"그 파일, 지웠는데요?" — 어느 의뢰인의 이야기
다급히 걸려온 전화 한 통. 수사기관이 집으로 찾아와 휴대폰을 압수해 갔다는 떨리는 목소리였습니다. 의뢰인은 이렇게 말했습니다. "문제 될 만한 건 이미 다 지웠는데, 괜찮은 거겠죠?"
안타깝지만 이 질문에 대한 답은 "아니요"에 가깝습니다. 스마트폰에서 삭제 버튼을 눌렀다고 해서 데이터가 소멸하는 것은 아니기 때문입니다. 오히려 삭제 행위 자체가 나중에 불리한 정황으로 해석되거나, 최악의 경우 증거인멸 문제로 번질 수도 있습니다.
반대의 상황도 있습니다. 스토킹이나 사기 피해를 입었는데 상대방과 주고받은 대화를 실수로 지워버려 "증거가 없다"며 발만 구르는 분들입니다. 이분들에게는 삭제된 데이터가 복원될 수 있다는 사실이 곧 희망이 됩니다.
휴대폰 포렌식은 단순한 '데이터 복구'가 아닙니다
많은 분이 핸드폰 포렌식을 "지워진 파일을 되살리는 기술" 정도로 이해하십니다. 절반만 맞는 이야기입니다.
사설 복구업체가 하는 데이터 복구는 말 그대로 파일을 살려내는 데서 끝납니다. 반면 휴대폰 포렌식은 스마트폰 안의 문자, 통화 내역, 메신저 대화, 사진, 앱 사용 흔적 같은 디지털 정보를 과학적 절차에 따라 수집·분석하고, 그 전 과정을 문서로 남겨 법정에서 증거로 인정받을 수 있는 상태로 만드는 작업입니다.
핵심은 '복구'가 아니라 '증거능력'에 있습니다. 아무리 결정적인 자료를 찾아내더라도 수집 과정에 흠이 있으면 재판에서 쓸 수 없기 때문입니다.
디지털 포렌식의 법적 근거
형사소송법 제308조의2는 위법수집증거 배제 원칙을 명문화하고 있습니다. 적법한 절차를 따르지 않고 확보한 증거는 아예 증거로 삼을 수 없다는 뜻입니다.
형사소송법 제308조의2(위법수집증거의 배제) 적법한 절차에 따르지 아니하고 수집한 증거는 증거로 할 수 없다. |
그래서 디지털 포렌식은 임의제출이든 압수수색 영장에 의한 것이든 반드시 적법 절차 위에서 이루어져야 하며, 다음 두 가지 장치를 통해 증거의 신뢰성을 뒷받침합니다.
체인 오브 커스터디(Chain of Custody): 증거가 누구 손을 거쳐 어떻게 보관·이동되었는지 처음부터 끝까지 추적 가능하게 기록하는 관리 체계
해시값(Hash Value) 검증: 추출된 데이터가 원본에서 단 1비트도 변경되지 않았음을 수학적으로 증명하는 기술
이 두 가지가 갖춰지지 않은 자료는 "조작되었을 가능성"이라는 반격 앞에 무력해집니다.
삭제한 데이터는 어떻게 다시 살아나는가
"지웠는데 어떻게 찾아내죠?" 상담 현장에서 가장 자주 듣는 질문입니다. 답은 스마트폰이 데이터를 저장하고 지우는 방식에 숨어 있습니다.
스마트폰은 플래시 메모리에 데이터를 저장하고, 운영체제는 파일의 실제 위치를 '파일 시스템'이라는 목록에 기록해 둡니다. 그런데 사용자가 파일을 삭제하면 어떤 일이 벌어질까요? 놀랍게도 대부분의 경우 데이터 본체는 그대로 남고, 목록에서 주소만 지워집니다. 도서관에서 책은 서가에 그대로 둔 채 색인 카드만 버린 셈입니다.
