디지털 증거 제출 전 확인해야 할 무결성

디지털 증거 제출 전 확인해야 할 무결성 기준

디지털 증거는 파일이 존재한다는 사실만으로 증거 가치가 확보되는 것은 아니에요.

수집 이후 내용이 변경되지 않았는지, 원본과 분석본이 동일한지, 누가 어떤 방식으로 보관하고 분석했는지를 함께 설명할 수 있어야 합니다.

특히 문자, 카카오톡, 사진, 음성녹음, 블랙박스 영상, CCTV, USB 파일처럼 쉽게 복사하거나 수정할 수 있는 자료는 제출 전에 무결성 확인 절차가 필요해요.

디지털 증거의 무결성이란 무엇일까?

디지털 증거의 무결성은 증거를 수집한 이후 내용이 변경되거나 훼손되지 않았음을 확인하는 상태를 말합니다.

파일 이름이 같거나 화면에 동일하게 보인다고 해서 무결성이 확인되는 것은 아니에요.

파일 내용뿐 아니라 생성 시간, 수정 시간, 저장 경로, 파일시스템 정보, 해시값, 수집 과정까지 함께 확인해야 합니다.

실무에서는 다음과 같은 질문에 답할 수 있어야 해요.

원본 자료는 어디에서 수집했는가

수집 후 원본이 변경되지 않았는가

분석은 원본이 아닌 복제본으로 진행했는가

제출 파일과 수집 당시 파일이 동일한가

수집과 보관 과정이 기록되어 있는가

파일을 복사했는데도 무결성 확인이 필요한 이유

디지털 파일은 복사 과정에서도 시간 정보나 저장 속성이 달라질 수 있습니다.

단순 복사만으로 파일 내용이 반드시 달라지는 것은 아니지만, 저장 위치와 복사 방식에 따라 생성 시간이나 수정 시간 등 일부 메타데이터가 달라질 수 있어요.

메신저 대화를 캡처한 이미지도 마찬가지입니다.

화면 캡처는 대화 내용을 보여주는 데는 도움이 되지만, 원본 데이터베이스와 계정 정보, 메시지 식별값, 송수신 시간, 첨부파일 정보까지 모두 담지는 못해요.

따라서 중요한 사건이라면 화면 캡처만 제출하기보다 원본 기기와 추출 데이터, 분석 결과를 함께 보존하는 것이 좋습니다.

해시값은 왜 확인해야 할까?

해시값은 디지털 파일의 내용을 일정한 길이의 문자와 숫자로 계산한 고유한 확인값입니다.

파일 내용이 조금이라도 변경되면 일반적으로 해시값도 달라지기 때문에, 수집 당시 파일과 제출 파일이 동일한지 비교하는 데 활용할 수 있어요.

포렌식 실무에서는 원본 이미지나 추출 파일을 확보한 직후 해시값을 계산하고 기록합니다.

이후 분석이 끝난 뒤 다시 해시값을 계산해 처음 기록한 값과 비교해요.

두 값이 동일하다면 수집 이후 파일 내용이 변경되지 않았음을 설명하는 중요한 근거가 됩니다.

다만 해시값 하나만 있다고 모든 절차가 완성되는 것은 아니에요.

어떤 장비와 프로그램으로 수집했는지, 수집 일시는 언제인지, 누가 작업했는지, 원본은 어떻게 보관했는지도 함께 기록해야 합니다.

원본과 분석본은 왜 분리해야 할까?

디지털 증거 분석은 원본이 아닌 복제본이나 이미지 파일을 기준으로 진행하는 것이 안전합니다.

원본 기기를 직접 반복해서 열어보거나 파일을 실행하면 운영체제나 애플리케이션이 임시파일을 생성하고 접근 시간 정보를 변경할 수 있어요.

스마트폰도 전원을 켜고 조작하는 과정에서 동기화, 앱 업데이트, 메시지 수신, 로그 생성 등이 발생할 수 있습니다.

이 때문에 실무에서는 원본을 먼저 보존하고, 저장장치 전체 또는 필요한 영역을 복제한 뒤 분석본을 만들어 작업해요.

기본적인 구분

구분 목적 주의사항

원본 기기 최초 증거 보존 불필요한 실행과 조작 최소화

원본 이미지 수집 당시 상태 보존 생성 직후 해시값 기록

분석본 검색·복구·분석 작업 원본과 별도 관리

제출본 기관·법률대리인 제출 제출 범위와 해시값 기록

스마트폰 증거는 무엇을 확인해야 할까?

