컴퓨터 포렌식이란 무엇인가
컴퓨터 포렌식(PC 포렌식)은 데스크톱, 노트북, 하드디스크, SSD, USB 메모리, 외장하드 같은 저장매체에 기록된 데이터를 원본을 훼손하지 않은 채 수집·복원·분석하여 법적 절차에 쓸 수 있는 형태로 정리하는 기술입니다.
디지털 포렌식이라는 큰 범주 안에서 모바일 포렌식, 네트워크 포렌식, 클라우드 포렌식과 나란히 놓이는 분야이지만, 형사·민사 실무에서 가장 자주 등장하는 것은 여전히 PC와 노트북, 그리고 거기에 꽂혔던 이동식 저장장치입니다.
분석 대상은 문서 파일에 그치지 않습니다. 파일이 만들어지고 수정되고 열린 시각, 어떤 USB가 언제 연결되었는지, 어떤 파일이 외부 장치로 복사되었는지, 어떤 웹사이트에 접속해 무엇을 내려받았는지, 메신저와 이메일에서 무엇이 오갔는지 — 사용자가 의식하지 못하는 사이 운영체제가 남겨둔 수백 가지 흔적이 모두 분석 대상입니다.
수사기관 입장에서 저장매체 포렌식은 "무슨 일이 있었는지"를 시간 순으로 재구성하는 도구입니다. 피의자 입장에서는 "무엇이 나올 수 있는지"를 미리 아는 것이 방어의 출발점이고, 피해 기업 입장에서는 "무엇을 어떻게 확보해야 증거가 되는지"를 아는 것이 소송의 출발점입니다.
삭제 버튼을 눌러도 데이터가 남는 이유 — 하드디스크 포렌식의 원리
많은 분들이 파일을 지우고 휴지통을 비우면 데이터가 없어진다고 생각합니다. 실제로는 그렇지 않습니다.
삭제는 '지우기'가 아니라 '표시 해제'입니다
하드디스크에서 파일을 삭제하면 운영체제는 그 파일이 차지하던 공간을 "비어 있음"으로 표시할 뿐, 실제 내용은 그 자리에 그대로 남아 있습니다. 새 데이터가 그 공간에 덮어써지기 전까지는 하드디스크 포렌식 도구로 파일 전체 또는 상당 부분을 되살릴 수 있습니다. 포맷을 했더라도 마찬가지입니다. 빠른 포맷은 목차만 새로 쓰는 것이어서 본문은 대부분 남습니다.
SSD는 다르지만, 흔적까지 사라지지는 않습니다
최근 노트북에 주로 쓰이는 SSD는 TRIM이라는 기능 때문에 삭제된 영역이 비교적 빨리 정리되어, 하드디스크만큼 파일 본체가 복구되지는 않는 경우가 많습니다. 그러나 파일 본체가 사라져도 그 파일이 존재했다는 기록 — 파일 이름, 크기, 생성·수정·접근 시각, 열어본 흔적, 외부로 복사한 흔적 — 은 운영체제의 여러 로그에 따로 남습니다. 파일 자체가 없어도 "그 파일을 그날 USB로 옮겼다"는 사실은 입증될 수 있습니다.
원본은 건드리지 않습니다 — 이미징과 해시값
포렌식 분석은 원본 하드디스크나 노트북에서 직접 이루어지지 않습니다. 먼저 저장매체 전체를 비트 단위로 그대로 복제한 '이미지'를 만들고, 원본과 복제본 각각의 해시값(데이터를 고유한 문자열로 변환한 값)을 계산해 두 값이 일치하는지 확인합니다. 이후 모든 분석은 복제본에서 진행됩니다. 이 절차가 있어야 "분석 과정에서 데이터가 바뀌지 않았다"는 점을 뒤에서 설명할 증거능력 요건으로 입증할 수 있습니다.
USB 포렌식 — 파일이 없어도 '옮긴 기록'은 남습니다
기업 영업비밀 유출 사건에서 USB 포렌식은 가장 결정적인 대목이 되는 경우가 많습니다. 유출자가 자료를 USB에 담아 나갔다면 USB 자체는 이미 없더라도, PC 쪽에는 다음과 같은 기록이 남기 때문입니다.