주소를 잃은 데이터가 머무는 공간을 '비할당 영역'이라고 부르는데, 핸드폰 포렌식은 바로 이 영역을 정밀하게 뒤져 삭제된 문자, 사진, 메신저 대화의 흔적을 찾아냅니다. 여기에 더해 캐시 파일, 임시 파일, 시스템 로그, 사진에 숨은 EXIF 정보처럼 사용자가 존재조차 모르는 영역에서도 의미 있는 단서가 나오는 경우가 많습니다.
다만 시간이 흐를수록 새 데이터가 그 위에 덮어쓰기되면서 복원 가능성은 떨어집니다. 포렌식에서 속도가 곧 증거라고 말하는 이유이며, 사건 초기에 전문가를 찾아야 하는 이유이기도 합니다.
핸드폰 포렌식은 어떤 절차로 진행되나
디지털 포렌식은 크게 획득 → 분석 → 검토·보고의 세 단계를 거칩니다.
1단계, 데이터 획득. 대상 기기의 저장 내용을 이미지 파일 형태로 통째로 추출합니다. 이때 쓰기 방지 장치 등을 사용해 원본이 조금이라도 변경되지 않도록 하는 것이 철칙입니다. 획득 방식은 상황에 따라 달라지는데, 운영체제가 허용하는 범위의 자료만 복사하는 논리적 획득, 파일 시스템 전체를 확보하는 방식, 그리고 메모리를 비트 단위로 통째로 복제해 비할당 영역까지 확보하는 물리적 획득으로 나뉩니다. 물리적 획득이 가장 많은 정보를 얻을 수 있지만 기술 난이도도 가장 높습니다.
2단계, 정밀 분석. 추출한 이미지를 전용 포렌식 프로그램으로 분석해 삭제 파일 복구를 시도하고, 각종 앱 데이터를 해부하며, 통화·메시지·위치정보·접속기록을 시간 순서대로 재구성합니다. 파편처럼 흩어진 정보를 연결해 사건의 타임라인을 복원하는 단계입니다.
3단계, 검토와 보고. 복원된 방대한 자료 가운데 사건과 관련된 핵심 증거만 선별하고, 추출 방법·해시값·보존 절차를 담은 포렌식 보고서를 작성합니다. 이 보고서를 변호사가 법리적으로 검토한 뒤 재판부에 제출함으로써 비로소 '법정에서 통하는 증거'가 완성됩니다.
포렌식으로 확보할 수 있는 증거의 범위
연락처, 통화 기록, 문자메시지(SMS·MMS) — 삭제분 포함
카카오톡·텔레그램·인스타그램 DM 등 메신저 대화
사진·동영상·음성녹음 파일과 원본 여부 감정
GPS 타임라인, 위치정보, 사진 메타데이터
이메일, 메모, 일정, 인터넷 접속 기록
클라우드 동기화 기록과 시스템 로그
휴대폰 압수수색 포렌식 — 내 폰이 압수됐다면 이것만은 기억하세요
수사 실무에서 휴대폰은 '걸어 다니는 증거 창고'로 볼 수 있습니다. 그만큼 휴대폰 압수수색 포렌식은 형사사건의 승패를 가르는 분수령이 되곤 합니다. 이 국면에서 피의자 혹은 피압수자가 알아야 할 것이 세 가지 있습니다.
첫째, 영장의 범위를 확인해야 합니다. 압수수색 영장에는 혐의사실과 압수 대상이 특정되어 있습니다. 수사기관이라고 해서 휴대폰 속 모든 데이터를 무제한으로 뒤질 수 있는 것이 아니며, 영장 기재 범위를 벗어난 탐색으로 얻은 자료는 위법수집증거로 다툴 여지가 생깁니다.
둘째, 포렌식 절차 참여권을 반드시 행사해야 합니다. 수사기관이 압수한 휴대폰에서 데이터를 추출·탐색하는 과정에 피압수자나 변호인이 참여할 권리가 보장됩니다. 변호인이 참여해 절차 위반을 현장에서 지적하고 기록으로 남기는지 여부가 이후 증거능력 다툼에서 결정적 차이를 만듭니다.
