디지털범죄와 포렌식 · 디지털포렌식
디지털포렌식이란 무엇인가
개념, 복원 원리, 증거능력
한 문단 요약
디지털포렌식은 기기에 남은 전자정보를 수집하고 분석해 사실관계를 확인하는 절차이며, 경찰청 훈령에 그 정의가 규정되어 있다. 삭제한 사진과 대화가 되살아나는 이유는 파일을 지울 때 데이터가 아니라 그 위치를 적어 둔 목차가 지워지기 때문이다. 2016년 형사소송법 제313조 제2항이 신설되면서 디지털포렌식 자료로 증거의 진정성립을 증명할 수 있게 되었고, 그때부터 절차의 적법성이 곧 증거능력이 되었다.
개념
휴대전화에서 지운 사진을 되살리는 기술로 알려져 있습니다. 틀린 이해는 아니지만 범위가 좁습니다.
디지털포렌식은 기기에 남아 있는 전자정보를 법정에 낼 수 있는 상태로 확보하고 보존하고 분석해 사실관계를 확인하는 절차 전체를 가리킵니다. 삭제된 자료의 복원은 그 안의 한 단계일 뿐이고, 나머지 대부분은 확보한 자료가 도중에 변경되지 않았음을 증명하는 작업에 쓰입니다.
1법령에 정해진 정의
경찰청 훈령인 「디지털 증거의 처리 등에 관한 규칙」이 정의를 직접 두고 있습니다. 학술적 개념 정의가 아니라 수사기관이 실제로 따르는 규범이라는 점에서 의미가 있습니다.
디지털 증거의 처리 등에 관한 규칙 제2조
"디지털포렌식"이란 전자정보를 수집·보존·운반·분석·현출·관리하여 범죄사실 규명을 위한 사실관계를 확인하는 일련의 절차 또는 기법을 말한다.
수집, 보존, 운반, 분석, 현출, 관리가 나란히 놓여 있다는 점을 눈여겨볼 필요가 있습니다. 분석은 여섯 가지 중 하나이고, 나머지 다섯은 그 결과를 법정에서 쓸 수 있게 만드는 절차입니다. 같은 규칙은 분석의 전제가 되는 복제본도 함께 정의하고 있습니다.
같은 규칙 제2조
"포렌식 이미지"란 법률적으로 유효한 증거로 사용될 수 있도록 정보저장매체 등에 저장된 전자정보를 포렌식 도구를 사용하여 비트열 방식으로 동일하게 복사하여 생성한 파일을 말한다.
비트열 방식으로 동일하게 복사한다는 표현이 핵심입니다. 필요한 파일만 골라 옮기는 것이 아니라 저장 공간을 통째로 그대로 뜬다는 뜻이고, 아래 3번에서 설명하는 복원이 가능한 이유도 여기에 있습니다.
2무엇을 되살리는가
대상은 크게 네 가지로 나뉩니다. 사용자가 직접 만든 자료뿐 아니라 기기와 통신망이 자동으로 쌓아 둔 기록이 함께 확보된다는 점이 흔히 간과됩니다.
01삭제한 사진과 영상
지운 사진이 곧바로 사라지는 것은 아닙니다. 저장 공간에 데이터가 남아 있는 동안에는 되살릴 수 있고, 그 기간은 이후에 그 기기를 얼마나 썼는지에 따라 달라집니다.
예시
갤럭시와 아이폰 모두 삭제한 사진을 휴지통에 30일간 보관합니다. 휴지통까지 비워도 저장 공간에는 데이터가 그대로 남습니다. 사진 200장을 지운 뒤 그 기기로 새로 촬영하거나 대용량 파일을 내려받지 않았다면, 며칠이 지나도 대부분 복원됩니다.
02삭제한 대화와 통화 기록
메신저는 주고받은 내용을 기기 안의 데이터베이스 파일 하나에 모아 보관합니다. 대화를 지우면 그 파일에서 해당 줄에 삭제 표시만 붙고, 내용은 한동안 같은 자리에 남아 있습니다.
예시
카카오톡은 대화 내용을 기기 내부의 데이터베이스 파일에 저장합니다. 대화방을 나가더라도 이 파일이 남아 있으면 주고받은 메시지와 전송한 사진의 목록이 복원되는 경우가 있습니다. 인스타그램 다이렉트 메시지처럼 서버에 남는 서비스는 기기를 정리해도 계정 쪽 기록이 별도로 존재합니다.
