삭제파일 복구 주장 사건에서 먼저 점검해야 할 복구 과정과 원본성 검토

삭제파일이 복구되었다면 먼저 ‘어디에서 어떻게 복구했는지’를 확인해야 합니다

형사사건에서는 컴퓨터나 휴대전화에 존재하던 파일이 삭제된 이후 디지털포렌식을 통해 복구되는 경우가 있습니다. 문서·사진·동영상뿐 아니라 메신저 데이터, 인터넷 사용기록, 임시파일과 각종 데이터베이스 정보가 분석 대상이 되기도 합니다.

수사기관이 이러한 자료를 복구한 경우 파일의 내용이 피의자에게 불리하다는 이유만으로 곧바로 그 의미가 확정되는 것은 아닙니다. 우선 해당 자료가 어떤 기기와 저장영역에서 발견되었고 어떠한 포렌식 절차를 통해 추출·복구되었는지를 살펴볼 필요가 있습니다.

삭제된 데이터는 파일시스템의 구조와 삭제 이후 저장매체 사용 여부 등에 따라 일부만 남아 있을 수도 있고, 기존 데이터가 다른 데이터로 덮어쓰여 파일 일부가 손상된 상태일 수도 있습니다. 따라서 복구된 파일이 완전한 파일인지, 일부 데이터 조각을 복원한 것인지도 구분해야 합니다.

또한 파일이 해당 기기에서 발견되었다는 사실과 특정 사용자가 직접 생성·저장·삭제했다는 사실은 반드시 같은 의미는 아닙니다. 여러 사람이 사용하는 컴퓨터인지, 자동으로 내려받은 파일인지, 메신저나 클라우드 동기화 과정에서 저장된 자료인지 등 생성·저장 경로도 함께 확인해야 합니다.

디지털 증거는 내용뿐 아니라 원본과의 동일성과 수집 과정도 중요합니다

디지털 증거는 복제와 이동이 쉽고 분석 과정에서 다양한 형태로 출력될 수 있다는 특성이 있습니다. 따라서 수사와 재판에서는 제출된 파일이 당초 압수된 저장매체에서 확보된 자료와 동일한 것인지, 수집·복제·분석 과정에서 내용이 변경되지 않았는지를 확인하는 과정이 중요할 수 있습니다.

대법원도 디지털 증거와 관련하여 원본 저장매체에서 압수·복제된 자료와 법정에 제출된 자료 사이의 동일성, 압수·분석 과정과 이를 뒷받침하는 객관적인 자료 등을 구체적으로 살펴보는 취지의 판단을 해 왔습니다.

실무에서는 해시값이 이러한 동일성을 확인하는 자료 중 하나로 활용될 수 있습니다. 다만 해시값 하나만 확인하면 모든 문제가 해결되는 것은 아닙니다. 어느 단계에서 어떤 데이터에 대해 해시값을 산출했는지, 원본과 복제본 또는 추출된 개별 파일 사이에 어떠한 관계가 있는지를 함께 살펴봐야 합니다.

삭제파일의 메타데이터 역시 주의해서 해석해야 합니다. 파일에 표시되는 생성시각이나 수정시각이 언제나 피의자가 해당 파일을 직접 작성하거나 열어본 시간을 의미하는 것은 아닐 수 있습니다. 파일 복사, 프로그램 작동, 백업·복원, 압축해제, 클라우드 동기화 등으로 시간정보가 영향을 받을 가능성이 있는지 확인해야 합니다.

따라서 삭제파일 복구 증거를 검토할 때에는 파일의 내용과 함께 저장 위치, 파일시스템 정보, 복구 방식, 메타데이터 및 다른 디지털 자료와의 연관성을 종합적으로 살펴보는 것이 필요합니다.

오창훈 변호사는 복구 결과보다 복구 전후의 과정을 먼저 확인합니다

안녕하세요. 형사전문변호사 오창훈입니다.

제가 삭제파일 복구 자료가 중요한 증거로 제시된 사건을 검토할 때에는 수사기관이 제출한 출력물이나 복구 파일의 내용만 확인하지 않습니다. 해당 자료가 최초 저장매체에서 증거로 제시되기까지 어떠한 과정을 거쳤는지를 순서대로 정리합니다.