셋째, 임의로 데이터를 지우는 것은 절대 금물입니다. 수사기관은 디지털 포렌식으로 삭제 파일 상당수를 복원할 수 있고, 삭제 시각까지 확인됩니다. 잘못 손을 대면 사건 자체보다 무거운 부담, 즉 형법 제155조의 증거인멸 문제가 추가될 수 있습니다. 무엇을 해도 되고 무엇을 하면 안 되는지는 반드시 변호사와 상의한 뒤 움직여야 합니다.
그리고 하나 더. 수사기관이 내놓은 포렌식 결과가 언제나 옳은 것은 아닙니다. 복원된 데이터는 파편화되어 있거나 맥락이 잘려 있는 경우가 많고, 접속 시간이 수 초에 불과하다거나 자동 다운로드 설정에 의해 저장된 파일이라는 사정은 기술적 분석을 통해서만 드러납니다. 경찰 포렌식 결과를 그대로 받아들일지, 재분석과 반박으로 다툴지를 판단하는 것이야말로 포렌식을 이해하는 변호사의 역할입니다.
포렌식 결과 - 한계도 알아야 제대로 대응할 수 있습니다.
디지털 포렌식이 모든 것을 밝혀주는 마법은 아닙니다.
최신 스마트폰은 운영체제 차원의 강력한 암호화를 기본 탑재하고 있어 잠금 해제 자체가 벽이 되기도 하고, 메신저의 종단간 암호화는 내용 해독을 어렵게 만듭니다. 데이터가 기기 밖 클라우드 서버에 흩어져 있으면 분석 범위와 법적 쟁점이 함께 늘어나며, 덮어쓰기가 진행된 자료는 일부만 조각난 채 복원되기도 합니다.
그래서 복원된 데이터 하나만 떼어 놓고 성급하게 결론을 내리는 것은 위험합니다. 농담으로 오간 메시지가 맥락을 잃으면 위협처럼 읽힐 수 있듯, 디지털 증거는 반드시 전체 정황 속에서 해석되어야 하고 다른 증거와 교차 검증되어야 합니다. 포렌식은 '가능성'을 보여주는 도구이지 그 자체로 '확정된 진실'이 아니라는 점, 이것을 아는 것이 오히려 포렌식을 무기로 쓰는 출발점입니다.
휴대폰 포렌식, 왜 변호사와 함께해야 하는가
정리하면 이렇습니다. 핸드폰 포렌식에서 기술은 절반일 뿐이고, 나머지 절반은 법률입니다.
혼자 복구를 시도하다 원본을 훼손하면 되살릴 기회 자체가 사라지고, 절차 기록 없이 확보한 자료는 법정 문턱을 넘지 못합니다. 반대로 수사기관의 포렌식 결과 앞에서 기술적 반박 능력 없이 앉아 있으면 불리한 해석을 그대로 뒤집어쓰게 됩니다. 증거를 지키는 일도, 증거와 싸우는 일도 결국 법률 전문가의 영역과 맞닿아 있습니다. 그만큼 포렌식 변호사의 역할이 중요합니다.
특히 저희 법무법인 에이파트의 검사 출신 용성호 변호사와 임성열 변호사는 수사기관 재직 시절 압수수색 영장 청구와 집행, 디지털 증거의 수집·분석·활용이 실제 어떤 논리로 이루어지는지를 수사의 안쪽에서 직접 경험한 변호사들입니다.
수사기관이 휴대폰 포렌식 결과를 어떤 관점에서 읽고 어디에 무게를 싣는지 알기에, 영장 범위의 적법성 판단과 압수수색 현장 대응, 포렌식 참여권 행사, 수사기관 분석 결과에 대한 검토와 반박, 재판 제출 전략 수립까지 사건의 처음과 끝을 상대의 시각까지 계산에 넣은 하나의 흐름으로 설계합니다.
휴대폰이 압수되었거나, 삭제된 대화가 필요하거나, 상대방이 내민 디지털 증거를 다퉈야 하는 상황이라면 시간이 지날수록 선택지는 줄어듭니다. 데이터가 덮어쓰이기 전에, 그리고 돌이킬 수 없는 실수를 하기 전 경험 많은 법률전문가와 상담을 통해 첫 단추를 바로 끼우시기 바랍니다.