• 어떤 제조사·모델·고유번호의 USB가 언제 처음 연결되고 언제 마지막으로 연결되었는지
• 연결된 상태에서 어떤 파일이 열리거나 복사되었는지를 보여주는 바로가기(LNK) 흔적과 폴더 탐색 기록
• 대용량 압축 파일이 만들어진 시각과 그 직후의 외부 장치 연결 기록
• 클라우드 동기화 폴더나 웹메일로 파일이 업로드된 흔적
반대로 피의자 입장에서는 이 기록이 업무상 정상적인 백업이었다는 점, 해당 USB가 회사 지급품이었다는 점, 파일이 이미 공개된 자료였다는 점 등을 같은 기록으로 반박할 수 있습니다. 노트북 포렌식과 USB 포렌식은 한쪽만 유리한 도구가 아니라, 누가 먼저 정확히 읽느냐의 문제입니다.
저장매체 포렌식은 이렇게 진행됩니다
실무에서 PC 포렌식·노트북 포렌식은 대체로 다음 순서를 따릅니다.
① 보존 — 대상 기기의 전원 상태를 그대로 유지하거나 절차에 따라 종료하고, 쓰기방지 장치를 연결해 데이터가 변경되지 않도록 합니다.
② 수집(이미징) — 저장매체 전체를 복제하고 해시값을 기록합니다. 수사기관 압수의 경우 원칙적으로 혐의와 관련된 부분만 선별해 복제·출력하고, 그것이 불가능하거나 현저히 곤란할 때에 한해 매체 자체를 압수합니다.
③ 분석 — 복제본에서 삭제 파일 복구, 시간 정보 분석, 외부 장치 연결 이력, 인터넷·메신저 기록, 암호화 파일 처리 등을 진행합니다.
④ 보고 — 어떤 도구로 무엇을 어떻게 분석했고 무엇이 확인되었는지를 제3자가 검증할 수 있는 형식으로 정리합니다. 이 보고서가 수사기관의 수사보고나 감정서, 민사에서는 감정 자료로 이어집니다.
복구한 데이터가 '증거'가 되려면 — 증거능력의 세 관문
복구에 성공했다고 사건이 끝나는 것은 아닙니다. 법원은 디지털 증거에 대해 다른 증거보다 까다로운 요건을 요구합니다.
(1) 적법한 절차로 수집되었는가
수사기관이 저장매체를 압수할 때는 영장에 기재된 혐의사실과 관련된 범위 안에서만 수집해야 하고, 피압수자에게 참여할 기회를 보장해야 합니다. 영장 범위를 벗어나 별건 자료를 뒤지거나, 참여권을 보장하지 않고 복제·탐색을 진행했다면 그 증거는 위법수집증거로 배제될 수 있습니다. 대법원은 저장매체 압수 이후 수사기관 사무실에서 이루어지는 복제·탐색·출력 과정 전체를 압수수색의 일부로 보고, 그 단계에서도 참여권이 보장되어야 한다는 입장을 분명히 해 왔습니다.
기업이 자체적으로 직원 노트북을 분석하는 경우에도 마찬가지입니다. 회사 소유 기기라 하더라도 사적 영역에 무단으로 접근하거나 위법한 방법으로 자료를 얻으면 민사·형사 어느 쪽에서도 증거로 쓰기 어려워질 수 있고, 반대로 정보통신망법이나 개인정보보호법 위반 문제가 제기될 수도 있습니다.
(2) 무결성과 동일성이 입증되는가
압수 당시의 데이터와 법정에 제출된 데이터가 동일하며 그 사이에 변경이 없었다는 점, 즉 무결성과 동일성이 입증되어야 합니다. 앞서 설명한 해시값 비교, 봉인과 개봉 과정의 기록, 누가 언제 무엇을 했는지 이어지는 관리 이력(연계보관성)이 바로 이 요건을 위한 장치입니다. 개인이 임의로 복구 프로그램을 돌려 얻은 파일은 이 입증이 어렵기 때문에 증거로서의 무게가 크게 떨어집니다.
(3) 사람의 진술이 담긴 문서라면 — 진정성립
이메일, 메신저 대화, 보고서처럼 사람의 진술이 담긴 전자문서는 전문법칙이 적용되어 작성자가 누구인지, 그 사람이 실제로 작성한 것인지가 추가로 문제됩니다. 작성자가 부인하면 포렌식 분석을 통한 객관적 방법으로 진정성립을 증명해야 하는데, 이 대목이 재판의 승패를 가르는 경우가 적지 않습니다.
