디지털 포렌식은 휴대전화를 단순히 보는 절차가 아냐
디지털 포렌식은 스마트폰·컴퓨터·태블릿·USB·서버 등에 저장된 전자정보를 수집하고 보존한 뒤 사건과 관련된 내용을 분석해 형사절차에서 증거로 활용할 수 있도록 하는 과학적 절차다.
현재 화면에 표시되는 문자메시지와 사진만 확인하는 것이 아니다. 파일의 생성·수정·삭제 시각과 애플리케이션 사용기록, 외부 저장장치 연결 흔적, 위치와 로그인 정보 등을 분석해 사건 전후의 행동을 재구성할 수 있다.
실무에서 ‘휴대전화 포렌식’이라고 부르는 과정에는 기기 확보와 잠금 상태 확인, 데이터 추출, 원본 보존, 관련 정보 선별, 분석과 보고서 작성 등이 함께 포함될 수 있다.
다만 포렌식 프로그램에서 자료가 확인됐다는 사실만으로 곧바로 범죄사실이 증명되는 것은 아니다. 자료를 실제 누가 만들었는지와 표시된 시간이 정확한지, 사건과 어떤 관련성이 있는지를 다른 증거와 함께 검토해야 한다.
진술과 객관적인 기록을 비교하기 위해 실시
형사사건에서는 피의자와 피해자, 참고인의 진술이 서로 다를 수 있다. 디지털 포렌식은 사건 당시 생성된 전자기록과 각 진술이 일치하는지를 확인하는 데 활용된다.
주로 분석되는 자료에는 다음과 같은 정보가 포함될 수 있다.
문자메시지와 메신저 대화 및 송수신 시각
전화 발신·수신과 부재중 기록
사진·영상의 촬영과 저장·전송 시각
인터넷 검색과 접속·다운로드 기록
위치정보와 이동 관련 기록
문서·파일의 생성·수정·삭제 흔적
애플리케이션 실행과 로그인 기록
USB와 외장저장매체 연결 흔적
공범과 연락했는지가 쟁점인 사건에서는 통화·메신저와 파일 공유기록이 중요할 수 있다. 범행 장소에 있었는지가 문제라면 휴대전화 위치뿐 아니라 CCTV와 교통카드·결제내역 등을 함께 비교해야 한다.
휴대전화가 특정 장소에 있었다는 사실이 소유자까지 반드시 그곳에 있었다는 의미는 아니다. 다른 사람이 기기를 사용했는지와 위치정보의 오차 가능성도 별도로 살펴야 한다.
사건의 시간 흐름을 재구성하는 타임라인 분석
전자기록은 사건 전후의 행동을 시간순으로 배열하는 데 사용될 수 있다.
통화와 메시지, 사진 촬영, 검색, 위치이동, 파일 전송시간 등을 종합하면 범행 준비와 실행, 사건 이후 행동이 어떤 순서로 진행됐는지를 분석할 수 있다.
이를 흔히 타임라인 분석이라고 한다. 피해자 진술과 피의자의 알리바이가 실제 디지털 기록과 일치하는지 확인하는 데 활용될 수 있다.
다만 단말기 시각과 서버 시각이 다르거나 해외 시간대가 적용되고, 기기 시간이 임의로 변경된 경우도 있다. 화면에 표시된 시간만 보고 단정하지 말고 시간대와 동기화 상태를 확인해야 한다.
삭제한 자료가 모두 복구되는 것은 아냐
메시지나 파일을 삭제했다고 데이터가 언제나 즉시 완전히 사라지는 것은 아니다.
운영체제가 해당 저장공간을 다시 사용할 수 있는 영역으로 표시했을 뿐 새로운 정보가 덮어쓰기 전까지 일부 흔적이 남아 있을 수 있다. 기기에서는 삭제됐더라도 클라우드 백업이나 상대방의 휴대전화, 서비스 제공자의 서버에 정보가 남아 있을 가능성도 있다.
그러나 모든 삭제정보가 복구되는 것은 아니다.
최신 스마트폰은 저장공간 암호화와 보안삭제 기술이 강화돼 있다. 삭제 이후 기기를 얼마나 사용했는지와 초기화 여부, 운영체제와 애플리케이션의 저장방식, 암호화 키의 존재 등에 따라 분석 결과가 달라진다.
따라서 “포렌식을 하면 과거 대화가 모두 복구된다”거나 “삭제했으니 절대로 확인할 수 없다”는 설명은 모두 정확하지 않다.
분석 대상 기기와 정보는 다양해
디지털 포렌식 대상은 스마트폰에 한정되지 않는다.
