보이는 것만으로 판단하지 않습니다. 답장 대상과 참여 시점, 첨부 버전을 연결해 맥락을 복원하고, 발언 속 주장과 실제 확인 사실을 끝까지 구분합니다.

휴대전화에는 없지만 캡처는 남아 있습니다

메신저 대화 캡처 이미지만 제출된 경우, 담당자는 해당 이미지에 편집 흔적이 있는지 확인해 달라는 요청을 받을 수 있습니다. 대화방이 삭제돼 원본 대화기록을 확보하기 어렵다면 이미지 파일 자체의 특성과 표시된 대화의 사실 여부를 구분해 검토해야 합니다.

이때 먼저 정해야 할 것은 확인하려는 사실입니다. 제공된 파일이 접수 이후 바뀌지 않았는지, 캡처 후 이미지가 편집됐는지, 표시된 대화가 실제 송수신 기록과 일치하는지는 서로 다른 질문입니다.

파일 구조와 화면 내용을 함께 살핍니다

이미지 진정성 검토에서는 파일 형식·메타데이터 등 구조적 정보와 문자·배치·경계 등 시각적 내용을 함께 살핍니다. SWGDE 지침도 이 두 영역을 함께 검토하도록 설명하며, 현재의 기법으로 탐지하기 어려운 이미지 조작이 존재할 수 있음을 명시합니다. 이는 기술 지침이며 국내의 법적 증거능력 판단 기준 자체는 아닙니다.

PNG처럼 무손실 압축을 사용하는 형식도 편집 후 다시 저장할 수 있습니다. 따라서 무손실 형식이라는 사실이 무편집을 의미하지는 않습니다. 메타데이터가 없거나 글자 주변에 차이가 있다는 사실도 단독으로 위조를 입증하지는 못합니다. 기기·앱 버전·화면 배율·전달 및 저장 과정에 따른 정상적인 차이를 검토해야 합니다.

실무에서 확인할 사항

• 재캡처본이나 문서 삽입본보다 최초 저장 파일을 확보할 수 있는지
• 캡처 기기·앱·시점과 전달·저장 경위가 확인되는지
• 비교 가능한 정상 화면과 연속 캡처가 있는지
• 의심 특성이 정상적인 표시·저장 과정에서도 발생하는지
• 권한과 적법한 확보 범위 안에서 기기·백업·상대방 자료와 대조할 수 있는지

보고서에는 적용한 방법에서 편집을 뒷받침하는 특성이 확인됐는지와 판단하지 못한 부분을 구분합니다. 편집 흔적이 발견되지 않았다는 결과만으로 실제 대화의 존재와 작성자까지 확인됐다고 설명해서는 안 됩니다. 이미지 분석과 대화 기록 대조를 연결해야 할 이유입니다.

미발견을 읽는 순서

한 사안에서 받은 포렌식 보고서에 "외부 전송 흔적이 발견되지 않았다"고 적혀 있었습니다. 이 한 문장을 근거로 유출이 없었다고 결론지으려는 움직임이 있었지만, 같은 결과도 분석 범위에 따라 뜻이 달라집니다.

대상 PC만 확인했는지, 메일과 클라우드 기록도 포함했는지, 필요한 기간의 로그가 남아 있었는지 먼저 봅니다. 확인할 기록이 없는 상태와, 충분한 자료를 검토했지만 흔적을 찾지 못한 상태는 구분해야 합니다.

보고서의 세 층위

저는 결과를 읽을 때 다음을 나누어 봅니다.

• 관찰 사실: 확보한 자료에서 직접 확인한 값이나 기록.
• 분석 의견: 여러 기록과 동작 원리를 바탕으로 해석한 내용.
• 확인 한계: 자료나 방법의 제약으로 판단하지 못한 부분.

"가능성이 높다"는 표현이 있으면 무엇을 근거로 한 것인지 살피고, 수치 평가를 하지 않았다면 통계적 확률처럼 받아들이지 않습니다.

기술적 결과와 조직의 결정

파일 이동이 확인되어도 승인된 업무였는지는 추가 검토가 필요하며, 징계나 법적 책임은 규정·권한·경위와 함께 판단합니다. 저장매체 연결, 파일 접근, 복사, 외부 전달은 각각 다른 행위라, 앞 단계 기록이 있다는 이유로 뒤 단계까지 확인된 것으로 읽지 않습니다.

추가 분석을 요청할 때

"더 자세히 분석해 달라"는 요청보다 남은 질문을 구체적으로 적는 편이 낫습니다. 어떤 파일의 이동인지, 어느 기간인지, 어떤 경로를 추가 확인하려는지 정하는 것입니다. 필요한 자료가 남아 있지 않으면 범위를 늘려도 답을 얻기 어렵습니다. 보고서의 제한은 추가 작업의 필요성뿐 아니라 가능성을 판단하는 기준이 됩니다.

정리

정리하면, 보고서의 결론은 분석 범위 안에서만 유효합니다. 미발견이 무엇을 뜻하는지 먼저 확인하고, 관찰 사실과 의견과 한계를 나눠 읽어야 후속 결정을 그르치지 않습니다.

