모바일 앱 데이터
스마트폰 화면에 보이는 내용과 기기 내부에 남은 데이터가 다른 이유, 앱별 저장 구조와 수집 한계를 다룹니다.
화면은 데이터의 일부만 보여 줍니다
메신저 대화방에는 몇 줄만 남아 있는데 기기 내부 데이터베이스에는 대화방 식별값과 전송 상태가 남아 있는 경우가 있습니다. 반대도 있습니다. 화면에는 보이지만 실제 내용은 서버에서 잠시 불러온 것이어서 기기 안에는 거의 남지 않습니다. 저는 화면을 기록의 원본으로 보기보다 앱이 선택해 보여 주는 결과로 봅니다.
모바일 앱은 데이터베이스, 설정 파일, 캐시, 첨부파일 폴더를 나누어 사용합니다. 같은 메시지도 본문, 발신자 정보, 전송 시각, 미디어 파일이 서로 다른 위치에 저장될 수 있습니다. 한 경로만 확인하면 내용은 찾았지만 맥락을 잃을 수 있습니다.
삭제와 동기화는 같은 현상이 아닙니다
사용자가 메시지를 지운 경우, 서버 정책에 따라 기기에서도 바로 없어질 수 있고 일부 메타데이터만 남을 수 있습니다. 다른 기기에서 로그아웃하거나 계정이 비활성화되어도 비슷한 변화가 생깁니다. 저는 '화면에 없다'는 사실을 삭제 행위와 곧바로 연결하지 않습니다.
앱 업데이트도 저장 구조를 바꿉니다. 이전 버전에서 쓰던 데이터베이스가 새 형식으로 변환되거나, 암호화 키의 보관 위치가 달라질 수 있습니다. 분석 도구가 지원하는 앱 버전과 단말의 실제 버전이 맞지 않으면 일부 데이터가 누락되거나 잘못 해석될 수 있습니다.
도구 결과를 원시 데이터와 맞춰 봅니다
분석 도구가 보기 좋은 대화 목록을 만들어 주더라도 저는 중요한 항목을 원시 데이터와 다시 맞춰 봅니다. 시각 변환, 삭제 상태, 참여자 식별값처럼 판단에 영향을 주는 필드는 특히 그렇습니다. 자동 분류는 검토의 시작점이지 최종 판단이 아닙니다.
수집 방식에 따라 확인 범위도 다릅니다. 일반 백업, 파일 시스템 수집, 물리적 수집은 접근할 수 있는 영역이 서로 다릅니다. 보고서에는 어떤 방식으로 무엇을 확보했는지와 함께, 그 방식으로 확인하기 어려운 영역도 적어야 합니다.
실무에서 확인할 항목
- 앱 버전과 단말 운영체제 버전
- 화면 데이터, 로컬 저장 데이터, 서버 데이터의 구분
- 분석 도구 결과와 원시 데이터의 대조
- 수집 방식에 따른 확인 범위와 한계