03기기가 스스로 남긴 기록
사용자가 만들지 않았는데 기기와 통신망이 자동으로 쌓아 두는 기록이 있습니다. 지우기 어렵고, 지웠다는 사실 자체가 또 기록으로 남는 경우가 많습니다.
예시
와이파이에 접속하면 공유기 정보와 접속 시각이 남습니다. 인터넷을 쓰면 접속한 서버의 IP 주소와 시각이 통신사와 서비스 제공자 쪽에 기록됩니다. 기기 안에는 어떤 앱을 몇 시 몇 분에 실행해 얼마나 사용했는지, 어떤 사진을 언제 열어봤는지가 별도로 쌓입니다. 간편결제를 이용했다면 승인 시각과 가맹점 이름이 남습니다.
04기기 밖에 있는 자료
휴대전화만 대상이 되는 것은 아닙니다. 계정에 올라간 사본, 통신사가 보관하는 기록, 서비스 제공자 서버에 남은 자료도 확보 대상이 됩니다.
예시
아이클라우드와 구글 포토는 사진을 찍는 즉시 계정으로 올리는 설정이 기본값인 경우가 많습니다. 휴대전화를 공장초기화해서 제출하더라도 같은 계정에 사진이 그대로 있는 경우가 적지 않습니다.
3어떤 원리인가
복원이 가능한 이유와, 복원한 자료를 법정에서 쓸 수 있게 만드는 방법을 함께 봅니다. 이 둘은 별개의 문제입니다.
01원본은 손대지 않고 복제본을 만듭니다
분석은 압수한 기기에서 직접 하지 않습니다. 원본을 켜서 열어보는 행위만으로도 기록이 바뀌기 때문입니다. 저장 공간을 비트 단위로 그대로 복사한 파일을 만든 다음 그 복제본을 분석하는 것이 원칙이고, 경찰청 훈령은 이 파일을 포렌식 이미지라고 부릅니다. 실무에서는 기기에 쓰기 방지 장치를 연결한 상태로 복제본을 만듭니다.
02해시값은 데이터의 전자지문입니다
해시값은 데이터 전체를 짧은 문자열로 요약한 값입니다. 데이터가 한 글자만 달라져도 전혀 다른 값이 나오기 때문에, 두 자료가 같은 것인지 확인하는 데 씁니다. 지문으로 사람을 특정하듯 이 값으로 파일을 특정한다고 이해하시면 됩니다.
예시
1기가바이트짜리 동영상이든 한 줄짜리 메모든 계산하면 같은 길이의 문자열이 나옵니다. 압수 당시 기록해 둔 값과 법정에 제출할 때 다시 계산한 값이 일치하면 그 사이에 아무것도 변경되지 않았다는 뜻입니다. 압수조서와 분석보고서에 이 값을 적어 두는 이유가 여기 있습니다.
03삭제는 데이터가 아니라 목차를 지우는 일입니다
파일을 삭제하면 저장 공간의 어디에 무엇이 있는지 적어 둔 목차에서 해당 항목이 빠집니다. 데이터가 있던 자리는 다시 사용해도 된다고 표시될 뿐, 내용 자체는 그대로 남아 있습니다. 500쪽짜리 책의 목차에서 한 줄을 지운 것과 같아서, 본문은 그대로 있고 찾아가는 길만 없어진 상태입니다.
04목차가 없어도 파일을 찾아냅니다
파일마다 앞머리에 어떤 종류인지 알려주는 고유한 표식이 붙어 있습니다. 저장 공간을 처음부터 끝까지 훑으면서 이 표식을 찾아 파일 단위로 끄집어내는 방법을 쓰는데, 목차에 의존하지 않기 때문에 목차가 사라진 뒤에도 작동합니다.
예시
JPG 사진과 MP4 동영상은 파일 앞머리의 표식이 서로 다릅니다. 휴대전화를 공장초기화해서 목차가 통째로 없어진 경우에도 이 방법으로 사진과 영상이 나오는 사례가 있습니다.
05다만 되살릴 수 없는 경우도 있습니다
새 데이터가 덮어쓴 자리는 복원되지 않습니다. 최근 저장장치에는 지운 영역을 미리 비워 두는 기능이 있어 예전보다 복원 가능성이 낮아진 경우도 있습니다.
