삭제한 것은 복원되는가

파일을 통째로 되살리는 복원은 어려워졌지만, 삭제한 사진이 수사에서 확보되는 일은 지금도 흔합니다. 두 문장이 모순처럼 들리는 이유는 "복원"이라는 말이 두 가지 일을 뭉뚱그리기 때문입니다.

지워진 파일 원본을 되살리는 일부터 보면, 요즘 갤럭시에서는 이게 어렵습니다. 저장장치는 빈 공간을 스스로 청소하고(트림), 운영체제는 파일마다 다른 열쇠로 잠가서 저장합니다(파일 기반 암호화). 사용자가 파일을 지우면 열쇠가 먼저 사라지므로, 조각이 남아 있어도 분석관이 열지 못하는 경우가 생깁니다.

그런데 수사기관이 확보하는 "삭제된 사진"은 대부분 원본 복원이 아니라 다른 경로에서 나옵니다. 갤러리 앱이 미리 만들어 둔 축소판과 캐시, 메신저 데이터베이스 안에 삭제 표시만 된 채 남은 기록, 지우기 전에 이미 올라간 클라우드와 백업, 그리고 상대방 기기입니다. 삭제 후 시간이 얼마나 지났고 그 사이 기기를 얼마나 썼는지에 따라 이 잔존물의 양이 갈립니다.

분석 부서의 회신에는 "삭제 파일 복원 불가"와 "삭제 흔적 및 관련 기록 확인"이 나란히 적혀 오기도 합니다. 파일이 안 나와도 언제 무엇을 지웠는지의 기록은 따로 남고, 그 기록은 사건에서 별개의 의미를 갖습니다. 이 부분은 아래 "삭제 기록" 문답에서 다룹니다.

어려운 것은 기기를 여는 단계이고, 일단 열린 뒤에 지운 것을 되살리는 사정은 갤럭시와 비슷합니다. 아이폰이 어렵다는 통념은 잠금 해제와 자료 추출 이야기입니다. 보안 전용 칩이 암호 입력 시도를 통제해서 이 문턱이 높고, 그래서 수사기관도 기기 확보 단계에서 비밀번호 임의 제공 여부를 중요하게 다룹니다.

되살리는 단계로 넘어오면 아이폰도 파일마다 다른 열쇠로 잠그는 방식이라, 지워진 원본을 통째로 복원하기 어려운 사정은 같습니다. 대신 아이폰에는 더 넓은 우회로가 있습니다. 아이클라우드와 컴퓨터 백업입니다. 기기에서 지웠어도 백업 시점에 존재했던 자료는 백업 안에 그대로 있고, 사진 앱의 "최근 삭제된 항목"처럼 지운 뒤에도 일정 기간 자체 보관되는 장치도 있습니다. 수사기관이 기기와 별도로 계정 자료 확보에 나서는 이유입니다.

기종만으로 복원 가능성을 단정할 수는 없습니다. 같은 아이폰이라도 백업 설정에 따라, 같은 갤럭시라도 삭제 후 사용량에 따라 결과가 갈리고, 실제 결과는 분석 회신을 받아야 확정됩니다.

휴지통을 비운 뒤에도 흔적은 남습니다. 휴지통은 복원과 무관한 유예 장치일 뿐이라서, 갤러리나 사진 앱의 휴지통에 있는 파일은 복원이 아니라 그냥 꺼내는 것이고, 보관 기간(대체로 30일 안팎)이 지나거나 사용자가 비우면 그때부터가 진짜 삭제입니다. 그 뒤에 남는 것은 Ⅰ에서 본 잔존물들 — 축소판, 앱 데이터베이스 속 기록, 클라우드, 백업 — 이고, 휴지통을 비웠다는 사실이 이 잔존물들을 지우지는 않습니다.

시간이 지날수록 원본 조각의 복원 가능성은 떨어지는 것이 맞습니다. 저장장치의 청소 기능(트림)은 빈 공간을 주기적으로 정리하고, 기기를 쓰는 동안 새 데이터가 그 자리를 덮습니다. 연구에서도 트림 작동 이후의 복원은 청소 주기와 사용량에 따라 갈리는 것으로 확인됩니다.

