전자정보·클라우드 자료·메타데이터·접속로그·IP주소는 누가 언제 어떤 파일이나 계정에 접근했는지를 추적하는 디지털 흔적입니다. 각각이 기록하는 사실이 다르기 때문에 파일 내용과 계정사용, 네트워크 접속을 한데 뭉뚱그리지 않고 나눠 보는 것이 중요합니다.

전자정보는 파일만 뜻하지 않습니다

전자정보에는 사진·영상·문서 같은 파일뿐 아니라 앱 데이터, 계정정보, 메시지 데이터베이스, 접속기록, 설정정보 등 다양한 형태가 포함될 수 있습니다.

사건에서는 어떤 저장매체나 서비스에서 확보된 정보인지, 원본 기기와 복제본 중 무엇을 보고 있는지부터 구분합니다.

클라우드 자료와 기기 안의 자료를 구분합니다

휴대전화에 클라우드 계정이 로그인돼 있다는 사실과 해당 클라우드 서버의 모든 자료가 기기 안에 저장돼 있다는 것은 같은 의미가 아닙니다. 동기화된 파일, 캐시, 썸네일, 계정 흔적처럼 일부 정보만 기기에 남을 수 있습니다.

클라우드 포렌식을 볼 때는 어느 서비스의 어느 계정 자료인지, 서버 자료인지 기기 내 동기화 흔적인지 구분해야 합니다.

메타데이터에는 파일 생성·수정 시각, 촬영기기, 위치정보 등 데이터 자체에 관한 정보가 포함될 수 있습니다. 다만 모든 파일에 같은 종류의 메타데이터가 남는 것은 아니고 복사·편집·전송 과정에서 정보가 달라질 수도 있습니다.

그래서 메타데이터는 파일 내용과 별도로 출처와 시간순서를 확인하는 보조자료로 봅니다.

접속로그는 계정이나 서비스에 접속한 시각, IP주소, 기기정보 등을 남길 수 있습니다. IP주소는 특정 네트워크 접속을 설명하는 단서지만 그것만으로 실제 사용자를 자동으로 확정하는 정보는 아닙니다.

공용 네트워크, 여러 기기, 계정 공유 가능성이 있다면 다른 로그인 정보와 기기자료를 함께 확인합니다.

파일 생성시각, 메신저 전송시각, 계정 로그인, IP 접속, 클라우드 동기화가 같은 시간대에 이어지는지 확인하면 디지털 행동의 흐름을 정리할 수 있습니다.

디지털 흔적의 힘은 하나의 로그가 아니라 파일·계정·기기·네트워크 기록이 서로 같은 사건 흐름을 가리키는지 확인하는 데 있습니다.

근거 및 출처