포렌식 뜻은 ‘법정의’, ‘법의학의’입니다. 그래서 디지털 포렌식은 기기에 남은 데이터를 법정에 낼 수 있는 형태로 확인하는 기법을 말합니다.
복구 기술이 아니라 절차의 이름에 가깝습니다. 무엇이 나왔는지만큼 어떻게 꺼냈는지가 중요하기 때문입니다.
그리고 한 가지를 먼저 말씀드려야 합니다. 원칙은 본인 기기이거나 동의를 받은 기기입니다.
상대방 휴대전화를 가져오시면 저희가 분석해 드릴 수 없습니다.
이 글은 디지털 포렌식으로 실제로 확인되는 것과 안 되는 것, 그리고 맡기기 전에 하지 말아야 할 일을 정리한 것입니다.
포렌식 뜻은 법정이라는 말에서 왔습니다
포렌식이라는 단어 자체에 ‘법의학의’, ‘법정의’라는 뜻이 들어 있습니다. 어떤 기술을 가리키는 말이 아니었습니다.
대검찰청은 디지털 포렌식을 디지털화된 증거자료를 과학적인 방법으로 수집하고 분석하는 것이라고 설명합니다.
여기서 중요한 말이 “과학적인 방법으로”입니다. 같은 사진이 나와도 꺼낸 과정이 설명되지 않으면 법정에서는 힘을 잃습니다.
다루는 대상은 넓습니다. 데스크탑과 노트북, 외장 하드와 USB 같은 저장매체가 있고, 휴대전화의 문자와 통화 내역, 사진, 인터넷 기록이 있습니다.
되는 것과 안 되는 것을 먼저 갈라 두겠습니다
기대하고 오셨다가 그냥 돌아가시는 경우가 많아서 저희가 이 표를 앞에 둡니다. 가르는 기준은 기술이 아니라 기기의 주인입니다.
| 맡기시는 것 | 되나요 | 무엇이 가르나 |
|---|---|---|
| 본인 휴대전화에서 지워진 대화와 사진 | 됩니다 | 기기와 지난 시간에 따라 결과가 갈립니다 |
| 본인 기기의 사용 기록과 시각 | 됩니다 | 기록이 남는 항목인지 |
| 본인 기기에 설치됐다 지워진 앱의 흔적 | 됩니다 | 흔적이 덮이지 않았는지 |
| 본인 컴퓨터에서 지워진 파일 | 됩니다 | 저장 방식과 덮어쓰기 여부 |
| 상대방 휴대전화를 가져와서 분석 | 안 됩니다 | 동의가 없습니다 |
| 상대방 계정에 들어가서 꺼내는 것 | 안 됩니다 | 접근 자체가 문제가 됩니다 |
| 통신사 서버에 있는 자료 | 안 됩니다 | 수사기관만 요청할 수 있습니다 |
위쪽 네 줄을 그대로 믿지 마시고 조건 칸을 같이 보십시오. 포렌식은 지워진 것을 되살리는 마법이 아닙니다.
지워진 자리에 다른 자료가 덮이면 그 부분은 사라집니다. 기기 종류와 지난 시간에 따라 결과가 크게 달라집니다.
원칙은 본인 기기이거나 동의를 받은 기기입니다
상담에서 가장 자주 돌려보내는 의뢰가 이것입니다. 배우자 휴대전화를 들고 오시는 경우입니다.
심정은 이해합니다. 다만 동의 없이 타인의 기기를 열어 자료를 꺼내는 것은 법이 막아 둔 영역입니다.
그리고 꺼낸 뒤에도 문제가 남습니다. 그렇게 얻은 자료는 쓸 수 있을지가 따로 다퉈지고, 꺼낸 사람이 책임을 지게 될 수 있습니다.
어떤 자료가 소송에서 인정되고 아닌지는 자료 종류별로 쓸 수 있는지 가른 표에 정리해 두었습니다. 법으로 막힌 조사 방법 전체는 법으로 막혀 있는 조사 방법에 있습니다.
본인 기기라면 이야기가 달라집니다. 본인이 쓰던 휴대전화나 컴퓨터, 본인 명의의 저장장치는 맡기실 수 있습니다.
절차는 네 단계이고 첫 단계가 가장 중요합니다
저희가 쓰는 순서도 수사기관의 절차와 큰 틀은 같습니다. 원본을 건드리지 않는 것이 전부라고 해도 됩니다.
- 보전합니다. 기기를 더 쓰지 않게 하고 상태를 그대로 둡니다.
- 복제합니다. 원본이 아니라 똑같이 뜬 사본을 만들어 그걸로 작업합니다.
- 분석합니다. 사본에서 자료를 찾고 시각과 경로를 확인합니다.