압수수색을 당했다면 — PC 포렌식 앞에서 피의자가 지켜야 할 권리
영장을 들고 온 수사관 앞에서 대부분의 사람은 당황해서 아무 말도 하지 못합니다. 그러나 이 순간의 대응이 이후 사건 전체에 영향을 미칩니다.
• 영장의 범위를 확인하세요. 어떤 혐의로, 어떤 기기와 어떤 자료를 대상으로 하는지 영장 기재를 확인하고, 범위를 벗어난 압수에는 이의를 제기할 수 있습니다.
• 참여권을 행사하세요. 현장 압수뿐 아니라 이후 수사기관에서 이미지를 분석·선별하는 절차에도 본인이나 변호인이 참여할 권리가 있습니다. 참여 통지를 받지 못한 채 진행된 분석은 뒤에 다툴 수 있는 사유가 됩니다.
• 압수목록과 해시값을 받아두세요. 무엇을 가져갔는지, 복제본의 해시값이 무엇인지 기록해 두어야 나중에 동일성을 다툴 수 있습니다.
• 기기를 조작하지 마세요. 압수 직전에 파일을 지우거나 기기를 초기화하는 행위는 증거인멸로 별도 처벌될 수 있고, 무엇보다 포렌식으로 그 행위 자체가 고스란히 드러납니다. 지운 흔적은 지우지 않은 것보다 더 불리한 정황이 됩니다.
검찰에서 압수수색 영장을 청구하고 포렌식 결과를 검토해 온 변호사가 이 단계에 함께한다는 것은, 수사기관이 어디까지 볼 수 있고 어디부터는 볼 수 없는지를 정확히 아는 사람이 옆에 있다는 뜻입니다.
컴퓨터 포렌식이 결정적 역할을 하는 사건들
• 영업비밀·기술 유출 — 퇴사자의 USB 포렌식, 클라우드 업로드 기록, 이메일 전송 이력
• 업무상 횡령·배임 — 회계 파일의 수정 이력, 삭제된 장부, 이중 문서
• 디지털성범죄 — 촬영물의 소지·저장·시청 여부, 삭제 시점, 유포 경로
• 사기·명예훼손·모욕 — 게시글 작성 기기 특정, 브라우저 기록, 작성 시각
• 이혼·상속 등 민사 — 재산 은닉 자료, 문서의 위·변조 여부
• 기업 내부 감사 — 내부정보 유출 경위, 해킹 침해 경로 확인
어느 사건이든 공통점은 하나입니다. 포렌식 결과는 그것을 읽는 사람에 따라 전혀 다른 이야기가 된다는 것입니다. 같은 USB 연결 기록이 한쪽에서는 유출의 증거가 되고, 다른 쪽에서는 정상 백업의 증거가 됩니다.
검사 출신 대표변호사가 포렌식 보고서를 읽는 방식
법무법인 에이파트의 용성호, 임성열 대표변호사는 검사로 재직하며 압수수색 영장을 직접 청구하고, 디지털 포렌식 결과를 토대로 기소 여부를 판단해 온 경험을 갖고 있습니다. 이 경험은 PC·노트북·저장매체 포렌식 사건에서 세 가지 차이를 만듭니다.
어떤 절차 위반이 증거를 무너뜨리는지 압니다. 피의자 측이라면 압수 범위, 참여권, 해시값 기록, 선별 절차 하나하나를 검토해 위법수집증거 배제를 주장할 지점을 찾습니다. 수사기관이 어디서 실수하는지를 안에서 보아온 사람만이 할 수 있는 검토입니다.
어떤 자료가 있어야 영장이 나오는지 압니다. 피해 기업 측이라면 자체 포렌식 결과 중 무엇을 어떻게 정리해 고소장에 담아야 검사가 상대방 기기에 대한 압수수색 영장을 청구하는지를 압니다.
보고서의 행간을 읽습니다. 포렌식 보고서는 기술 문서입니다. 시간 정보의 시차, 로그의 공백, 복구 파일의 신뢰도가 법적으로 무엇을 의미하는지 해석해 재판부에 설명하는 것은 결국 변호인의 몫입니다.
작성자 : 법무법인 에이파트 검사출신·형사전문변호사 임성열