컴퓨터와 노트북에서는 문서와 이메일, 웹 사용기록, 외부장치 연결과 원격접속 흔적을 확인할 수 있다. CCTV와 블랙박스에서는 촬영영상과 기기 설정, 녹화시각을 검토할 수 있다.
서버와 클라우드에는 계정 로그인과 접속기록, 백업·파일 공유내역이 남을 수 있다. 차량이나 사물인터넷 기기에서도 운행과 센서, 연결기기 관련 정보가 발견될 수 있다.
다만 각 기기의 자료가 보여주는 의미는 다르다. USB에서 파일이 발견됐더라도 누가 어느 컴퓨터에서 저장했는지까지 자동으로 확인되는 것은 아니다. 공용 컴퓨터나 공유계정이라면 실제 사용자를 특정하는 절차가 별도로 필요하다.
강제 압수수색은 사건 관련 정보로 제한
휴대전화를 압수했다는 이유만으로 수사기관이 기기 안의 모든 정보를 제한 없이 확인할 수 있는 것은 아니다.
현행 형사소송법은 범죄수사에 필요하고 해당 사건과 관계가 있다고 인정되는 대상에 한정해 법관이 발부한 영장으로 압수·수색하도록 규정한다.
스마트폰에는 가족대화와 사진, 금융·건강정보, 업무자료와 위치기록 등 방대한 사생활 정보가 들어 있다. 영장에 적힌 혐의사실과 객관적인 관련성이 없는 정보까지 포괄적으로 탐색하는 것은 영장주의와 적법절차에 어긋날 수 있다.
대법원은 휴대전화에 저장된 전자정보가 압수할 대상으로 영장에 포함되지 않았다면 특별한 사정이 없는 한 해당 영장만으로 휴대전화의 전자정보를 압수할 수 없다고 판단했다. 휴대전화는 통신과 사생활에 관한 광범위한 정보가 집적돼 있어 압수 대상을 구체적으로 특정해야 한다는 취지다.
관련성 구분 없이 전부 복제하면 위법할 수 있어
전자정보 압수수색은 원칙적으로 영장에 적힌 범죄와 관련 있는 정보의 범위를 정해 출력하거나 복제하는 방식으로 이뤄져야 한다.
대법원은 2025년 판결에서 혐의사실과의 관련성을 구분하지 않은 채 휴대전화에 저장된 정보를 엑셀파일 등으로 일괄 생성·저장하는 방식의 압수수색은 원칙적으로 영장주의에 반한다고 판단했다. 무관한 정보를 계속 보관하거나 별건 수사를 위해 다시 열람하는 행위도 위법할 수 있다고 밝혔다.
현장에서 관련 정보를 선별하기 어렵거나 저장매체가 손상될 위험이 있는 등 예외적인 사정이 있으면 기기 또는 이미징 복제본을 수사기관 사무실로 반출해 선별할 수 있다.
그러나 장소가 수사기관 내부로 바뀌었다고 영장 범위가 넓어지는 것은 아니다. 반출 이후의 탐색·복제·출력도 전체 압수수색 절차의 일부이므로 관련성 제한과 참여권, 무관정보 보호 원칙을 따라야 한다.
피압수자와 변호인의 참여권
수사기관이 압수수색영장을 집행할 때 피압수자 또는 변호인은 그 집행에 참여할 수 있다.
전자기기나 복제본을 수사기관 사무실로 옮겨 관련 정보를 선별하는 경우에도 참여 기회를 보장하는 것이 원칙이다. 피압수자가 참여하지 않겠다고 밝혔더라도 변호인의 참여권은 피압수자를 보호하기 위해 부여된 별도의 권리이므로 특별한 사정이 없으면 변호인에게도 일시와 장소를 알리고 참여 기회를 줘야 한다는 것이 대법원의 판단이다.
참여권은 단순히 분석실에 앉아 있는 절차만을 의미하지 않는다.
영장의 혐의사실과 대상 기간, 검색 대상 계정과 애플리케이션, 사용되는 검색어 등을 확인하고 사건과 무관한 자료가 선별되는 경우 관련성에 관한 의견을 밝힐 수 있다.
다만 참여자가 포렌식 장비를 직접 조작하거나 수사기관의 적법한 검색을 임의로 모두 중단할 수 있다는 뜻은 아니다. 증거보존과 수사 보안 등을 고려해 구체적인 참여방식이 정해질 수 있다.