- 보고서로 만듭니다. 무엇을 어떤 순서로 꺼냈는지를 함께 적습니다.
2번이 왜 필요한지 궁금해하시는 분이 많습니다. 원본을 직접 열면 그 행위 자체가 기록을 바꾸기 때문입니다.
맡기기 전에 하지 말아야 할 것이 네 가지 있습니다
저희에게 오실 때 이미 절차의 1번이 깨져 있는 경우가 정말 많습니다. 그러면 나왔을 자료도 안 나옵니다.
| 하지 마십시오 | 왜 |
|---|---|
| 전원을 켜고 직접 뒤져 보는 것 | 여는 동안 새 기록이 쌓여 지워진 자리를 덮습니다 |
| 복구 앱을 내려받아 설치하는 것 | 설치하는 순간 그 자리에 앱이 깔립니다 |
| 그 기기를 계속 쓰는 것 | 쓸수록 덮어쓰기가 늘어납니다 |
| 초기화하거나 공장 설정으로 되돌리는 것 | 되돌릴 수 없는 경우가 많습니다 |
두 번째가 뜻밖이라고들 하십니다. 복구하려고 설치한 앱이 복구하려던 자료를 덮는 경우가 실제로 있습니다.
그래서 저희가 상담에서 가장 먼저 드리는 말씀은 하나입니다. 그 기기를 그대로 두고 오시라는 것입니다.
비용은 40만원에서 120만원 사이입니다
금액부터 적겠습니다. 기기 한 대를 기준으로 합니다.
| 항목 | 기간 | 비용 |
|---|---|---|
| 디지털 포렌식 (기기 1대) | 1일 | 40만~120만원 |
| 법정 제출용 보고서 | 별도 | 55만~110만원 |
범위가 세 배 벌어지는 이유는 기기 상태 때문입니다. 지난 시간이 짧고 그동안 덜 쓰셨으면 금액과 기간이 줄어듭니다.
그리고 결과가 안 나올 수도 있습니다. 덮어쓰기가 끝난 자료는 어떤 장비로도 못 꺼냅니다.
그래서 저희는 기기를 먼저 보고 가능성부터 말씀드립니다. 소송까지 가는 경우에 무엇이 더 필요한지는 소송까지 갈 때 무엇이 필요한지에 정리해 두었습니다.
자주 묻는 질문
몇 년 전에 지운 것도 나오나요?
지난 시간보다 그동안 그 기기를 얼마나 썼는지가 더 중요합니다. 지우고 바로 서랍에 넣어 둔 기기면 몇 년이 지나도 나오는 경우가 있습니다.
반대로 지운 다음 날부터 계속 쓰신 기기면 며칠 만에 사라지기도 합니다. 그래서 기간만 듣고는 가능성을 말씀드리기 어렵습니다.
고장 나거나 물에 빠진 기기도 되나요?
저장하는 부분이 살아 있으면 해볼 수 있습니다. 화면이 안 켜지는 것과 저장장치가 망가진 것은 다른 문제입니다.
다만 물에 빠진 기기는 말리려고 전원을 넣는 것이 더 나쁠 수 있습니다. 그대로 가져오시는 편이 낫습니다.
제가 쓰던 회사 노트북도 맡길 수 있나요?
기기의 주인이 회사이면 본인 기기가 아닙니다. 쓰던 사람이라도 회사 동의 없이 맡기시면 문제가 생길 수 있습니다.
이런 경우는 상담에서 먼저 정리하고 갑니다. 누구 명의의 기기인지를 여쭤보는 이유입니다.
정리
- 포렌식 뜻은 ‘법정의’, ‘법의학의’입니다. 기술 이름이 아니라 절차의 이름에 가깝습니다.
- 무엇이 나왔는지만큼 어떻게 꺼냈는지가 중요합니다. 과정이 설명되지 않으면 힘을 잃습니다.
- 원칙은 본인 기기이거나 동의를 받은 기기입니다. 상대방 휴대전화는 저희도 못 엽니다.
- 절차는 보전, 복제, 분석, 보고서 네 단계입니다. 원본은 건드리지 않습니다.
- 맡기기 전에 직접 뒤지거나 복구 앱을 깔거나 계속 쓰거나 초기화하지 마십시오.
- 기기 한 대에 1일, 40만~120만원입니다. 결과가 안 나올 수도 있습니다.
기기를 그대로 들고 오시면 가능성부터 봐드립니다. 기기 상태부터 확인해 드리는 상담은 초기 2시간까지 비용을 받지 않습니다.
안 나올 것 같으면 그렇게 말씀드립니다. 비용을 쓰기 전에 들으시는 편이 낫습니다.
