짧은 답
기기와 삭제 방식에 따라 복구되는 경우와 복구되지 않는 경우가 모두 있어, 삭제했다고 해서 복구가 불가능하다고 단정할 수 없습니다.
판단 기준부터 정리하면
삭제한 사진·영상의 포렌식 복구 가능성은 “삭제했으니 된다/안 된다”로 답할 수 없습니다. 기기 종류, 운영체제, 저장매체 암호화, 삭제 방식, 삭제 뒤 사용량, 클라우드·백업 여부에 따라 결과가 달라집니다. 따라서 복구 가능성은 기술적 변수와 수사기관의 분석 범위를 함께 봐야 합니다.
사실관계에서 갈리는 지점
휴대전화 내부 저장
최근 스마트폰은 암호화와 파일시스템 구조 때문에 과거 저장매체와 같은 방식으로 단순 복구되지 않는 경우가 있습니다. 다만 삭제파일 자체 외에도 썸네일·앱DB·캐시 등 다른 흔적이 남을 수 있습니다.
클라우드·앱 서버
기기에서 지워도 사진백업, 메신저 전송본, 휴지통, 다른 기기 동기화에 자료가 남아 있을 수 있습니다. 포렌식은 기기 하나만의 문제가 아닙니다.
삭제 후 기기 사용
삭제 뒤 새 데이터가 계속 생성되면 저장영역이 달라질 수 있지만, 이를 근거로 복구 여부를 예측해서 추가 조작을 시도하는 것은 위험합니다.
수사기관은 무엇을 확인하나요
수사에서 확인되는 것은 완전한 원본 파일만이 아닙니다. 파일 존재와 이용경위를 보여주는 주변 데이터가 함께 분석될 수 있습니다.
- 원본·삭제파일 및 파일시스템 메타데이터
- 사진앱·메신저·브라우저의 캐시·DB 기록
- 클라우드 휴지통·백업·동기화 이력
- 상대방 또는 수신자 기기에 남은 복제본
지금 단계에서 무엇을 정리해야 하나요
복구 여부를 시험해 보려고 복구앱을 설치하거나 대량 파일을 새로 저장하지 말고 현재 기기 상태를 유지합니다. 이미 제출·압수된 상태라면 어떤 기기와 계정이 분석 대상인지, 포렌식 참여·선별 절차가 어떻게 진행되는지 확인합니다.
복구 가능성보다 먼저 분석 대상을 확인합니다
“삭제 파일이 살아나는가”만 묻기 전에 실제 포렌식 대상이 무엇인지부터 구분해야 합니다. 휴대전화 한 대만 분석하는지, 연결된 클라우드 계정이나 메신저 데이터도 확인하는지, 문제된 파일의 저장 위치와 시점이 어디인지에 따라 확인되는 흔적이 달라질 수 있습니다.
완전한 원본 파일이 보이지 않더라도 썸네일·앱 데이터베이스·동기화 기록처럼 파일의 존재나 이용 경위를 설명하는 주변 기록이 남을 수 있고, 반대로 과거에 파일이 있었다는 정황만으로 현재 원본이 복구됐다고 말할 수는 없습니다. 따라서 분석 결과를 볼 때도 원본, 복제본, 메타데이터, 백업 기록을 같은 것으로 취급하지 않는 것이 중요합니다.
자주 생기는 오해
“휴지통까지 비웠으니 100% 사라졌다”, “포렌식이면 삭제한 모든 것이 100% 복구된다”는 말은 둘 다 과장입니다. 실제 포렌식은 기기·앱·백업 구조와 사건 관련 범위에 따라 확인 가능한 자료가 다릅니다.
언제 변호사 검토가 특히 필요한가요
삭제된 파일이 혐의의 핵심이고 복구 결과에 따라 사실관계가 크게 달라질 수 있다면, 기술적 가능성 자체를 단정하기보다 수사기관이 어떤 자료를 확보했고 어떤 범위로 분석했는지를 기록과 함께 검토하는 것이 중요합니다.
근거 및 출처