우리는 하루에도 수없이 휴대전화와 컴퓨터를 사용합니다. 그래서 오늘은 휴대전화와 컴퓨터에도 흔적이 남을지, 디지털 포렌식이란 무엇인지 알아보겠습니다.
우리는 휴대전화와 컴퓨터를 사용해 사진을 찍고 메시지를 주고받으며 인터넷을 검색하고 여러 파일을 저장합니다. 이러한 활동은 눈에 보이는 지문이나 발자국과는 다르지만 기기와 디지털 환경에 다양한 기록을 남길 수 있습니다. 사건을 조사할 때 이러한 정보를 과학적인 절차에 따라 확인하고 분석하는 분야를 디지털 포렌식이라고 합니다.
그렇다면 디지털 기기에는 어떤 흔적이 남을 수 있으며, 디지털 포렌식으로 과거의 모든 활동을 알아낼 수 있는 것일까요?
휴대전화 속 기록도 사건의 흔적일까? 눈에 보이지 않는 디지털 단서
한 사무실에서 중요한 업무용 물건이 사라졌다고 생각해 봅시다.
물건이 마지막으로 확인된 것은 전날 저녁입니다.
그 시간대에 사무실 주변에 있었던 사람들의 진술을 확인했지만 서로 기억하는 시간이 조금씩 다릅니다.
이때 사건과 관련된 디지털 자료가 있다면 당시 상황을 확인하는 데 도움이 될 수 있습니다.
우리가 휴대전화나 컴퓨터를 사용하면 여러 종류의 기록이 만들어질 수 있습니다.
통화나 메시지와 관련된 정보가 있을 수 있고 사진과 동영상, 각종 파일도 저장됩니다. 컴퓨터에서는 문서를 만들거나 수정한 기록 등이 사건에 따라 의미 있는 자료가 될 수 있습니다.
이처럼 전자기기와 디지털 환경에 남아 있는 정보를 확인하고 사건과의 관련성을 분석하는 것이 디지털 포렌식의 중요한 역할입니다.
영어의 ‘포렌식(forensic)’은 법적인 조사와 관련된 과학적 분석이라는 의미로 사용됩니다.
따라서 디지털 포렌식은 단순히 휴대전화 안을 들여다보는 작업을 뜻하지 않습니다.
필요한 디지털 자료를 적절하게 확보하고 원래 자료가 함부로 변하지 않도록 관리하면서 사건과 관련된 정보를 분석하는 일련의 과정이라고 이해하는 것이 좋습니다.
디지털 자료에는 흥미로운 특징이 있습니다.
종이에 적힌 메모는 글씨만 남아 있을 수 있지만 디지털 파일에는 내용 외에도 파일과 관련된 여러 정보가 존재할 수 있습니다.
예를 들어 어떤 사진이나 문서가 저장되어 있다는 사실뿐 아니라 상황에 따라 파일의 생성이나 수정과 관련된 정보 등을 살펴볼 수 있습니다.
이러한 정보를 흔히 ‘메타데이터’라고 부릅니다.
쉽게 말하면 파일의 본문 내용 이외에 그 파일의 특성을 설명해 주는 부가적인 정보라고 생각할 수 있습니다.
하지만 특정 기기에서 어떤 기록이 발견되었다고 해서 곧바로 기기의 소유자가 그 행동을 했다고 판단할 수는 없습니다.
한 대의 컴퓨터를 여러 사람이 함께 사용할 수도 있고 다른 사람이 잠시 휴대전화를 사용했을 가능성도 있기 때문입니다.
자동으로 만들어지는 기록도 존재합니다.
따라서 ‘어떤 기기에서 기록이 발견되었다’는 사실과 ‘누가 직접 그 행동을 했다’는 판단은 구분할 필요가 있습니다.
이 점은 앞에서 살펴본 지문이나 DNA와도 비슷합니다.
흔적이 발견되었다는 사실 자체는 중요하지만 그것이 사건에서 무엇을 의미하는지는 주변 상황과 다른 자료를 함께 살펴봐야 합니다.
“파일을 삭제했으니 없어졌겠지?” 삭제한 자료는 언제나 복구할 수 있을까?
디지털 포렌식이 등장하는 영화나 드라마에서는 이런 장면을 자주 볼 수 있습니다.
누군가 휴대전화에서 사진이나 메시지를 삭제합니다.
하지만 분석이 시작되자 삭제했던 자료가 순식간에 화면에 다시 나타납니다.
이런 모습을 보면 디지털 포렌식만 하면 삭제한 모든 자료를 언제든 되살릴 수 있을 것처럼 느껴질 수 있습니다.
실제로는 그렇게 단순하지 않습니다.
삭제된 디지털 자료를 확인할 수 있는지는 기기와 저장방식, 자료의 상태 등 여러 조건에 따라 달라질 수 있습니다.
어떤 자료는 확인 가능한 흔적이 남아 있을 수 있지만 어떤 경우에는 원래 내용을 충분히 확인하기 어려울 수도 있습니다.
따라서 ‘삭제된 자료는 반드시 복구된다’거나 반대로 ‘삭제하면 아무 흔적도 남지 않는다’고 일률적으로 말하기 어렵습니다.
디지털 기기의 기술도 계속 변화합니다.
휴대전화와 컴퓨터의 저장방식이 달라지고 운영체제와 보안기술도 발전하기 때문에 과거에 사용하던 분석방법과 현재의 환경이 항상 같다고 볼 수 없습니다.
그래서 디지털 포렌식 역시 변화하는 기술환경을 이해해야 하는 분야입니다.
또 하나 중요한 것은 자료를 확보하는 과정입니다.