예시
기기를 산 지 3년이 지났고 저장 공간을 거의 다 채워 쓴 휴대전화라면, 1년 전에 지운 사진이 이미 덮여 복원되지 않을 수 있습니다. 그래서 분석 결과에 아무것도 나오지 않았다는 사실만으로 그런 자료가 처음부터 없었다는 점이 증명되지는 않고, 반대로 복원되지 않았다는 이유로 불리하게 추정하는 것도 맞지 않습니다.
분석 결과는 사람이 눈으로 본 것이 아니라 도구가 계산해 출력한 값입니다. 어떤 도구로 어떻게 다루었는지가 기록되어야 그 값을 검증할 수 있습니다.
4복원이 문제된 대응 사례
삭제되거나 인멸된 기록을 복원해 사실관계를 확인한 대표 성공사례입니다. 혐의를 다툰 사건과 피해를 입증한 사건이 모두 있고, 각 사례에 처분문서를 함께 실었습니다.
국제 기준
국내 훈령의 정의는 국제적으로 정리된 기준과 같은 방향입니다. 아래 세 기관의 정의를 나란히 놓고 보면 공통으로 강조하는 것이 복원 능력이 아니라 무결성이라는 점을 확인할 수 있습니다.
미국 국립표준기술연구소 (NIST)
형사 수사에 활용될 수 있는 전자적 데이터를 복구하고 저장하며 분석하는 과학 분야.
미국 법무부 국립사법연구소 (NIJ)
분석의 목적은 디지털 증거를 추출하고 해석하는 데 있다. 추출은 저장매체로부터 데이터를 복구하는 일이고, 해석은 복구된 데이터를 논리적이고 유용한 형태로 옮기는 일이다.
디지털증거 과학작업반 (SWGDE, 1998년 설립)
디지털 증거를 확보하고 수집하는 행위가 그 증거의 무결성에 영향을 주어서는 안 된다. 압수·검사·보관·이전에 관한 활동은 문서화되어 보존되며 검토 가능해야 한다.
확보하고 수집하는 행위가 증거의 무결성에 영향을 주어서는 안 된다는 것이 이 분야의 출발점입니다.
디지털 증거의 성질
디지털 증거에 별도의 절차가 요구되는 이유는 종이 문서나 물리적 증거와 성질이 다르기 때문입니다. 아래 세 가지가 그 차이이고, Ⅳ에서 볼 제도는 이 차이에 대응하기 위해 만들어졌습니다.
01원본과 사본이 구별되지 않습니다
종이 문서는 복사하면 원본과 사본이 눈으로 구별됩니다. 디지털 파일은 복제해도 완전히 동일한 것이 만들어지기 때문에, 어느 쪽이 원본인지 파일만 보아서는 알 수 없습니다. 그래서 압수된 기기에서 나온 파일이 그 기기에 있던 바로 그 파일이라는 사실을 해시값으로 따로 증명해야 합니다.
02고쳐도 흔적이 남지 않습니다
종이 문서를 손으로 고치면 자국이 남지만 파일은 그렇지 않습니다. 내용을 바꾸어도 겉으로 드러나지 않고, 열어보는 행위만으로도 기록이 달라집니다.
예시
수사관이 압수한 아이폰을 켜서 사진첩을 열었다면 그 사진의 마지막 열람 시각이 압수 이후 시점으로 바뀝니다. 피의자가 그 사진을 언제 마지막으로 보았는지가 쟁점인 사건이라면, 이 한 번의 조작으로 다툼이 생깁니다.
03눈으로 확인할 수 없습니다
저장매체를 아무리 들여다보아도 그 안에 무엇이 있는지 알 수 없습니다. 반드시 도구를 거쳐야 하고, 우리가 보는 것은 데이터 자체가 아니라 도구가 해석해 출력한 결과입니다. 분석보고서에 적힌 삭제 시각도 사람이 읽은 값이 아니라 프로그램이 계산한 값이라, 어떤 도구를 어떤 버전으로 썼는지가 기록되지 않으면 검증할 방법이 없습니다.