참여 기회를 주지 않으면 증거능력이 문제될 수 있어
대법원은 반출된 저장매체나 복제본을 탐색하면서 피압수자 또는 변호인의 참여 기회를 보장하지 않고 무관정보 복제를 방지하기 위한 조치도 하지 않았다면 특별한 사정이 없는 한 압수수색을 적법하다고 보기 어렵다고 판단한다.
또한 참여권 보장과 구체적인 압수목록 교부 등의 절차를 지키지 않고 취득한 자료는 위법수집증거가 될 수 있으며, 사후에 별도의 영장을 받거나 피고인이 증거 사용에 동의했다고 해서 기존 위법성이 자동으로 치유되는 것은 아니라는 판례도 있다.
다만 절차상 잘못이 발견됐다고 모든 디지털 증거가 반드시 배제되는 것은 아니다. 법원은 위반의 내용과 정도, 권리 침해 여부, 증거수집과 절차 위반 사이의 관련성 등을 종합적으로 살펴 증거능력을 판단한다.
압수목록에는 실제 전자정보가 특정돼야
수사기관은 압수영장을 집행한 직후 압수목록을 작성해 소유자·소지자·보관자 등에게 교부해야 한다.
압수목록은 수사기관이 실제로 무엇을 가져갔는지를 확인하고, 영장 범위를 벗어난 자료에 대한 반환·폐기나 압수처분 취소를 요구하는 데 필요한 기초자료다.
전자정보 사건에서는 ‘휴대전화 1대’나 ‘복제본 1개’라고만 적는 것보다 실제 압수된 파일이나 대화의 명세가 어느 정도 특정돼 있는지가 중요하다.
대법원은 관련 정보와 무관정보가 섞인 저장매체를 수사기관에서 선별했다면 압수된 전자정보의 파일 명세가 특정된 목록을 작성해 교부해야 한다고 보고 있다.
포렌식 절차에 참여했다면 압수목록에 영장 대상과 무관한 자료가 포함되지 않았는지, 실제 선별된 정보가 확인 가능한 정도로 표시됐는지를 살펴야 한다.
별건 범죄 자료가 나오면 바로 수사할 수 있을까
적법한 선별 과정에서 다른 범죄가 의심되는 정보가 우연히 발견될 수 있다.
그러나 최초 영장과 관련 없는 자료가 발견됐다는 이유로 수사기관이 기존 복제본 전체를 계속 탐색하거나 별건 수사에 자유롭게 이용할 수 있는 것은 아니다.
대법원은 사건 관련 정보를 선별한 뒤에도 무관정보를 삭제·폐기·반환하지 않고 보관하거나 새로운 범죄혐의를 수사하기 위해 다시 열람하는 것은 영장 없이 새로운 수색을 하는 것과 다르지 않다고 판단했다.
새로운 범죄혐의에 관한 자료를 추가로 압수하려면 발견 경위와 최초 영장의 범위를 검토하고 별도의 압수수색영장이 필요한지를 판단해야 한다.
임의제출도 무제한 분석 동의는 아냐
피의자나 피해자가 휴대전화와 파일을 자발적으로 제출하는 임의제출 방식으로 디지털 증거가 확보되기도 한다.
그러나 기기를 제출했다는 사실만으로 그 안에 저장된 모든 사생활 정보와 장기간의 대화를 제한 없이 분석하도록 동의했다고 항상 볼 수는 없다.
무엇을 어떤 목적으로 제출했는지와 제출자가 정보에 대한 처분 권한을 가지고 있었는지, 범죄혐의와 관련된 범위가 어디까지인지를 확인해야 한다.
대법원은 임의제출로 확보한 저장매체에도 혐의 관련 정보와 무관정보가 혼재돼 있다면 선별과정에서 참여 기회를 보장하고, 압수된 전자정보가 특정된 목록을 교부하는 등 적법절차를 지켜야 한다고 본다.
회사가 직원의 업무용 컴퓨터를 제출한 경우에도 회사가 직원 개인의 메신저와 사적 파일까지 모두 제출할 권한이 있었는지가 별도의 쟁점이 될 수 있다.
동일성과 무결성을 확인하는 이유
디지털 파일은 복제와 수정이 쉽기 때문에 법정에 제출된 자료가 압수 당시의 정보와 같은지, 보관·분석 과정에서 변경되지 않았는지를 확인해야 한다.
동일성은 분석된 복제본이나 출력물이 원본과 같은 내용인지에 관한 문제다. 무결성은 압수·복제·보관·분석 과정에서 자료가 훼손되거나 변조되지 않았는지를 의미한다.
해시값은 전자파일의 내용을 계산해 만든 일정한 문자열로 원본과 복제본이 동일한지를 비교하는 방법 가운데 하나다.