사례로 보는 문제

가상의 사례입니다. 회사가 반납받은 PC에서 파일을 삭제하고 휴지통을 비운 뒤 매각을 준비합니다. 담당자는 파일 목록이 비어 있으므로 회사 정보도 제거됐다고 판단합니다. 그러나 화면에서 보이지 않는다는 사실만으로 저장매체의 데이터가 안전하게 제거됐다고 볼 수는 없습니다.

삭제와 정리의 목적을 구분합니다

일반적인 파일 삭제는 파일시스템에서 해당 공간을 재사용할 수 있도록 표시하는 방식으로 이뤄질 수 있습니다. 실제 내용의 잔존 여부는 이후 덮어쓰기, 저장장치 내부 동작, 암호화 상태 등에 따라 달라집니다. 삭제 파일은 항상 복구된다는 설명도 정확하지 않습니다.

이 글에서 매체 정리(Media Sanitization)는 정해진 수준의 노력으로는 대상 데이터에 접근하는 것이 실현 불가능하도록 처리하는 절차를 뜻합니다. 모든 상황에서의 복구 불가능을 보장한다는 뜻은 아닙니다. SSD는 내부 영역 관리 방식이 HDD와 달라 일반적인 파일 덮어쓰기만으로 전체 영역을 처리했다고 보기 어렵습니다. 매체가 지원하는 기능과 적용 조건을 확인해야 합니다.

처리 결과와 증거보존을 함께 확인합니다

포맷이나 초기화도 명칭만으로 효과를 판단하지 않습니다. 실제 수행 방식과 범위를 확인하고, 조사나 분쟁으로 보존해야 할 자료가 있다면 정리 전에 보존 범위와 처리 승인을 결정합니다. 복구 결과는 파일명만 남은 경우, 내용 일부가 확인된 경우, 전체 내용이 확인된 경우로 구분합니다.

실무에서 확인할 사항

• 매체 종류와 식별정보, 정보의 민감도 및 재사용·처분 목적
• 조사·분쟁 등으로 인한 보존 요구와 처리 승인 여부
• 적용 방법이 해당 매체와 암호화·키 관리 조건에 적합한지
• 수행 완료 여부와 결과의 적절성, 실패 매체의 후속 처리
• 수행자·시각·결과 확인 기록과 매체 인계 경로

사례로 보는 문제

가상의 사례입니다. 통화 녹음을 MP3로 전달받았고 제출자는 휴대전화의 M4A 파일을 변환했을 뿐이라고 설명합니다. 분석에서 인코딩 정보와 일부 음향 특성의 차이가 발견됐습니다. 이것만으로 대화를 잘라내거나 이어 붙였다고 판단할 수는 없습니다.

변환 방식과 편집 여부를 나누어 확인합니다

확장자 변경, 인코딩된 음성을 유지한 컨테이너 변경, 음성 데이터를 다시 인코딩하는 재인코딩은 구분해야 합니다. 재인코딩이 언제나 손실압축을 뜻하는 것은 아닙니다. M4A 등의 명칭만으로 실제 코덱과 처리 과정을 확정하지 않고 파일 내부 구조를 확인합니다.

재인코딩은 내용 삭제 없이도 메타데이터와 압축 특성을 바꾸고 기존 흔적의 관찰을 어렵게 할 수 있습니다. 음향의 불연속도 녹음 환경, 통신 상태나 기기의 처리로 발생할 수 있습니다. 파일 구조·신호 분석·청취 결과와 제출 경위를 함께 검토하고 가능한 경우 동일 기기·앱·설정의 비교자료를 활용합니다.

해시값과 분석 결론의 범위를 구분합니다

확보 당시와 분석용 사본의 해시값을 비교하면 그 두 파일의 동일성을 확인하는 데 도움이 됩니다. 그러나 확보 전에 편집되지 않았다는 사실까지 증명하지는 않습니다. 정상 변환본과 특성이 비슷하다는 결과도 편집 가능성 전체를 배제하지 못합니다.

이 글의 진정성 검토는 주장된 생성·변환 경위와 기술적 특성이 부합하는지 살피는 분석입니다. 원녹음이 없어도 일부 특성을 분석할 수 있습니다. 적절한 분석을 수행했으나 편집 근거를 찾지 못한 경우에는 그 범위를 명시하고, 자료나 방법의 제약으로 판단할 수 없는 경우에는 판단 불가 사유를 적습니다. 어느 경우도 무편집의 증명이나 법적 증거능력 판단으로 확대하지 않습니다.

실무에서 확인할 사항

• 최초 녹음파일·기기·앱과 제출·변환 경위
• 실제 코덱, 변환 프로그램·버전·설정
• 파일별 해시값과 확보 이후 취급이력
• 의심 특성의 정상 발생 가능성과 비교시험 조건
• 분석방법의 검증 상태와 결론을 뒷받침하는 관찰 결과