제도의 연혁과 현황
디지털포렌식이라는 말이 우리 법률에 처음 들어간 것은 2016년입니다. 그 전까지 디지털 증거는 진술에 기대어 증거능력을 인정받아야 했고, 개정 이후 분석 결과 자체로 증명하는 길이 열렸습니다.
12016년 개정과 증거능력
2016년 5월 29일 법률 제14179호로 형사소송법 제313조가 개정되면서 제2항이 신설되었습니다. 작성자가 법정에서 자기가 만든 것이 아니라고 부인하더라도, 디지털포렌식 자료로 그 진정성립을 증명할 수 있게 한 조항입니다.
형사소송법 제313조 제2항
제1항 본문에도 불구하고 피고인 또는 피고인 아닌 자가 작성한 진술서는 그 작성자가 공판준비나 공판기일에서 그 성립의 진정을 부인하는 경우에는 과학적 분석결과에 기초한 디지털포렌식 자료, 감정 등 객관적 방법으로 성립의 진정함이 증명되는 때에는 증거로 할 수 있다.
개정 전에는 작성자가 부인하면 그 자료를 증거로 쓰기 어려웠습니다. 이 조항으로 진술에 의존하지 않고 과학적 분석으로 증명하는 경로가 생겼고, 형사소송법에 디지털포렌식이라는 용어가 처음 명기된 조항이기도 합니다.
이 개정 이후로 분석 결과의 신뢰성과 절차의 적법성이 곧 증거능력을 정하게 되었습니다.
2경찰의 분석 체계
증거능력이 인정되기 시작하면서 수사기관도 자체 분석 역량을 갖추게 되었습니다. 현재 경찰의 처리체계는 훈령에 조문으로 규정되어 있습니다.
01복원은 별도의 분석 부서가 합니다
경찰청 훈령인 「디지털 증거의 처리 등에 관한 규칙」 제7조가 처리체계를 정하고 있습니다. 시·도경찰청 사이버수사과가 증거분석업무를 수행하고, 고도의 기술이나 특정 분석장비가 필요한 사안은 경찰청 국가수사본부 사이버수사국 디지털포렌식센터가 맡습니다.
예시
서울에서 입건되면 휴대전화는 서울경찰청으로 넘어갑니다. 아이폰처럼 잠금을 풀지 못하는 기종이면 다시 경찰청으로 올라가고, 그만큼 회신까지 걸리는 기간이 길어집니다.
02복원된 자료를 고르는 것은 담당 수사관입니다
분석 부서의 일은 복제본을 만들고 삭제된 자료를 되살려 돌려주는 데까지입니다. 그 안에서 혐의와 관련된 것을 탐색하고 분류해 선별하는 작업은 사건을 맡은 수사관이 직접 합니다. 수사관이 제한 없이 전부 열어보면 혐의와 무관한 자료까지 보게 되고, 한 번 본 것은 되돌릴 수 없습니다.
예시
혐의사실은 특정 날짜의 촬영 한 건인데 3년치 갤러리와 대화가 전부 열린다면, 그 과정에서 본 다른 자료가 조사의 방향을 바꿀 수 있습니다. 선별압수 원칙과 참여권이 형식적인 절차가 아닌 이유가 여기에 있습니다.
디지털성범죄에서의 위치
디지털성범죄 수사는 포렌식에서 시작해 포렌식에서 끝난다고 해도 과언이 아닙니다. 앞에서 본 세 가지가 겹치기 때문입니다.
첫째, 이 사건들의 증거는 거의 전부 기기 안에 있습니다. 경찰이 분석하는 대상의 80퍼센트 이상이 휴대전화이고, 디지털성범죄로 좁히면 비중은 더 올라갑니다. 둘째, 그 자료는 Ⅲ에서 본 성질 때문에 눈으로 확인할 수 없고 도구를 거쳐야만 읽힙니다. 셋째, 2016년 개정 이후 그 결과가 증거능력을 갖추는지는 확보 절차를 지켰는지에 달려 있습니다.
경찰 디지털 증거분석 대상
나머지는 컴퓨터와 외장 저장장치, 클라우드 계정, 서버 기록입니다.
01사건의 사실관계 자체가 분석 결과에서 만들어집니다
디지털성범죄는 목격자 진술이나 물리적 흔적으로 다투는 사건이 아닙니다. 언제 무엇이 촬영되었고 어디로 전송되었는지가 전부 기기 안에 있고, 그 기기를 열어 정리한 결과가 곧 사건의 사실관계가 됩니다.
