삭제한 사진이 포렌식 보고서에 작게 보이면 썸네일만 복구된 건가요?

포렌식 보고서에 사진이 작게 표시됐다는 이유만으로 썸네일만 복구됐다고 판단할 수는 없습니다. 보고서가 보여주는 미리보기와 수사기관이 실제로 추출한 파일은 구분해야 합니다. 반대로 추출 목록에 썸네일만 있다고 확인됐다면 그것을 삭제된 원본 사진 전체가 복구됐다고 표현해서도 안 됩니다.

보고서의 작은 그림과 기기에서 나온 썸네일은 다를 수 있습니다

썸네일 발견과 원본 복구의 일반적인 차이는 실제 확보된 자료가 썸네일인 경우를 설명합니다. 여기서는 그 자료가 썸네일인지도 확인하지 못한 채, 보고서나 조사 화면의 작은 그림만 본 경우를 먼저 구별합니다.

사진이 화면 한쪽에 작게 보이는 것은 표시 방식에 관한 관찰입니다. 그것만으로 추출된 파일의 실제 해상도·크기·형식을 알 수는 없습니다. Magnet Forensics의 Mobile View 설명에도 사진·미디어를 썸네일 보기로 표시하는 기능이 소개돼 있습니다. 이는 표시 형태와 확보된 자료 자체를 나누어 볼 필요가 있다는 제품 사례이며, 모든 수사기관이 그 제품이나 같은 출력 방식을 쓴다는 뜻은 아닙니다.

표시 방식과 실제 추출 대상을 구별하는 순서

받은 자료의 상태	먼저 확인할 내용	그 자료만으로 확정할 수 없는 것
종이·PDF 보고서에 작은 사진만 있음	해당 사진의 항목 번호, 설명, 첨부파일이나 별도 목록의 유무	원래 추출 파일도 작은 썸네일뿐이라는 결론
분석 프로그램의 미리보기 화면만 봄	어떤 증거 항목을 표시했는지, 실제 파일의 형식·픽셀 수·크기	화면에 표시한 크기가 파일의 원래 크기라는 결론
추출 목록이 썸네일·캐시라고 특정함	확보 경로, 연결된 앱, 실제 추출된 파일과 분석 설명	원본 사진 전체가 복구됐다는 결론
별도 이미지 파일을 확보했다고 설명함	파일의 출처와 확보 방법, 원본·사본·변환본 여부	최초 촬영파일과 완전히 같은 원본이라는 결론

파일 크기는 바이트 단위의 저장량이고, 가로·세로 픽셀 수는 이미지의 치수입니다. 보고서의 쪽수나 화면 표시 크기와 섞지 않습니다. 크거나 선명하다는 이유만으로 촬영 원본이라고 판단하지 않으며, 실제로 확인한 항목과 아직 받지 못한 항목을 구분합니다.

보고서 그림과 첨부파일은 어느 항목으로 연결하나요?

가능한 경우 보고서의 증거·사진 번호와 추출 목록의 파일명·경로 또는 항목 번호를 대조합니다. 같은 그림처럼 보여도 보고서를 만들 때 별도 이미지로 변환하거나 일부만 표시했는지 확인되지 않았다면 원본 파일과 동일하다고 단정하지 않습니다. 보고서 작성 과정에서 처리한 내용은 원래 기기에 저장돼 있던 내용과 구분해야 합니다.

SWGDE 이미지 분석 지침은 작업 사본·출력 준비, 이미지 구조·메타데이터 검사, 평가와 보고를 구별합니다. 따라서 보고서에서 직접 보이는 내용뿐 아니라 분석한 대상과 판단할 수 없었던 부분을 읽는 것이 중요합니다. 이 지침이 한국 사건의 자료 교부 의무나 법적 증명력을 자동으로 정하는 것은 아닙니다.

첨부파일을 받지 못했다면 전체 자료가 없다고 단정하지 않습니다. 반대로 존재를 확인하지 못한 파일이 분명히 확보돼 있다고 가정하지도 않습니다. 기록 열람이나 자료 확인이 가능한 범위·방법은 사건 단계에 맞춰 수사기관·변호인과 검토합니다.

실제 썸네일만 확보됐다면 무엇이 남는 쟁점인가요?

실제 추출된 것이 기기 캐시의 작은 이미지뿐이라고 확인됐다면, 그 이미지에 보이는 부분과 원본 전체의 내용은 구별해야 합니다. 어느 앱이나 저장영역에서 확보됐고 어떤 파일과 연결된다고 설명하는지 확인합니다. 디지털포렌식 결과는 자료의 종류와 확보 경위에 따라 확인 가능한 범위가 달라집니다.

미리보기 화면이 존재한다는 사실만으로 최초 촬영자·촬영시각·동의 여부까지 결정되지는 않습니다. 원본이 없다는 이유만으로 썸네일이나 다른 자료의 의미가 모두 사라지는 것도 아닙니다. 자료가 직접 보여주는 사실과 추가 기록을 통해 확인해야 하는 사실을 구분합니다.

백업에서 찾은 사본을 삭제 원본의 복구라고 불러도 되나요?

기기에서 삭제된 파일을 복구했다는 설명과 다른 앱·백업·클라우드에서 사본을 확보했다는 설명은 경로가 다릅니다. 실제로 어느 곳에서 어떤 파일을 얻었는지와 그것이 최초 촬영파일과 어떤 관계인지부터 확인합니다.

단순히 삭제 후 같은 그림을 봤다는 기억만으로 복구 방법을 추정하지 않습니다. 원본·사본·썸네일과 계정 흔적의 관계는 계정·시스템 기록과 함께 살피되, 필요한 확인을 위해 파일을 새로 내려받거나 다시 공유하지 않습니다.

확보된 파일의 의미와 절차 문제는 별개입니다

영장에 따른 압수인지 임의제출인지, 실제로 어느 기기·계정·기간의 전자정보를 탐색·복제했는지는 별도로 확인합니다. 형사소송법 제106조 제3항과 제215조의 전자정보 압수 방식·영장 요건을 실제 확보 경위와 구분해 읽어야 합니다.

보고서의 사진이 작다는 사실만으로 수집절차가 적법하거나 위법하다고 결론 내릴 수 없습니다. 포렌식의 영장 범위 문제와 이번 자료의 표시·추출 형태를 혼동하지 않는 것이 중요합니다.

조사 전에 어떤 설명을 그대로 기록해야 하나요?

보고서를 받은 날짜, 페이지·항목 번호, 수사기관이 사용한 표현, 실제로 확인한 파일 속성을 적습니다. 특히 ’썸네일만 추출됐다’는 설명을 직접 들은 것인지, 작은 그림을 보고 본인이 그렇게 이해한 것인지 나누어 기록합니다.

기억을 맞추려고 원본을 수정하거나 복구앱을 설치하지 않습니다. 기존 기기와 계정 상태를 보존하고 보고서 표시 / 추출 파일의 속성 / 확보 위치와 방법 / 아직 확인하지 못한 자료를 나누어 전달하면, 원본 복구 여부와 표시 방식의 혼동을 줄일 수 있습니다.