휴대폰 포렌식에서 사진 원본은 없고 썸네일·백업 흔적만 나왔다면 어떻게 되나요?

사진·영상 원본이 휴대폰에서 확인되지 않아도 썸네일, 앱 데이터베이스, 백업·동기화 흔적 같은 다른 전자정보가 남아 있을 수 있습니다. 그렇다고 흔적 하나가 곧 원본 파일의 모든 내용이나 촬영·수신 경위를 설명하는 것은 아닙니다. 포렌식에서 실제 확인된 항목과 확인되지 않은 항목을 구분하고, 자료의 출처·시점·계정·기기 사용자를 따로 확인해야 합니다.

원본 파일이 없는데도 어떤 정보가 남을 수 있나요?

디지털포렌식은 휴대전화에 존재하는 파일만 열어 보는 작업이 아니라 보존·획득·검사·분석 과정을 포함합니다. 원본이 삭제됐거나 확인되지 않아도 일부 앱 데이터베이스, 축소된 이미지인 썸네일, 백업 또는 동기화 흔적처럼 다른 형태의 자료가 남는 경우가 있습니다.

휴대전화 모델과 운영체제, 암호화, 저장영역 재사용 여부, 앱의 저장 방식 등에 따라 확보 가능한 범위가 달라집니다. 따라서 ‘원본이 없다’와 ‘아무 정보도 없다’는 같은 말이 아니며, 반대로 ‘흔적이 있다’와 ‘원본 전체가 복구됐다’도 구분해야 합니다.

썸네일만 발견된 경우 무엇이 쟁점인가요?

첫 번째 분기는 포렌식 결과에서 축소 이미지나 미리보기처럼 보이는 흔적은 발견됐지만 원본 사진·영상은 확보되지 않은 상황입니다. 이때 어떤 형식의 데이터가 실제로 확인됐는지, 그 자료가 어디에 저장돼 있었는지, 수사기관이 그것을 원본과 어떤 관계에 있다고 설명하는지가 먼저 확인 대상입니다.

일부 화면이 보인다는 사실과 파일 전체의 내용·생성 경위를 확인했다는 것은 다릅니다. 썸네일이 나왔다는 이유로 본인이 직접 촬영했다고 단정하거나, 원본이 없으니 확인할 사실도 없다고 단정하면 모두 자료의 실제 범위를 놓칩니다. 관련된 생성·수신·저장·열람 경위가 어디까지 확인되는지 나눠 보는 것이 필요합니다.

백업이나 동기화 기록만 있다면 어떻게 보나요?

두 번째 분기는 휴대폰 저장공간에서 원본을 확인하지 못했지만, 백업·동기화 과정이나 연결된 계정의 흔적이 남아 있는 경우입니다. 휴대폰 자체에 남은 동기화 흔적과 외부 서버에 실제 보관된 파일 전체는 같은 자료가 아닐 수 있습니다.

따라서 기기에서 확인된 기록이 무엇인지, 해당 서비스의 서버 자료까지 실제 확보된 것인지, 계정이 사용된 시점과 파일의 생성·수신·저장 시점을 구별해야 합니다. 계정·시스템 기록과 연결해 생각할 때도 계정 접속 사실만으로 그 계정에 있던 모든 자료의 존재나 내용이 확인됐다고 확대하지 않는 것이 중요합니다.

앱 데이터베이스에 기록만 남은 경우는 다른가요?

세 번째 분기는 사진이나 영상 그 자체보다 앱 내부 데이터베이스 등에서 전자정보가 확인되는 경우입니다. 앱 기록은 특정 정보가 존재했다는 단서가 될 수 있지만 실제로 어떤 데이터가 추출됐고 어느 계정·기기·시간과 연결되는지를 확인해야 합니다.

특히 파일명이나 저장 위치, 기록의 일부를 보고 촬영자·전송자·수신자를 동일인으로 곧바로 취급해서는 안 됩니다. 어떤 자료가 생성된 경위와 실제 사용자에 관한 사실은 별도로 검토할 사항입니다. 하나의 데이터베이스 항목에 여러 의미를 한꺼번에 부여하지 않는 것이 중요합니다.

원본·흔적·계정 기록은 어떤 순서로 살펴보나요?

가장 먼저 실제 확보된 전자정보의 종류를 적습니다. 원본 파일이 확보된 것인지, 썸네일인지, 앱 데이터베이스 항목인지, 백업·동기화 관련 흔적인지 구분합니다. 그다음 각 정보에서 확인되는 생성·수정·수신·전송 등의 시점이 무엇인지 봅니다.

서로 다른 날짜와 시간을 하나의 사건 시간표에 놓을 때에도 모든 기록이 같은 의미의 시각을 가리킨다고 가정하지 않습니다. 어느 자료가 직접 보여주는 사실과 다른 진술·기록을 통해 해석해야 할 부분이 무엇인지 별도로 표시해야 합니다. 이 구분이 있어야 포렌식 결과에 관한 설명을 과장하거나 생략하는 일을 피할 수 있습니다.

휴대폰을 제출한 절차와 흔적의 의미는 별개인가요?

별개로 확인해야 합니다. 휴대전화가 영장에 의해 압수됐는지 임의제출됐는지와, 확보된 기기에서 어떤 전자정보를 탐색·복제했는지는 구별되는 문제입니다. 기술적으로 흔적이 읽힌다고 해서 모두 당연히 같은 사건의 수사 대상이 되는 것도 아닙니다.

휴대전화 제출·디지털 압수수색 단계에서는 확보 근거와 실제 분석 범위, 참여 기회, 사건 관련성도 확인 대상입니다. 다만 확보 절차를 검토한다는 이유로 실제 데이터가 보여주는 사실관계에 대한 확인을 생략해서는 안 됩니다.

조사 전에 어떤 대응을 피해야 하나요?

원본이 없다는 설명을 듣고 추가로 휴대폰을 초기화하거나 앱·계정 상태를 바꾸고 기록을 삭제해서는 안 됩니다. 그런 변경은 남아 있는 자료의 확인을 어렵게 만들 수 있습니다. 반대로 포렌식을 하면 삭제된 모든 것이 복구된다고 생각하고 기억하지 못하는 촬영·전송 경위를 추측해서도 안 됩니다.

현재 기억하는 파일 사용 경위, 기기·계정 사용자, 과거 백업이나 동기화 사용 여부 중 직접 확인되는 사실을 시간순으로 적습니다. 자료를 보고 새로 알게 된 사실은 과거부터 기억했던 내용과 분리해야 합니다.

변호인 검토에서는 무엇을 먼저 확인하나요?

변호인 검토에서는 ‘원본이 없는데 무엇이 나왔나’라는 질문을 더 구체적으로 풀어야 합니다. 실제로 확보된 자료의 형태, 확인 가능한 내용과 시점, 자료가 존재하게 된 경위, 기기·계정 사용자, 영장·임의제출의 범위와 후속 분석 과정이 각각 확인 대상입니다.

삭제 파일 복구에 관한 기존 질문은 복구 가능성 자체가 중심이지만, 이번 질문은 원본이 없는 상태에서 썸네일·앱 기록·백업 흔적 중 어떤 정보가 발견됐고 그것이 어디까지 설명하는지를 중심으로 다룹니다. 자료가 발견된 사실과 법적 요건에 대한 판단을 같은 것으로 보지 않는 것이 핵심입니다.