휴대폰 포렌식에서 파일 날짜가 사건 날짜와 다르면 어떻게 되나요?

휴대폰 포렌식에서 나온 파일 날짜가 사건 날짜와 다르다면 먼저 어떤 종류의 시각이 표시된 것인지 확인해야 합니다. 생성·수정 시각, 수신·전송 시각, 앱이나 기기에 남은 기록이 반드시 같은 사건을 가리키는 것은 아닙니다. 중요한 것은 날짜 하나가 유리한지 불리한지가 아니라 해당 기록이 실제로 어떤 행동과 연결되는지입니다.

파일에 적힌 날짜는 모두 같은 뜻인가요?

디지털포렌식에서는 기기에 저장된 사진·영상·문서뿐 아니라 파일의 생성·수정 시각 같은 메타데이터와 앱 내부 기록을 확인할 수 있습니다. 하지만 파일이 언제 만들어졌다는 표시와 누가 언제 촬영했는지, 언제 전달받았는지, 언제 열어 봤는지는 서로 다른 질문입니다. 휴대폰 화면에 보이는 날짜를 곧바로 문제된 행동의 날짜로 옮기지 않아야 합니다.

예를 들어 수사에서 특정 날짜의 촬영이나 전송이 문제되는데 파일 목록에는 다른 날짜가 나온다면, 그 날짜가 실제 어느 기록에서 가져온 값인지부터 살펴야 합니다. 파일명이나 저장 위치 역시 자료의 전체 생성 경위를 설명하지 못할 수 있습니다.

생성 시각과 수정 시각이 다른 경우

파일의 생성 시각과 수정 시각이 서로 다르게 나올 수 있다는 점 자체를 사건 결론으로 취급해서는 안 됩니다. 어느 자료를 원본으로 보고 있는지, 기기에서 확인한 파일인지 앱 내부 데이터나 복제본인지, 수사기관이 어떤 항목을 추출해 제시한 것인지를 구분해야 합니다.

이때 확인할 문제는 두 가지입니다. 하나는 수사기관이 지목하는 특정 행동이 어느 시간대에 있었다는 주장인지이고, 다른 하나는 파일의 해당 시각 정보가 정말 그 행동의 시점을 보여주는지입니다. 날짜만 비교하고 실제 행위와의 연결을 생략하면 다른 의미의 기록을 하나의 사건 시각처럼 읽게 됩니다.

다른 사람에게 받은 파일인 경우도 따로 봅니다

사진이나 영상 파일이 휴대폰에서 발견됐더라도 누가 원래 만들었는지, 어떤 경위로 수신·저장했는지, 실제로 열람했는지, 누가 전송했는지는 별도로 확인해야 합니다. 포렌식에서 어떤 파일이 확인됐다는 사실은 그 파일에 관한 모든 행동의 주체가 휴대폰 사용자라는 뜻과 같지 않습니다.

따라서 문제된 날짜와 파일에 표시된 날짜가 다른 경우에는 수신·저장과 촬영·전송을 한꺼번에 설명하지 않는 것이 중요합니다. 이 질문은 특정 파일이 발견됐다는 사실만이 아니라 서로 다른 행동의 시점이 혼동되는 문제를 다룹니다.

앱이나 계정에 남은 시간 기록과 어긋난다면

모바일기기 분석 대상에는 앱 내부 데이터베이스와 계정 이용 흔적 등 여러 형태의 정보가 있을 수 있습니다. 기기 자체에 저장된 파일 정보와 앱에 남은 기록이 같은 자료의 어떤 측면을 보여주는지 확인해야 합니다. 외부 서비스의 서버 자료와 휴대폰 내부의 캐시·동기화 흔적을 동일한 것으로 취급해서도 안 됩니다.

예를 들어 파일 목록에서 확인한 시각과 앱에서 확인된 이용 기록의 시점이 다르다면, 어느 기록을 어디에서 확보했는지와 그 시각이 나타내는 행동이 무엇인지를 먼저 정리합니다. 두 기록의 날짜가 다르다고 해서 어느 하나가 반드시 잘못됐다고 단정하는 것도 피해야 합니다.

날짜 숫자보다 그 날짜가 붙은 항목명을 먼저 봅니다

같은 파일에 표시된 날짜라도 무엇의 날짜인지가 다를 수 있습니다. 사건일과 숫자가 맞는지 비교하기 전에 결과표의 항목 이름을 그대로 옮겨 놓습니다.

보고서의 날짜 항목	대조할 다른 기록	피해야 할 해석
생성 시각	어느 파일·기기에 대한 값인지, 최초 생성 경위	곧바로 촬영행위 시각이라고 단정
수정 시각	복사·편집·전송 등 확인된 경위	수정됐다는 이유만으로 조작이라고 단정
수신·전송 시각	전후 메시지·계정·기기 기록	상대방의 최초 촬영시각과 동일시
분석·확보된 시각	기기 제출·분석 관련 기록	그때 파일을 만들거나 봤다고 단정

보고서에 없는 항목은 ‘미확인’으로 남깁니다. 모든 파일에 같은 정보가 있는 것도 아니고 복사·전송 과정에서 배경정보가 달라질 수 있으므로, 여러 시각이 다르다는 사실만으로 조작이나 무관함을 결론내리지 않습니다. 메타데이터와 계정기록의 출처를 확인하고 메시지·통화·이동 등 실제 사건 기록과 연결해야 합니다.

경찰 조사에서 질문을 받으면 무엇을 준비하나요?

수사기관이 포렌식 날짜 차이를 묻는다면 먼저 제시된 자료가 어떤 파일과 항목을 나타내는지 확인합니다. 자신이 직접 촬영하거나 받은 것으로 기억하는 내용과, 파일에 표시된 날짜를 각각 별도의 사실로 설명할 필요가 있습니다. 기억하지 못하는 행동을 파일 시각에 맞춰 추측해 진술하지 않습니다.

기기 제출 또는 압수 과정에서 어떤 정보가 확보됐는지와 사건에 관한 전자정보의 범위 역시 별도로 확인할 대상입니다. 전자정보의 수집 범위 문제와 파일 날짜의 사실적 의미를 섞어 하나의 결론으로 만들지 않습니다. 자료를 삭제하거나 기기 상태를 바꿔 날짜 문제를 해결하려는 대응도 피해야 합니다.

변호인 검토에서 실제로 중요한 부분

변호인에게는 문제된 파일이 어떤 자료인지, 수사기관이 어떤 날짜를 지목하는지, 그 날짜가 파일 자체의 어떤 항목인지, 당시 진술 및 다른 자료와 어떻게 연결되는지를 전달해야 합니다. 출처나 시각이 불확실하면 불확실하다는 사실 자체를 표시해 두는 편이 정확합니다.

핵심은 파일 날짜가 사건 날짜와 ‘같다’ 또는 ’다르다’는 표면적인 비교에 머물지 않는 것입니다. 기록의 출처, 서로 다른 시간정보가 뜻하는 행동, 실제 파일 사용·수신·전송 경위를 분리해야 포렌식 결과를 사건 전체 맥락에서 이해할 수 있습니다.