(이미지제공=파주 포렌식 데이터복구 기술원)
최근에는 스마트폰 해킹이나 원격제어가 의심돼 디지털 포렌식 분석을 알아보는 경우도 있다. 다만 눈에 보이는 증상만으로 해킹 여부를 단정하기는 어렵다.
■ 증상만으로는 확정할 수 없다
배터리가 갑자기 빨리 닳거나 스마트폰에 발열이 발생하고 모르는 앱이 발견됐다는 이유만으로 해킹을 확정할 수는 없다. 같은 증상이 기기 노후나 앱 동작, 설정 문제에서 비롯되는 경우도 있기 때문이다.
특히 해킹이 의심되는 증상과 실제로 확인된 디지털 흔적을 구분하는 것이 중요하다. 그래서 분석은 증상 목록이 아니라 기기에 남은 기록에서 출발한다.
■ 무엇을 살펴보나
기기와 확보 가능한 데이터에 따라 설치 앱, 앱 권한, 보안 설정, 의심 파일 및 실행 흔적, 계정 로그인 정보, 네트워크 관련 흔적 등을 종합적으로 살펴보는 과정이 필요할 수 있다. 확인할 수 있는 항목은 기종과 운영체제, 암호화 및 보안 구조에 따라 달라진다.
디지털 포렌식은 확보 가능한 디지털 데이터를 분석해 언제, 어떤 정보가 생성·변경됐는지 등 객관적인 흔적을 확인하는 데 초점을 맞춘다. 삭제된 사진이나 문서를 다시 확보하는 데이터복구와는 목적이 다르다.
■ 증거로 쓰려면 원본부터
형사·민사 사건이나 학교폭력, 스토킹, 기업 내부자료 유출 등과 관련해 디지털 자료를 확인해야 한다면 원본 보존의 중요성은 더욱 커진다. 분석이 필요한 스마트폰이나 저장장치를 임의로 초기화하거나 데이터를 반복적으로 삭제·변경하면 분석에 필요한 흔적이 사라질 수 있다.
증거 분석이 목적이라면 가능하면 원본을 보존하고 필요한 경우 복제 또는 이미징한 데이터를 바탕으로 분석하는 방식이 활용될 수 있다. 증거가치와 적법성은 자료의 취득 방법과 사건의 구체적인 사정에 따라 달라질 수 있어 법률전문가와 별도로 검토하는 것이 좋다.
■ 상담 전 준비
일산 포렌식 업체를 알아볼 때는 분석 목적을 먼저 확인하는지, 원본 보존 절차를 중요하게 다루는지, 복구 가능성과 한계를 설명하는지, 분석 결과를 어떤 형태로 제공하는지 등을 확인하는 것이 좋다. 법적 증거 확보가 목적이라면 데이터 확보 및 분석 과정과 결과가 어떻게 정리되는지도 확인할 필요가 있다.
파주 포렌식 데이터복구 기술원(대표번호 1577-6254)에서는 데이터복구 및 디지털 포렌식과 관련해 상담할 수 있다. 중요한 데이터가 사라졌다면 추가 사용을 최소화하고 원본을 보존한 상태에서 현재 데이터 상태와 복구 가능성을 먼저 확인하는 것이 좋은 출발점이다.
■ 복구와 분석, 목적을 먼저 나눈다
일반적인 데이터복구는 삭제되거나 정상적으로 접근할 수 없게 된 사진, 동영상, 문서 등의 데이터를 다시 확보하는 데 목적이 있다. 카카오톡 대화가 사라진 경우를 예로 들면 단순 복구에서는 해당 데이터를 다시 확보할 수 있는지를 확인하지만, 포렌식 분석에서는 확보 가능한 메시지와 파일, 날짜·시간 등 관련 정보를 함께 검토할 수 있다.
따라서 일산 포렌식을 알아보고 있다면 먼저 ‘삭제 파일 복구’가 목적인지, ‘디지털 증거 분석’이 필요한지를 구분하는 것이 좋다.
■ 기기 상태에 따라 달라지는 결과
복구 가능 여부는 스마트폰 기종과 운영체제, 앱 버전, 삭제 방법, 삭제 이후 사용량, 백업 여부, 암호화 및 보안 구조 등에 따라 달라질 수 있다. 특히 공장초기화가 정상적으로 진행된 최신 스마트폰에서는 암호화 구조의 영향으로 초기화 이전 사용자 데이터를 직접 복구하는 것이 매우 어려울 수 있다.
디지털 포렌식은 단순히 프로그램 하나를 실행해 결과를 얻는 작업으로 보기 어렵고, 저장장치의 종류와 고장 상태에 따라 데이터 확보와 분석 방법이 달라질 수 있다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}