그러나 해시값만 맞는다고 메시지 작성자나 범죄의 의미까지 증명되는 것은 아니다. 수사기관은 기기를 누가 사용했는지와 압수·복제·인계 과정, 분석도구와 추출방식 등을 함께 설명해야 한다.
포렌식 보고서를 검토할 때는 다음 내용을 확인할 필요가 있다.
최초 확보한 기기와 원본 자료가 무엇인지
원본과 복제본의 동일성을 어떻게 확인했는지
압수부터 분석까지 인계·보관기록이 남아 있는지
분석도구와 버전, 추출방식이 무엇인지
오류 메시지나 추출 실패 항목이 있었는지
표시된 시간과 위치가 정확한지
계정과 기기의 실제 사용자가 누구인지
포렌식 결과도 자동으로 유죄 증거가 되지는 않아
포렌식으로 확보한 자료를 법정에서 사용하려면 압수수색이 적법했는지와 원본과의 동일성, 자료의 작성자와 내용의 의미가 확인돼야 한다.
메신저 대화가 기기 안에 존재했더라도 실제로 피고인이 직접 작성했는지가 문제될 수 있다. 공용 기기나 계정 공유, 자동 로그인 가능성이 있다면 다른 자료로 작성자를 특정해야 한다.
사진과 영상 역시 촬영 시각과 장소, 편집 여부와 사건 관련성을 검토해야 한다. 포렌식 프로그램이 표시한 결과도 앱 버전이나 데이터베이스 구조, 기기의 시간 설정에 따라 잘못 해석될 가능성이 있다.
법원은 포렌식 자료 하나만 따로 보는 것이 아니라 피해자와 피고인의 진술, CCTV와 계좌·통신자료 등 다른 증거와 비교해 전체적인 증명력을 판단한다.
피의자에게 유리한 자료가 발견될 수도 있어
디지털 포렌식은 수사기관에 유리한 자료만 찾는 절차가 아니다.
사건 시각에 다른 장소에 있었다는 위치·결제기록이나 상대방과 합의된 관계였음을 보여주는 앞뒤 대화, 범행 가담을 거부한 메시지가 확인되면 피의자의 주장을 뒷받침할 수 있다.
일부 대화만 캡처돼 제출된 사건에서 삭제됐던 앞뒤 문맥이 확인돼 내용의 의미가 달라질 수도 있다. 문제된 파일이 피의자가 직접 생성한 것이 아니라 메신저나 클라우드를 통해 자동으로 저장됐다는 사실이 밝혀질 수도 있다.
따라서 포렌식 통지를 받았을 때 무조건 불리한 증거가 나온다고 생각하기보다 사건 전체에서 어떤 자료가 존재할 수 있는지를 검토해야 한다.
잠금 비밀번호 제공 문제는 사건별로 달라
수사기관이 휴대전화 비밀번호나 잠금 해제를 요구하는 경우가 있다.
비밀번호 제공 의무와 생체정보를 이용한 잠금 해제 문제는 진술거부권과 영장 집행방식, 요구받은 사람의 법적 지위 등에 따라 쟁점이 달라질 수 있다. 모든 사건에 동일한 결론을 적용하기는 어렵다.
비밀번호 제공을 요구받았을 때 즉흥적으로 허위 번호를 반복해서 말하거나 다른 기기로 원격 초기화를 시도하면 증거인멸 의심과 별도 책임이 문제될 수 있다.
반대로 비밀번호를 제공하지 않았다는 사실만으로 범죄가 자동으로 인정되는 것도 아니다. 영장 내용과 수사기관의 요구방식, 기기의 소유·사용관계를 확인한 뒤 대응할 필요가 있다.
포렌식 참관 때 확인해야 할 사항
포렌식 선별절차에 참여하게 됐다면 영장과 압수목록을 단순히 받아두는 데 그치지 말고 실제 분석 범위를 확인해야 한다.
우선 영장에 기재된 혐의사실과 대상 기기, 검색 기간을 확인한다. 수사기관이 어떤 계정과 앱, 키워드로 정보를 검색하는지와 혐의와 무관한 자료가 함께 추출되는지를 살펴야 한다.
가족대화와 의료정보, 업무상 비밀 등 사건과 관련이 없다고 판단되는 자료가 검색되면 관련성에 관한 의견을 밝히고 이의 내용을 기록으로 남겨 달라고 요청할 수 있다.
절차가 끝난 뒤에는 실제 압수된 전자정보가 압수목록에 구체적으로 표시돼 있는지 확인해야 한다.