휴대폰과 클라우드의 대화 기록이 다르면 포렌식에서 어느 쪽을 보나요?

휴대폰에 남은 대화와 클라우드에서 확인된 자료가 다르다면 어느 한쪽을 무조건 정답으로 정할 수 없습니다. 먼저 각 자료가 실제로 어느 기기·서비스에서 획득됐고, 어떤 계정과 시점의 기록인지 구별해야 합니다. 디지털포렌식은 자료의 보존·획득·검사·분석 과정이며, 기기 안의 정보와 외부 서비스에 있는 정보를 같은 것으로 취급하지 않습니다.

휴대폰에 없는 대화가 클라우드에는 있을 수 있나요?

휴대전화의 앱 데이터베이스, 캐시, 백업·동기화 흔적과 외부 서비스에 저장된 정보는 구별해야 합니다. 휴대폰 화면에 특정 대화가 보이지 않는다는 이유만으로 외부 서비스에 같은 정보가 존재하지 않는다고 단정할 수는 없습니다. 반대로 기기에 동기화 흔적이 있다고 해서 외부 서버의 특정 대화 원문까지 실제로 확보됐다는 뜻도 아닙니다.

성범죄 수사에서 대화 내용이 쟁점이라면 경찰이 어떤 자료를 확보했다고 설명했는지를 먼저 정확히 확인해야 합니다. 단순한 서비스 사용 흔적, 대화 목록, 일부 메시지, 실제 대화 원문은 각각 보여주는 사실이 다를 수 있습니다.

두 기록에 같은 메시지가 있지만 시각이 다르면?

첫 번째 갈림길은 두 자료에 같은 내용이 보이는데 기록된 시각이 다른 경우입니다. 포렌식에서는 파일 생성·수정·수신·전송 시각을 구별하고, 어느 계정과 기기에서 정보가 확인됐는지 살펴야 합니다. 서로 다른 화면에 표시된 숫자가 다르다는 이유만으로 어느 기록이 허위라고 정해서는 안 됩니다.

사건 당시 대화가 언제 오갔는지가 중요하다면 각 기록이 무엇의 시각을 나타내는지부터 확인해야 합니다. 자료마다 표시된 시간정보의 종류가 다를 수 있다는 점과 실제 사건의 발생시각은 따로 검토할 문제입니다.

휴대폰에는 일부 메시지만 남고 다른 곳에는 더 많은 대화가 있다면?

두 번째 갈림길은 확보 범위 자체가 다른 경우입니다. 기기에서 대화 일부만 확인됐고 다른 자료에 사건 전후 대화가 추가로 남아 있다면, 발췌한 한 문장만으로 대화 전체의 의미를 판단하지 않아야 합니다. 자료마다 시작·종료 구간이 무엇인지와 실제로 누가 주고받은 대화인지 구별합니다.

특히 사건 전후 대화는 문장 하나의 표현만 떼어 보면 다른 의미로 읽힐 수 있습니다. 실제 확인된 대화의 앞뒤 순서와 각 계정의 사용자를 확인하면서 수사기관이 제시한 내용과 원본에 남은 범위를 맞춰 봐야 합니다.

휴대폰에 계정 흔적만 있고 클라우드의 원문은 없다면?

세 번째는 휴대전화에 로그인 정보나 동기화 흔적은 있으나 특정 메시지 원문이 확보됐다는 사실은 확인되지 않은 경우입니다. 계정을 이용한 흔적이 있다는 설명만으로 그 계정에서 어떤 문장을 보내거나 수신했다는 내용까지 바로 알 수는 없습니다.

계정 사용 흔적과 실제 메시지 자료, 다른 기기에서 확인된 내용은 출처가 다릅니다. 추정한 메시지를 기억나는 사실처럼 채우거나, 확보되지 않은 자료를 확보됐다고 전제해 조사에 답하지 않는 것이 중요합니다.

서로 다른 기록을 한꺼번에 묶으면 생기는 오해

포렌식 보고서에는 디지털 자료의 종류와 획득 경위가 구별되어야 합니다. 휴대전화에서 나온 기록인지, 기기에 남은 백업·캐시인지, 별도 서비스에서 확보된 자료인지 분리해야 자료의 의미를 평가할 수 있습니다. 휴대폰 자체를 제출했다는 사실과 외부 서비스의 모든 기록을 확보했다는 사실도 같지 않습니다.

또한 기술적으로 추출된 자료라고 해서 모두 사건과 관련된 것은 아닙니다. 자료가 실제로 무엇을 보여주는지와 그 자료가 법률상 혐의를 뒷받침하는지는 서로 다른 단계의 판단입니다. 디지털 자료 하나만으로 계정 사용자나 대화 맥락까지 자동으로 확정하지 않아야 합니다.

경찰 조사 전에 무엇을 준비해야 하나요?

본인이 실제 사용한 기기와 계정, 대화를 주고받은 것으로 기억하는 시점, 앱에서 본 내용, 자신이 보유한 원본 자료를 구분해 정리합니다. 수사기관이 어떤 기록을 확보했다고 안내했는지와 본인이 직접 확인한 기록도 구별해야 합니다. 모르는 부분을 추측해서 채우거나 기록을 임의로 수정·삭제하지 않습니다.

제출되거나 압수된 휴대전화가 있다면 그 확보 경위와 실제 전자정보 탐색 범위도 확인해야 합니다. 영장에 의한 압수와 임의제출은 출발점이 다르고, 자료를 확보한 절차와 자료가 보여주는 내용은 별개의 문제입니다.

변호인과 검토할 때 결론을 바꾸는 핵심

핵심 조건은 세 가지입니다. 첫째, 두 기록이 모두 실제로 확보됐는지. 둘째, 메시지 원문인지 계정·동기화 흔적인지. 셋째, 각 자료가 어떤 시점·사용자·대화 범위를 보여주는지입니다. 이 조건에 따라 포렌식에서 확인됐다고 설명할 수 있는 사실의 범위가 달라집니다.

휴대전화 자료와 다른 저장 위치의 자료가 어긋난다면 어느 하나를 골라 나머지를 무시하기보다 각각의 출처·획득 과정·시간정보·내용을 대조하는 것이 중요합니다. 사건의 최종 판단까지 추측하지 않고, 확인된 기록과 확인되지 않은 기록을 나눠 검토해야 합니다.