스마트폰 포렌식은 화면에 보이는 내용뿐 아니라 저장 구조와 메타데이터를 함께 분석하는 작업입니다.

문자나 카카오톡 내용을 제출할 때는 단순 캡처만 확인하지 않아요.

가능한 범위에서 다음 항목을 함께 확인합니다.

기기 모델명과 식별정보

사용자 계정과 전화번호

메시지 송수신 시간

상대방 식별정보

첨부파일 저장 여부

데이터베이스 기록

삭제 흔적과 복구 경로

추출 방식과 분석 프로그램

추출 파일의 해시값

기기변경이나 초기화 이후 복구된 자료라면 원본 위치와 복구 과정도 명확하게 설명할 필요가 있어요.

복구된 파일만 별도로 제출하면 해당 파일이 어느 기기에서 어떤 방식으로 확보됐는지 확인하기 어려울 수 있기 때문입니다.

사진과 영상은 어떤 부분을 봐야 할까?

사진과 영상의 무결성은 파일 내용과 메타데이터를 함께 비교해야 합니다.

사진은 촬영 일시, 기기 정보, 위치정보, 해상도, 편집 프로그램 기록 등을 확인할 수 있어요.

영상은 재생시간, 코덱, 해상도, 프레임 정보, 생성 시간, 인코딩 흔적 등을 살펴봅니다.

편집을 하지 않았더라도 메신저나 SNS를 통해 다시 전송하면 압축되거나 메타데이터가 제거될 수 있어요.

따라서 원본 파일이 남아 있다면 재전송된 파일보다 원본 저장 위치에서 직접 확보하는 것이 좋습니다.

블랙박스나 CCTV 영상은 전용 프로그램으로 내보내는 과정에서 별도 플레이어 파일이나 인증정보가 함께 생성되는 경우도 있어요.

이때 영상 파일만 복사하지 말고 원본 저장장치와 관련 폴더 구조를 함께 보존하는 것이 안전합니다.

음성녹음은 편집 여부를 어떻게 확인할까?

음성녹음의 무결성은 파일 구조, 재생시간, 파형, 인코딩 정보, 구간 연속성을 함께 확인합니다.

파일이 정상적으로 재생된다고 해서 편집 여부를 바로 판단할 수 있는 것은 아니에요.

중간 구간이 잘렸거나 다른 파일과 결합된 경우에도 재생은 정상적으로 될 수 있습니다.

실무에서는 다음과 같은 내용을 확인해요.

녹음 파일의 최초 생성 정보

전체 재생시간

무음 구간과 파형의 연속성

인코딩 형식의 변화

편집 프로그램 사용 흔적

파일 내부 헤더와 종료 구조

동일 기기에서 생성된 다른 파일과의 비교

정밀 감정이 필요한 경우에는 단순 청취가 아니라 파일 구조와 주파수 특성까지 종합적으로 검토해야 합니다.

USB와 외장하드는 어떻게 보존해야 할까?

USB와 외장하드 증거는 원본 저장장치에 새로운 데이터를 쓰지 않는 것이 중요합니다.

파일을 열어보거나 복구 프로그램을 직접 설치해 실행하면 저장장치에 새로운 기록이 생성될 수 있어요.

특히 삭제된 파일을 확인하려는 상황에서는 새로운 파일 저장이 기존 데이터 영역을 덮어쓸 가능성이 있습니다.

가능하다면 쓰기방지 장치를 사용해 원본 저장장치에 기록이 발생하지 않도록 한 뒤 이미지 복제를 진행해요.

쓰기방지 장치를 사용할 수 없는 상황이라면 작업 전에 저장장치 상태와 연결 환경을 기록하고, 불필요한 파일 실행이나 복사를 줄여야 합니다.

수집 경위 기록은 왜 중요할까?

디지털 증거의 신뢰성은 파일 자체뿐 아니라 수집과 보관 과정으로도 판단됩니다.

이를 흔히 증거관리 연속성 또는 보관 이력이라고 설명해요.

언제, 어디서, 누가, 어떤 장비로 수집했는지 기록이 남아 있어야 증거가 중간에 바뀌지 않았다는 점을 설명하기 쉽습니다.

기본 기록에는 다음 내용이 포함될 수 있어요.