예시
촬영 시각, 저장 경로, 전송 기록, 삭제 시점. 조사에서 나오는 질문의 대부분이 이 네 가지에서 출발합니다. 피의자가 기억하는 내용보다 기기에 남은 기록이 먼저 놓입니다.
02분석 회신을 기점으로 조사의 성격이 달라집니다
분석 의뢰부터 회신까지는 수주에서 수개월이 걸립니다. 분석 전 조사와 분석 후 조사는 성격이 다릅니다. 앞의 것은 무엇이 있었는지 묻는 절차이고, 뒤의 것은 이미 나온 것을 확인하는 절차에 가깝습니다.
03절차를 어기면 내용과 무관하게 증거로 쓸 수 없습니다
앞의 Ⅲ에서 본 성질 때문에 디지털 증거에는 별도의 절차가 요구됩니다. 선별압수 원칙이나 참여권이 지켜지지 않은 채 확보된 자료는 무엇이 담겨 있든 증거능력을 다툴 수 있습니다.
예시
대법원 2016도348 전원합의체 판결은 동종 또는 유사한 범행이라는 사유만으로는 압수 대상과의 관련성이 인정되지 않는다고 보았고, 2021도11170 판결은 제3자가 임의제출한 기기라도 실제로 그 기기를 지배·관리하던 사람에게 참여권이 보장되어야 한다고 판시했습니다. 이 판례들은 포렌식과 수사 절차 페이지에서 따로 다룹니다.
실제로 문제되는 상황
같은 분석 결과를 두고도 어느 쪽에 서 있는지에 따라 문제되는 지점이 다릅니다. 아래는 실무에서 반복적으로 나타나는 상황들입니다.
1혐의를 받는 쪽
압수 범위를 넘어선 자료까지 분석되었습니다
영장에 적힌 혐의와 무관한 자료가 함께 분석된 경우입니다. 선별압수 원칙과 별건 압수의 문제로 이어지고, 관련성이 인정되는 범위가 어디까지인지가 다투어집니다.
분석 과정에 참여할 기회를 얻지 못했습니다
기기를 넘긴 뒤 언제 어디서 어떻게 분석되는지 통지받지 못한 경우입니다. 참여권 보장 여부는 증거능력 판단에서 반복적으로 문제되어 왔습니다.
저장한 적 없는 파일이 기기에서 나왔습니다
메신저에는 받은 사진과 영상을 자동으로 저장하는 설정이 있고, 단체 대화방에 올라온 파일도 같은 방식으로 내려받아집니다. 기기에 있었다는 사실과 본인이 저장했다는 사실은 별개입니다.
가지고만 있었는데 소지죄로 보고 있습니다
소지와 시청을 처벌하는 조항에서는 그것이 무엇인지 알고 있었는지가 쟁점이 됩니다. 저장 경위, 폴더 위치, 열람 기록이 함께 검토됩니다.
2피해를 입은 쪽
파일이 손상된 상태로 복구되었습니다
일부만 복구되거나 재생되지 않는 형태로 나오는 경우가 있습니다. 그 상태로도 무엇을 입증할 수 있는지 판단이 필요합니다.
상대가 기기를 바꿔 확인이 어렵습니다
기기가 없어도 통신 기록, 계정 활동 내역, 클라우드 백업 등 다른 경로가 남아 있는 경우가 있습니다. 어느 쪽에 무엇이 남는지에 따라 확보 방법이 달라집니다.
어디까지 퍼졌는지 확인되지 않습니다
유포 경로 추적과 삭제 지원은 형사 절차와 별개로 진행됩니다. 두 절차를 함께 관리해야 합니다.
디지털포렌식과 포렌식 이미지의 정의, 증거분석 처리체계는 경찰청 훈령 「디지털 증거의 처리 등에 관한 규칙」에 따랐습니다.
형사소송법 제313조 제2항은 2016년 5월 29일 법률 제14179호로 신설되었습니다.
국제 기준은 미국 국립표준기술연구소, 미국 법무부 국립사법연구소, 디지털증거 과학작업반의 문헌에 따랐습니다.
이 페이지는 개념과 법령을 정리한 자료이며 개별 사건에 대한 법률자문이 아닙니다.