다만 시간이 지워주지 않는 것들이 있습니다. 클라우드에 올라간 자료, 백업 파일, 상대방 기기에 남은 사본은 내 기기의 시간과 무관하게 그대로입니다. 몇 년 전 대화가 사건에서 나오는 경우는 대부분 이 경로입니다.

기기 안의 자료는 사실상 복원이 어려워집니다. 요즘 스마트폰의 초기화는 파일을 지우는 게 아니라 암호화 열쇠를 파기하는 방식이라, 남은 조각이 있어도 열 수 없는 상태가 됩니다.

그러나 초기화가 사건에서 유리하게 작동하는 경우는 드뭅니다. 첫째, 기기 밖의 자료 — 클라우드, 백업, 상대방 기기, 통신사와 플랫폼 기록 — 는 초기화와 무관하게 남습니다. 둘째, 초기화를 했다는 사실 자체가 계정 기록 등으로 확인되는 경우가 많습니다. 셋째, 수사가 시작된 뒤의 초기화는 증거인멸 정황으로 평가되어 구속 사유 판단과 양형에서 불리하게 작용할 수 있습니다. 지우는 행위가 별도의 죄(증거인멸교사 등)나 불리한 정상이 되는 경우까지 있으므로, 기기를 어떻게 할지는 변호사와 상의해 결정할 문제입니다.

파일 내용은 못 살렸지만 언제 무엇이 지워졌는지는 확인됐다는 뜻입니다. 스마트폰은 파일과 별도로 사용 기록을 겹겹이 남깁니다. 앱 데이터베이스에는 삭제 표시가 된 행이 남고, 시스템은 파일 이름과 크기, 생성·삭제 시각 같은 목록 정보를 따로 관리하며, 미디어 목록에는 지워진 사진의 제목과 촬영 시각이 남아 있기도 합니다.

이 기록은 사건에서 내용물과 다른 방식으로 쓰입니다. 혐의 영상 자체가 없어도 "해당 시각에 동영상 파일이 생성되었다가 신고 직후 삭제되었다"는 기록이 진술의 신빙성을 뒷받침하는 정황이 되는 식입니다. 분석 회신에서 "복원 불가"와 "삭제 흔적 확인"은 전혀 다른 말이고, 후자만으로도 조사의 방향이 달라집니다.

카카오톡 사건에서 대화가 확보되는 곳은 회사 서버가 아니라 기기입니다. 카카오는 서버의 대화 내용 저장 기간을 2~3일 수준으로 짧게 유지한다고 밝혀 왔고, 그 기간이 지나면 영장으로도 서버에서 대화를 받기 어렵습니다. 반면 휴대전화 안에는 사정이 다릅니다. 카카오톡은 주고받은 대화를 기기 안의 데이터베이스에 저장하는데, 대화방에서 지워도 데이터베이스에는 삭제 표시만 된 채 남아 있는 경우가 있고, 분석 도구는 이 영역을 함께 읽습니다.

기기에서 완전히 사라진 대화라도 경로는 더 남습니다. 대화 상대방의 기기에는 같은 대화가 그대로 있고, 톡서랍 같은 백업 서비스를 쓰고 있었다면 백업 안에도 있습니다. 조사에서 "저는 지웠는데 수사기관이 대화를 제시하더라"는 상황의 대부분이 이 세 경로 — 내 기기의 데이터베이스, 상대방 기기, 백업 — 중 하나입니다.

텔레그램 대화가 사건에서 확보되는 일은 실제로 있습니다. 통념과 실제의 차이는 확보 경로에 있습니다. 텔레그램의 일반 대화는 회사 서버에 저장되는 방식이라, 기기에서 앱을 지워도 계정으로 다시 로그인하면 대화가 그대로 내려옵니다. 기기에서 지웠다는 것과 삭제됐다는 것이 다른 대표적인 앱입니다. 해외 사업자라 서버에 대한 영장 집행이 어려운 것은 사실이지만, 수사기관이 기기와 계정 접근을 확보하면 대화는 열립니다. 잠금이 풀린 기기, 로그인된 세션, 임의 제공된 비밀번호가 그 통로입니다.