의뢰인과 대상 기기 정보

기기 인수 일시

기기 외관과 작동 상태

잠금 여부와 전원 상태

수집에 사용한 장비와 프로그램

수집 시작·종료 시간

생성된 이미지와 추출 파일 목록

해시값

원본과 분석본 보관 위치

제출 파일 생성 일시와 전달 방식

디지털 증거 제출 전 핵심 확인사항

디지털 증거 제출 전에는 파일이 열리는지만 확인해서는 부족합니다.

다음 기준을 순서대로 점검하는 것이 좋아요.

핵심 정리

원본 기기나 원본 저장장치가 보존되어 있는가

원본과 분석본이 분리되어 있는가

수집 직후 해시값을 계산했는가

제출본의 해시값을 다시 확인했는가

파일 생성·수정 시간과 메타데이터를 확인했는가

수집 방법과 사용 장비가 기록되어 있는가

작업자와 작업 시간이 기록되어 있는가

복구 또는 변환 과정이 설명되어 있는가

편집본과 원본이 구분되어 있는가

제출 범위가 사건과 관련된 자료로 정리되어 있는가

포렌식 분석 과정은 어떻게 진행될까?

디지털 증거 분석은 상담, 진단, 수집, 검증, 분석, 결과 정리 순서로 진행됩니다.

먼저 어떤 자료가 필요한지 확인하고 대상 기기의 상태를 점검해요.

이후 원본을 보존한 상태에서 저장장치나 스마트폰 데이터를 추출하고, 수집 직후 해시값을 기록합니다.

분석은 별도의 복제본에서 진행하며, 필요한 파일과 메타데이터를 선별해 결과를 정리해요.

마지막에는 수집 방식, 분석 과정, 확인된 자료, 해시값, 주의사항을 포함해 제출용 자료를 구성합니다.

사건 성격에 따라 법률대리인이나 제출기관이 요구하는 형식이 다를 수 있으므로, 제출 전에 필요한 항목을 미리 확인하는 것이 좋습니다.

자주 묻는 질문

화면 캡처만 제출해도 되나요?

화면 캡처도 참고자료로 활용할 수 있지만, 원본성과 전체 맥락을 설명하는 데 한계가 있을 수 있어요.

중요한 사건이라면 원본 기기, 추출 데이터, 계정정보, 시간정보 등을 함께 보존하는 것이 안전합니다.

해시값이 같으면 무조건 증거로 인정되나요?

해시값은 파일이 변경되지 않았음을 확인하는 중요한 기준이지만, 해시값만으로 모든 증거 요건이 충족되는 것은 아니에요.

수집 경위, 분석 방법, 보관 이력, 사건과의 관련성 등을 함께 검토해야 합니다.

복구된 삭제 파일도 제출할 수 있나요?

복구된 파일도 분석자료로 활용될 수 있지만, 복구 위치와 방법, 파일 상태, 원본 저장장치와의 관계를 설명할 수 있어야 해요.

파일이 일부 손상되었거나 메타데이터가 남아 있지 않다면 그 상태도 결과에 명확하게 기재해야 합니다.

스마트폰을 계속 사용한 뒤 맡겨도 되나요?

계속 사용하면 새로운 데이터가 생성되면서 기존 삭제 영역이 덮어써질 수 있어요.

문제가 발생했다면 기기 사용을 줄이고, 초기화나 앱 재설치, 불필요한 업데이트는 피하는 것이 좋습니다.

제출용 감정서는 반드시 필요한가요?

사건의 성격과 제출기관에 따라 필요한 자료가 달라질 수 있어요.

단순 파일 제출로 충분한 경우도 있지만, 수집 과정과 무결성을 설명해야 하는 사건에서는 포렌식 분석보고서나 감정서가 도움이 될 수 있습니다.

디지털 증거는 제출보다 보존이 먼저입니다

디지털 증거는 나중에 다시 수집할 수 없는 경우가 많아요.

스마트폰이 초기화되거나 저장장치가 덮어쓰기된 뒤에는 기존 상태로 되돌리기 어렵습니다.

따라서 중요한 자료를 발견했다면 내용을 먼저 편집하거나 정리하기보다 원본 상태를 보존하고, 필요한 범위를 확인한 뒤 복제본에서 분석해야 해요.

무결성 확인은 복잡한 형식 절차가 아니라 디지털 자료가 언제, 어디서, 어떤 방식으로 확보되었는지를 설명하기 위한 기본 과정입니다.