휴대폰 포렌식에서 사진이 나왔는데 누가 촬영했는지가 왜 중요한가요?

중요합니다. 휴대폰에서 사진 파일이 발견됐다는 사실과 그 기기 사용자가 직접 사진을 촬영했다는 판단은 같은 문제가 아닙니다. 포렌식에서는 파일의 존재만 보는 것이 아니라 언제 만들어지거나 수신·저장됐는지, 어떤 계정과 기기가 사용됐는지, 다른 기록과 시간순서가 어떻게 맞는지를 함께 확인해야 합니다.

사진이 발견됐다는 사실만으로 촬영 경위가 끝나는 것은 아닙니다

디지털포렌식에서는 기기에 저장된 사진·영상·문서뿐 아니라 앱 내부 데이터베이스와 파일의 생성·수정 시각 같은 정보가 확인 대상이 될 수 있습니다. 그러나 기기에 파일이 존재한다는 사실과 그 파일을 누가 어떤 방식으로 만들었는지는 별개의 확인 대상입니다.

같은 사진이라도 직접 카메라로 촬영한 경우, 다른 사람에게서 전송받아 저장된 경우, 앱이나 동기화 과정에서 기기에 남은 경우처럼 저장 경위가 달라질 수 있습니다. 따라서 “내 휴대폰에서 나왔다”는 사실 하나만으로 촬영 경위까지 모두 설명됐다고 보면 안 됩니다.

직접 촬영한 파일인지 수신·저장된 파일인지가 왜 다른가요?

포렌식 자료를 볼 때는 파일이 언제 생성·수정·수신·전송됐는지를 시간순서로 나누어 보는 것이 중요합니다. 사진이 기기에 있다는 점만 확인하고 끝내지 않고, 해당 시기의 메시지나 앱 기록, 계정 사용 흔적과 맞물려 어떤 경위로 기기에 들어왔는지를 살펴야 합니다.

파일명이나 저장 위치만으로 생성 경위를 모두 알기 어려운 경우도 있습니다. 그래서 사진 자체와 함께 앱 내부 정보, 메타데이터, 계정 사용 상태처럼 그 파일의 앞뒤 맥락을 설명하는 자료가 어떤 의미를 갖는지 구분해야 합니다.

삭제된 사진이 다시 확인된 경우에는 무엇이 달라지나요?

삭제했다고 해서 사진이 반드시 완전히 사라졌다고 단정할 수 없고, 반대로 포렌식을 하면 언제나 원본 파일이 복구된다고 말할 수도 없습니다. 기기 종류, 운영체제, 암호화, 삭제 뒤 사용 정도, 백업이나 동기화 상태 등에 따라 남는 정보가 달라질 수 있습니다.

원본 파일은 보이지 않더라도 앱 데이터베이스, 썸네일, 백업·동기화 흔적처럼 다른 형태의 정보가 남는 경우가 있습니다. 이때도 “삭제된 사진이 있었다”는 사실과 “누가 처음 촬영했다”는 문제를 한 문장으로 묶지 말고, 남아 있는 정보가 실제로 무엇을 보여주는지부터 확인해야 합니다.

계정과 기기의 사용자는 왜 함께 확인해야 하나요?

포렌식에서 중요한 질문 중 하나는 해당 시점에 어떤 계정과 기기가 사용됐는지입니다. 휴대폰 안에 자료가 있다는 사실만으로 파일을 만든 사람, 전송한 사람, 받은 사람, 실제로 열람한 사람이 모두 같다고 전제할 수는 없습니다.

특히 여러 계정이 사용됐거나 자료가 메신저·클라우드·앱을 거쳐 이동한 흔적이 있다면, 기기 안에 남은 정보와 계정 사용 경위를 나누어 볼 필요가 있습니다. 포렌식 결과는 파일 하나만 떼어 보는 것보다 다른 디지털 기록과 함께 시간순서로 놓을 때 의미가 더 분명해집니다.

다른 기록과 시간순서가 맞는지도 확인해야 합니다

사진의 생성·수정·수신·전송 시각은 다른 자료와 함께 비교할 수 있습니다. 같은 시기의 메시지·통화·결제·이동기록이나 조사에서 한 진술과 시점이 맞는지, 서로 충돌하는 부분이 있는지를 확인하면 해당 사진이 사건의 어느 장면과 연결되는지 정리하기 쉬워집니다.

여기서도 한 개의 시각 정보만으로 결론을 내리는 것이 아니라, 직접증거인지 정황을 설명하는 자료인지와 다른 기록 사이의 연결을 구분해야 합니다. 사진 파일이 발견됐다는 사실보다 그 파일의 출처와 시점이 사건의 다른 자료와 어떻게 이어지는지가 핵심입니다.

포렌식을 걱정해 지금 파일을 지우면 안 됩니다

결과가 걱정된다는 이유로 휴대폰을 초기화하거나 사진·앱을 삭제하고 계정 설정을 급하게 바꾸는 방식으로 대응하면 안 됩니다. 기기 상태가 달라지면 원래 있던 자료의 확인이 어려워질 수 있고, 이후 그 행동의 경위를 별도로 설명해야 하는 상황이 생길 수 있습니다.

이미 휴대폰이 제출되었거나 압수된 상태라면 결과를 미리 상상해서 설명을 바꾸기보다, 어떤 기기가 어떤 경위로 확보됐는지와 자신이 알고 있는 파일의 생성·수신·저장 경위를 시간순서로 정리하는 편이 중요합니다.

변호인 검토에서는 파일의 존재와 생성 경위를 분리합니다

변호인 검토에서는 사진이 있다는 사실만 보는 것이 아니라 파일의 시점과 출처, 계정·기기 사용자, 진술과 데이터 사이의 불일치를 함께 확인합니다. 직접 촬영한 자료인지, 전송받거나 저장된 자료인지, 삭제 뒤 어떤 형태의 흔적이 남았는지에 따라 확인해야 할 정보가 달라질 수 있습니다.

성범죄 디지털포렌식에서는 휴대폰에서 확인될 수 있는 정보와 삭제 자료, 시간순서, 계정·기기 사용자 문제를 더 넓게 설명합니다. 현재 사건에서는 사진이 발견됐다는 사실과 누가 어떤 경위로 그 파일을 만들거나 보관하게 됐는지를 분리해서 정리하는 것이 출발점입니다.