다만 텔레그램에는 반대 방향의 특징도 있습니다. 한쪽이 대화방을 삭제하면서 상대방 쪽 대화방까지 함께 지울 수 있고, 비밀대화는 한쪽이 지우면 양쪽에서 사라집니다. 다른 앱에서는 상대방 기기가 마지막 확보 경로가 되는데, 텔레그램에서는 그 경로가 상대방 손에 달려 있는 셈입니다. 대화가 나에게 유리한 증거라면 상대방이 지우기 전에 화면 촬영 등으로 보전해 둘 필요가 있고, 실제로 피해자든 피의자든 이 보전 시점을 놓쳐 곤란해지는 경우가 있습니다.

클라우드는 삭제한 자료가 가장 오래 남는 곳이면서, 동시에 기기와 함께 지워지기도 하는 곳입니다. 갈림길은 동기화 방식입니다. 구글 포토나 아이클라우드 사진처럼 기기와 클라우드가 동기화되는 서비스는 기기에서 지우면 클라우드에서도 지워지는 대신, 클라우드 쪽 휴지통에 30일 안팎 보관됩니다. 반면 백업 방식으로 올라간 자료 — 컴퓨터 백업, 특정 시점의 기기 백업 — 는 이후 기기에서 무엇을 지우든 백업 시점 그대로 남습니다.

수사기관 입장에서 클라우드는 기기와 별도의 압수 대상입니다. 기기를 초기화했거나 복원이 안 되는 사건에서도 계정 자료에서 사진과 파일이 나오는 경우가 있고, 계정 가입 정보와 접속 기록은 그 자체로 수사 단서가 됩니다. 기기의 상태와 무관하게 클라우드에 무엇이 올라가 있었는지가 사건에서 따로 확인된다고 보시면 됩니다.

구글 드라이브 같은 미국 사업자의 클라우드는 저장된 파일을 자동으로 검사합니다. 미국 플랫폼들은 알려진 아동성착취물의 전자지문(해시)과 대조하는 자동 감지 시스템을 돌리고, 미국 연방법에 따라 감지된 내용을 NCMEC(미국 실종·학대아동방지센터)에 의무적으로 신고합니다. NCMEC는 신고를 분석해 한국 이용자 관련 건을 한국 경찰청에 통보하고, 경찰청은 2019년 말부터 이 신고 플랫폼(사이버팁라인)에 접속 권한을 받아 수사 단서로 쓰고 있습니다. 토렌트 같은 개인 간 공유 쪽은 CRC(아동구조연합)라는 별도 기관이 같은 역할을 합니다.

이 경로의 특징은 고소인이 없다는 것입니다. 누가 신고해서가 아니라 시스템이 감지해서 시작되므로, 본인은 수사가 개시된 사실 자체를 모르다가 압수수색으로 처음 알게 되는 경우가 많습니다. 계정이 갑자기 정지됐다면 신고가 선행됐다는 신호인 경우가 많고, 정지부터 압수수색까지는 통상 수개월이 걸립니다. 아동·청소년성착취물은 소지·시청만으로 처벌되는 중대 범죄이고, 클라우드 저장은 소지로 평가됩니다. 이 단계에 있다면 기기를 만지기 전에 변호사와 대응 방향부터 상의해야 합니다. 위에서 본 것처럼 이 시점의 삭제·초기화는 사건을 더 무겁게 만듭니다.

분석실에서 쓰는 도구는 크게 추출 장비와 분석 소프트웨어입니다. 대표적인 것이 이스라엘 셀레브라이트사의 UFED로, 국내 수사기관에도 공급되어 있고 잠금 해제와 자료 추출에 쓰입니다. 국내 업체의 MD 계열 장비처럼 파손되거나 침수된 기기의 기판에서 직접 메모리를 읽어내는 장비도 있습니다. 어떤 도구든 하는 일은 같습니다. 기기를 열고, 자료를 통째로 뽑아내고, 그 안에서 앱 데이터베이스의 삭제 표시된 기록과 시스템 기록까지 읽어내는 것입니다. 앞 장들에서 본 잔존물들이 실제로 확보되는 통로가 이 도구들입니다.

피의자나 피해자 입장에서 이 이름들을 외울 필요는 없습니다. 기억할 것은 하나입니다. 이 추출과 탐색 과정에 참여할 권리가 있고, 참여 여부가 증거능력 다툼의 출발점이 된다는 것입니다. 어떤 절차로 참여하는지는 수사 절차 페이지에서 다룹니다.