압수된 휴대전화, 포렌식을 한다고 합니다… 그게 뭐죠?

디지털 포렌식이란?
간단하게 말하면, 휴대전화 안에 있는 데이터, 특히 삭제된 데이터를 원 상태로 복원하여 분석하는 것을 의미합니다. 물론 이는 좁은 의미에서의 포렌식이며, 좀 더 넓은 의미의 포렌식은 삭제된 파일을 복원하고, 데이터를 기준에 따라 분석하며, 네트워크 트래픽을 대조해보는 모든 작업을 의미합니다. 또한 휴대전화에 걸려 있는 암호를 해제하는 행위도 포렌식에 포함될 수 있습니다.

휴대전화를 포렌식하면 삭제된 정보가 복원되는데, 수사기관은 삭제 정보가 범죄와 연관되어 있는지를 확인합니다. 또한 삭제된 정보를 분석하면 사용자가 어느 시점에서 어떠한 패턴으로 디지털 정보를 삭제하였는지도 확인할 수 있습니다. 만약 휴대전화 소유자 또는 사용자가 범죄와 연루되어 있는 경우, 삭제 관련 정보는 범죄 시점, 다른 공범들과의 통화, 연락, 행동 패턴 등과 종합적으로 연계되어 특정한 범죄 혐의를 구체화 하는 데 도움을 줄 수 있습니다.

포렌식에서 가장 중요한 것은 소유자가 당초 저장된 데이터와 압수 후 포렌식의 결과물이 동일해야 한다는 점입니다.


포렌식을 하면 삭제된 정보가 모두 복구되나?
포렌식은 휴대전화 외에도 컴퓨터 하드디스크나 저장장치, USB 등에 대해서도 이루어질 수 있습니다. 그러나 포렌식을 한다고 하여 삭제된 모든 정보가 100% 복구되는 것은 아닙니다. 우리가 사진이나 동영상을 찍거나 메시지 등을 받게 될 때, 이 파일은 1개의 파일로 저장되지 않습니다. 예를 들면 표면상 1개의 파일로 보여도 사실은 A와 B, C가 결합된 파일인 것이지요. 즉 1개의 파일은 A, B, C 등 조각으로 나뉘어 휴대전화 여러 곳에 분산되어 저장됩니다.

포렌식을 통해 삭제된 파일을 복원한다는 것은, 쉽게 말하면 ① 휴대전화 여러 곳에 분산되어 있는 조각난 파일들을 ② 현재 휴대전화에 남아 있는 정보를 참조하거나 조합하여 ③ 1개의 파일로 재구성한 후 이를 보여주는 것입니다.


좀 더 구체적으로 설명하면, 포렌식은 복구 프로그램을 사용하여 삭제된 파일이 있는 영역에 접근한 후 먼저 그 영역에 포함되어 있는 메타데이터 또는 스왑파일 등에서 삭제 로그를 되살리면서 시작됩니다.

스왑 파일은 일종의 임시파일인데, 전원이 꺼져도 보존된다는 특징이 있어 포렌식을 할 때 일종의 길잡이처럼 유용하게 사용할 수 있습니다. 이 스왑 파일을 통해 삭제된 데이터를 복구하게 절차가 시작되는 것이지요.


포렌식 된 파일은 원래의 원본 파일은 아니다
포렌식을 통해 복원된 파일은 원래의 파일은 아닙니다. 조각조각 난 파일을 원본파일처럼 재구성한 것이지요(내용과 모양이 동일해도 원본 파일이 아닌 것입니다). 따라서 포렌식 된 파일을 증거로 사용하기 위해서는 조각조각난 데이터가 저장된 영역들을 개별적으로 확인하여, 그 영역에서 특정한 데이터가 복원되었고, 이 데이터가 재조합되어 1개의 파일로 재구성되었으며, 그 과정에 결함이 없고 데이터 또한 동일하다는 점을 입증해야 합니다. 복잡하지요.

휴대전화 저장장치의 크기가 클수록 디지털 포렌식에 걸리는 시간은 늘어날 수밖에 없습니다. 특히 포렌식은 1번으로 끝나는 것이 아닙니다. 첫번 째 나오지 않던 데이터가 두번 째 포렌식 과정에서 나오는 경우도 있습니다. 이러한 이유로 포렌식은 한 번에 끝나기 보다는 여러 번 포렌식을 합니다. 시간이 오래 걸릴 수 있는 것이지요.


[허윤 변호사는?] 법무법인 LKB & Patners 형사대응팀, 압수수색대응팀. 국회, 검찰청, 선거관리위원회, 정부 부처, 교육청, 기업 본사 등 주요 시설에 대한 압수수색을 집행. 고위공직자범죄수사처 검사, 대한변호사협회 수석대변인, 서울중앙지방법원 연계 조기조정위원, 대법원 국선변호인 등으로 활동. “쫄지 마, 압수수색(2024. 6. 좋은땅 출판사) 발간

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지