첫 번째는 저장매체의 확보 과정입니다. 어떤 컴퓨터나 휴대전화에서 자료가 발견되었는지, 해당 기기를 누가 사용했는지, 압수 당시 전원이 켜져 있었는지 등 기본적인 상황을 확인합니다.

공용 컴퓨터나 여러 사람이 사용하는 저장장치라면 특정 파일이 존재한다는 사실만으로 작성자나 사용자를 곧바로 특정하기 어려울 수 있습니다. 사용자 계정과 로그인 기록, 파일 경로, 주변의 다른 자료 등을 함께 살펴볼 필요가 있습니다.

두 번째는 포렌식 복제와 분석 과정입니다. 원본 저장매체를 직접 계속 분석한 것인지, 포렌식 이미지를 만든 뒤 복제본을 분석했는지, 관련 절차가 어떠한 기록으로 남아 있는지를 확인합니다.

이 과정에서는 압수목록, 포렌식 결과보고서, 분석보고서와 해시값 등 확보할 수 있는 자료를 서로 비교합니다. 제출된 증거가 전체 이미지에서 추출된 개별 파일이라면 해당 파일이 원래 어디에 존재했는지도 확인할 필요가 있습니다.

세 번째는 삭제파일의 복구 상태입니다. 파일 전체가 정상적으로 복구되었는지, 파일명과 확장자·경로 등이 확인되는지, 일부 데이터 조각만 남아 있는지 등을 살펴봅니다.

예를 들어 복구된 이미지나 문서의 일부가 손상되어 있다면 남아 있는 부분만으로 원래 파일 전체의 내용을 어느 정도까지 확인할 수 있는지 신중하게 검토해야 합니다. 복구되지 않은 부분을 추정하여 사실관계를 확대해서는 안 됩니다.

네 번째는 원본성 및 동일성입니다. 원본 저장매체와 포렌식 이미지, 분석에 사용된 사본과 최종적으로 제출된 파일 사이의 관계를 확인하고 각 단계에서 데이터가 동일하게 유지되었다는 점을 뒷받침하는 자료가 있는지 살펴봅니다.

다섯 번째는 해당 파일과 피의자를 연결하는 자료입니다. 파일이 피의자의 기기에서 발견되었다는 사실 외에 직접 작성하거나 내려받았다고 볼 기록이 있는지, 파일과 관련된 메신저 대화나 이메일이 있는지, 실행·열람 흔적이 확인되는지 등을 살펴봅니다.

삭제행위 자체가 문제되는 경우에는 더욱 세분화할 필요가 있습니다. 사용자가 직접 파일을 선택하여 삭제한 것인지, 프로그램 설정에 따른 자동삭제인지, 애플리케이션 삭제나 초기화 과정에서 함께 사라진 것인지 등을 구분해야 합니다.

특히 “파일을 삭제했으니 증거를 없애려 한 것이다”라는 주장이 제기되는 사건이라면 삭제시점과 수사 인식 시점도 비교할 필요가 있습니다. 파일이 언제 삭제되었는지, 당시 수사나 분쟁을 인식하고 있었는지와 통상적인 기기 사용 과정에서 삭제되었을 가능성이 있는지를 객관적인 기록과 함께 확인합니다.

수사기관의 포렌식 결과에 이견이 있다면 단순히 “복구된 파일은 믿을 수 없다”고 주장하기보다 구체적으로 어떤 단계가 문제인지 특정하는 것이 중요합니다. 복구 방식의 문제인지, 파일의 동일성인지, 메타데이터 해석인지, 사용자 특정의 문제인지를 나누어 검토해야 합니다.

삭제파일 복구 자료가 경찰·검찰 수사 또는 형사재판의 핵심 증거로 제시되었다면 파일의 내용만 보고 진술하기 전에 압수부터 복구·분석·제출까지의 과정을 먼저 정리할 필요가 있습니다. 저는 포렌식 자료와 압수목록, 파일정보 및 다른 객관적인 증거를 비교하여 복구 자료가 실제로 무엇을 입증하는지를 구분해서 검토하고 있습니다.

자주 묻는 질문

참고자료