사건과 관련된 기기를 조사하면서 원래 자료가 달라진다면 나중에 발견된 기록이 처음부터 존재했던 것인지 조사과정에서 변화한 것인지 문제가 생길 수 있습니다.
따라서 디지털 포렌식에서는 원본 자료의 상태를 보존하고 분석과정을 기록하는 것이 중요합니다.
이것은 일반적인 과학수사 현장에서 흔적을 보존하는 것과 비슷합니다.
우리가 앞에서 족적이나 미세증거를 살펴볼 때도 현장을 함부로 변화시키지 않고 처음 발견된 상태를 기록하는 것이 중요했습니다.
디지털 공간에서도 같은 원칙이 적용됩니다.
디지털 자료 역시 조사과정에서 적절하게 관리되어야 그 결과를 신뢰할 수 있기 때문입니다.
디지털 포렌식을 ‘삭제파일 복구 기술’이라고만 생각하면 실제 역할을 너무 좁게 이해하게 됩니다.
사건에 따라 사진과 문서, 기기의 기록 등 여러 정보를 살펴보고 각각의 자료가 언제 어떻게 관련되어 있는지 확인하는 것이 더 넓은 의미의 디지털 포렌식입니다.
결국 중요한 것은 무엇이든 되살리는 특별한 기술이 아니라 현재 남아 있는 디지털 흔적에서 확인 가능한 사실을 찾아내고 그 자료가 신뢰할 수 있는 상태인지 검토하는 과정입니다.
휴대전화 기록이 있다면 그날의 행동을 모두 알 수 있을까?
이번에는 한 사람의 휴대전화에서 사건이 발생한 시간대와 관련된 디지털 기록이 발견되었다고 생각해 봅시다.
기록에는 특정 시간에 사진이 만들어졌다는 정보가 있습니다.
그렇다면 이것만으로 그 사람이 그 시간에 어디에서 무엇을 하고 있었는지 모두 확인할 수 있을까요?
디지털 기록 역시 해석이 필요합니다
우선 기기에 표시된 시간정보가 어떤 조건에서 만들어졌는지를 살펴봐야 합니다.
기기의 설정이나 프로그램의 작동방식 등에 따라 기록의 의미가 달라질 가능성을 생각해야 하기 때문입니다.
하나의 기록만 떼어 놓고 보기보다 관련된 여러 정보를 함께 살펴보는 것이 중요합니다.
위치와 관련된 정보도 마찬가지입니다.
모든 디지털 자료에 정확한 위치가 기록되는 것은 아니며 위치정보가 있다고 해도 그것이 무엇을 의미하는지 확인해야 합니다.
기기의 위치와 사람의 위치를 항상 완전히 같은 것으로 볼 수 있는지도 상황에 따라 생각해 볼 문제입니다.
무엇보다 디지털 자료는 사람의 생각이나 의도를 그대로 기록하지 않습니다.
어떤 단어를 검색한 기록이 발견되었다고 해서 그 사람이 왜 검색했는지까지 자동으로 알 수 있는 것은 아닙니다.
호기심으로 검색했을 수도 있고 업무나 공부를 위해 찾아봤을 수도 있습니다.
메시지 한 문장 역시 앞뒤 대화를 제외하고 읽으면 원래 의미와 다르게 받아들여질 수 있습니다.
그래서 디지털 포렌식에서도 맥락이 중요합니다.
특정 기록 하나만 골라 처음 생각한 이야기에 맞추기보다 여러 기록의 시간관계와 다른 사건자료를 함께 살펴봐야 합니다.
예를 들어 CCTV 영상에 나타난 시간과 디지털 자료의 기록, 관련자의 진술이 서로 어떻게 연결되는지를 검토할 수 있습니다.
서로 일치하는 정보가 많다면 사건을 이해하는 데 도움이 될 수 있고 서로 맞지 않는다면 그 이유를 다시 확인해야 합니다.
디지털 기록이 발견되지 않았다는 사실 역시 지나치게 단정해서는 안 됩니다.
어떤 활동은 기록이 남지 않을 수도 있고 조사대상이 된 자료에서 확인되지 않을 수도 있기 때문입니다.
따라서 “기록이 없으니 그 행동은 없었다”는 결론도 신중해야 합니다.
과학수사에서 반복해서 등장했던 원칙이 디지털 공간에서도 그대로 적용되는 셈입니다.
흔적은 중요한 정보를 제공하지만 흔적 하나가 사건 전체를 대신 설명하지는 않습니다.
오늘날 사람의 생활에서 디지털 기기가 차지하는 비중이 커지면서 디지털 흔적 역시 사건을 이해하는 중요한 자료가 되었습니다.
그러나 기록이 많아졌다고 해서 판단이 자동으로 쉬워지는 것은 아닙니다.
오히려 수많은 기록 가운데 무엇이 사건과 관련되어 있는지 구분하고 각 기록의 의미와 한계를 정확하게 이해하는 일이 더욱 중요해졌다고 할 수 있습니다.
디지털 포렌식은 휴대전화와 컴퓨터 등 전자기기와 디지털 환경에 남은 자료를 과학적인 절차에 따라 확보하고 분석하여 사건의 사실관계를 확인하는 데 활용되는 분야입니다. 사진이나 문서뿐 아니라 상황에 따라 파일과 관련된 여러 기록도 중요한 정보가 될 수 있습니다.
하지만 디지털 기록이 발견되었다는 사실만으로 누가 어떤 행동을 했는지 모두 확정할 수 있는 것은 아닙니다. 자료가 만들어진 환경과 의미를 살펴보고 다른 사건정보와 함께 객관적으로 해석하는 것이 디지털 포렌식에서 중요합니다.