원본 영상 없이 나온 썸네일·동기화 기록이 같은 파일의 흔적인지는 어떻게 확인하나요?

원본 영상이 없을 때 썸네일과 동기화 기록이 같은 파일을 가리킨다고 보려면, 이름이나 날짜가 비슷하다는 설명만으로는 부족합니다. 실제 확보된 자료의 출처와 기록 항목을 연결하고, 직접 확인된 연결과 추정을 구분해야 합니다. 흔적들이 서로 연결된다는 판단과 원본 전체가 복구됐다는 판단도 다릅니다.

원본 부재와 여러 흔적의 연결은 다른 질문입니다

원본 없이 썸네일·백업 흔적만 남은 경우는 각 자료가 무엇을 보여주는지 설명합니다. 이 글은 그다음 단계인 서로 다른 기록이 정말 같은 영상에 관한 것인지를 다룹니다. 썸네일에는 특정 장면이 보이지만 동기화 기록에는 파일명만 남은 경우라면, 두 자료를 이어 주는 항목이 실제로 무엇인지 확인해야 합니다.

같은 기기에서 나왔다는 사실만으로 같은 파일의 흔적이라고 묶지 않습니다. 반대로 저장 위치나 이름이 다르다고 전혀 관계없는 자료라고 단정하지도 않습니다. 어떤 자료가 발견됐고 어느 기록을 근거로 연결했다고 설명하는지를 항목별로 적습니다.

먼저 각 기록의 출처와 식별 항목을 나눕니다

아래 항목은 기록에 실제 존재하는 경우에만 대조합니다. 모든 앱에 같은 식별번호나 시각 정보가 남는다는 뜻은 아닙니다.

확인된 자료	연결을 검토할 항목	그것만으로 정할 수 없는 사실
기기의 썸네일·캐시 이미지	확보 위치, 연결된 앱, 해당 항목의 번호·참조 경로	원본 영상 전체의 내용과 촬영자
앱 데이터베이스 항목	파일 참조값, 계정, 항목 번호, 각 필드의 의미	같은 숫자가 다른 앱에서도 같은 파일을 뜻한다는 결론
동기화·백업 기록	어느 계정·기기·대상을 가리키는지, 기록된 작업과 상태	동기화 시도만으로 전체 파일의 전송이 완료됐다는 결론
별도로 확보된 영상 사본	확보처, 파일 형식·크기, 내용 확인 가능 범위	그 사본이 최초 촬영기기에서 직접 복구됐다는 결론

계정·시스템 기록을 볼 때에도 계정 접속 항목과 특정 파일의 전송 항목을 혼동하지 않습니다. 분석보고서에 단순히 같은 자료라고 적혀 있다면, 두 항목을 연결한 원래 경로·참조값이나 별도 분석 설명이 있는지 확인합니다.

파일명이나 시각이 같으면 같은 영상인가요?

파일명은 자료를 찾는 단서이지만 내용 전체를 대신하지 않습니다. 서로 다른 기기·폴더의 동일한 파일명을 하나의 파일로 묶으려면 추가 근거가 필요합니다. 앱의 항목 번호도 어느 데이터베이스와 계정 안에서 부여된 번호인지 먼저 구분합니다.

시각은 필드 이름과 의미를 함께 기록합니다. 촬영시각이라고 설명받은 값과 썸네일 생성·파일 수정·동기화 작업의 시각을 같은 사건시각으로 옮기지 않습니다. 시간대나 기기 시계의 차이가 확인됐다면 그 근거를 남기되, 날짜를 맞추기 위해 확인되지 않은 시차를 임의로 보정하지 않습니다.

동일한 항목이 보고서 여러 곳에 반복돼 있다는 사실도 별개의 독립 증거가 여러 개 생겼다는 의미는 아닙니다. 원래 하나의 앱 항목을 여러 표에서 인용한 것인지, 서로 다른 출처가 실제로 확인된 것인지 나누어 보는 검토가 필요합니다.

해시값은 무엇을 비교했고 무엇을 비교하지 않았는지 확인합니다

해시값은 데이터에 해시함수를 적용한 값입니다. NIST의 해시 설명과 디지털 증거 무결성 관련 용어는 데이터 비교와 무결성 확인에 사용되는 개념을 설명합니다. 실제 감정에서는 사용한 알고리즘과 비교 대상이 파일 전체인지, 일부 자료인지부터 확인해야 합니다.

썸네일의 해시값과 원본 영상의 해시값은 같은 대상을 계산한 값이 아닙니다. 원본 파일을 확보하지 못했고 그 파일에 대한 검증 가능한 기존 해시기록도 없다면, 썸네일의 값만으로 원본과 해시가 일치한다고 말할 수 없습니다. 별도 사본 두 개가 확보됐다면 같은 알고리즘·대상 범위의 비교인지 확인하되, 그 결과를 촬영자나 촬영 동의의 증명으로 확대하지 않습니다.

그림이 비슷해 보인다는 판단과 파일의 데이터가 일치한다는 비교는 다릅니다. 확대·잘라내기·압축 등 처리가 있었다는 기록이 있다면 그 작업의 전후도 구분합니다. SWGDE 영상자료 분석 지침은 이미지 구조·압축·메타데이터 검사와 내용 평가를 구분하며, 분석으로 판단할 수 없는 부분도 기록하도록 설명합니다.

동기화 흔적 뒤에 실제 사본이 확인되면 질문이 달라집니다

처음에는 동기화 기록만 제시됐지만 이후 다른 기기나 서버에서 재생 가능한 사본을 확보했다면, 무엇이 새로 확인됐는지 기록합니다. 사본의 확보처와 내용, 기존 썸네일·앱 항목과의 연결을 따로 대조해야 합니다. 사본이 나왔다는 이유만으로 원래 휴대전화에서 삭제된 전체 영상이 복구된 것으로 표현하지 않습니다.

반대로 서버 파일을 실제로 확보하지 못했다면 로컬 동기화 흔적만으로 그 내용을 채워 넣지 않습니다. 클라우드 전체 자료 확보 여부와 개별 흔적의 연결 문제는 구분해서 검토합니다.

자료의 연결과 확보 절차는 별도로 확인합니다

어떤 기록끼리 연결되는지와 수사기관이 그 자료를 어떻게 확보했는지는 서로 다른 문제입니다. 형사소송법 제106조 제3항은 전자정보의 출력·복제와 저장매체 압수 방식을 규정합니다. 실제 사건에서는 영장·임의제출의 경위, 대상 기기와 기간, 분석·복제 범위를 확인해야 합니다.

기술적 연결이 가능하다는 사실만으로 모든 자료의 수집과 사용이 적법하다고 단정하지 않습니다. 반대로 연결이 아직 불명확하다는 사정만으로 자료 전체가 무의미하거나 혐의가 사라진다고 결론 내리지도 않습니다. 파일 발견과 혐의 판단의 차이를 함께 살펴볼 수 있습니다.

조사 전에 어떤 확인표를 준비하나요?

현재 받은 자료를 기준으로 자료 종류·출처 / 실제 항목 번호·경로 / 시각의 이름과 의미 / 다른 자료와 연결한 근거 / 아직 확인하지 못한 부분을 적습니다. 분석자가 설명한 내용과 본인이 직접 본 자료, 기억에 따른 설명을 구분합니다.

연결을 확인하려고 계정에 새로 로그인하거나 문제 파일을 다시 전송·다운로드하지 않습니다. 기기를 초기화하거나 원본 기록을 수정하지 말고, 확보된 자료의 연결 근거와 그 한계를 변호인·분석 담당자에게 확인하는 것이 우선입니다.