짧은 답
파일 생성시각과 메신저 전송시각은 서로 다른 사건을 기록하므로 어느 하나를 자동으로 실제 사건시각으로 정하면 안 됩니다. 현재 보고 있는 파일이 원본인지 사본인지, 생성·수정·수신·전송 시각이 각각 무엇을 가리키는지와 계정·기기 기록을 같은 시간축에 놓아 확인해야 합니다.
파일 생성시각과 메신저 전송시각은 서로 다른 사건을 기록하므로 어느 하나를 자동으로 실제 사건시각으로 정하면 안 됩니다. 생성시각은 파일의 배경정보이고, 전송시각은 해당 계정에서 파일을 주고받은 시점을 보여주는 기록입니다. 현재 보고 있는 파일이 원본인지 전달받은 사본인지와 생성·수정·수신·전송 시각을 같은 시간축에 놓아야 합니다.
생성시각과 전송시각은 같은 종류의 시간이 아닙니다
전자파일에는 생성·수정 시각 같은 메타데이터가 남을 수 있습니다. 반면 문자·카카오톡·SNS·DM에는 메시지나 파일이 어느 계정에서 언제 전송·수신됐는지에 관한 기록이 남을 수 있습니다.
따라서 파일 메타데이터에 오후 8시가 표시되고 메신저 전송기록에 오후 9시가 표시된다고 해서 둘 중 하나가 곧바로 틀렸다고 볼 수는 없습니다. 오후 8시는 파일 생성과 관련된 시각일 수 있고, 오후 9시는 그 파일이 메신저에서 전송된 시각일 수 있기 때문입니다. 먼저 각 시간값이 무슨 사건을 기록하는 값인지부터 구분해야 합니다.
결론을 바꾸는 첫 번째 조건은 원본·사본 관계입니다
현재 확인하는 파일이 촬영·생성된 기기에서 직접 확보된 파일인지, 메신저나 클라우드를 거쳐 전달받은 사본인지 확인합니다. 승인된 전자정보 기준은 복사·편집·전송 과정에서 메타데이터가 달라질 수 있다고 설명합니다.
따라서 같은 내용의 파일이 여러 기기나 대화방에 남아 있다면 모든 사본의 생성·수정 시각이 동일하다고 전제하지 않습니다. 어느 파일의 메타데이터를 보고 있는지, 그 파일이 어떤 경로로 이동했는지를 먼저 적어야 시간 차이의 의미를 검토할 수 있습니다.
두 번째 조건은 어떤 시각이 실제로 확보됐는지입니다
“파일 시간이 다르다”는 표현만으로는 부족합니다. 생성시각인지 수정시각인지, 메신저의 전송시각인지 수신시각인지 항목을 나눠 확인해야 합니다. 디지털포렌식에서는 파일의 생성·수정·수신·전송 시각과 저장 위치, 계정·기기 사용흔적이 함께 확인될 수 있습니다.
또 메신저에는 파일 내용 자체와 별도로 전송계정과 시각이 남을 수 있습니다. 한 파일을 여러 차례 전송했다면 파일의 생성시각은 하나의 배경정보이고 각각의 전송기록은 별도의 통신행위 시점을 보여줄 수 있습니다. 어떤 시간값이 어떤 파일·계정·기기에서 나온 것인지 대응시키는 작업이 필요합니다.
시간 차이가 곧 편집·조작을 뜻하는 것은 아닙니다
사진·영상 파일 수정시각이 사건 뒤면 편집·조작된 파일인지를 보는 기존 질문은 수정시각 한 항목이 파일 내용의 조작 여부를 어디까지 보여주는지가 중심입니다. 이번 질문은 그와 달리 파일 자체의 시간정보와 메신저 전송기록이 서로 다른 사건을 기록한다는 점이 중심입니다.
전송시각이 생성시각보다 늦다는 이유만으로 편집을 단정해서도 안 되고, 반대로 시간 차이가 있다는 이유만으로 메타데이터를 무시해서도 안 됩니다. 복사·전송·저장 경위를 확인한 뒤 다른 기록과 시간이 맞는지를 봐야 합니다.
다른 디지털 기록과 같은 시간축에 놓습니다
문자·카카오톡·SNS·DM 증거는 누가 언제 어떤 파일을 주고받았는지 확인하는 자료가 될 수 있고, 전자정보·클라우드·메타데이터·접속로그·IP는 파일과 계정의 배경정보를 확인하는 데 쓰입니다.
디지털포렌식 결과가 있다면 파일의 생성·수정·수신·전송 시각뿐 아니라 당시 어떤 계정과 기기가 사용됐는지, 메시지·통화·결제·이동기록과 시간이 맞는지도 함께 봅니다. 한 줄의 타임스탬프보다 여러 독립 기록이 같은 흐름을 가리키는지가 중요합니다.
지금 단계에서는 파일을 다시 저장하지 말고 출처를 적습니다
문제된 파일을 보유하고 있다면 시간정보를 확인하려고 파일을 새로 저장하거나 편집하지 말고 현재 상태를 유지합니다. 어느 기기나 계정에서 확보한 파일인지, 직접 생성한 원본으로 보는 이유가 무엇인지, 메신저나 클라우드를 거쳤다면 어떤 경로였는지를 시간순으로 적습니다.
수사자료에서 제시된 파일이라면 실제로 표시된 생성·수정·수신·전송 시각의 항목명을 구분합니다. 기억으로 “이 시간이 촬영시간일 것”이라고 채우지 말고, 확인된 기록과 그 기록에 대한 해석을 별도로 두는 편이 정확합니다.
흔한 오해와 변호인 검토 지점
가장 흔한 오해는 “메신저에 오후 9시에 보냈으니 파일도 오후 9시에 만들어졌다”거나 “파일 생성시각이 더 이르니 전송기록이 틀렸다”고 보는 것입니다. 두 시간값은 서로 다른 사건을 기록할 수 있으므로 먼저 의미를 나눠야 합니다.
변호인 검토에서는 파일의 출처와 원본·사본 관계, 생성·수정 시각, 메신저의 전송·수신 시각, 당시 계정과 기기, 다른 디지털 기록을 한 시간축에 놓습니다. 핵심은 어느 시각 하나를 골라 사건 전체의 기준으로 삼는 것이 아니라 각 시간값이 직접 보여주는 사실과 아직 해석이 필요한 부분을 구분하는 것입니다.
근거 및 출처