회사 노트북의 개인 클라우드 동기화 폴더에서 아청물 의심 파일이 발견된 경우

이런 상황입니다

회사에서 지급한 업무용 노트북에 피의자의 개인 클라우드 계정이 로그인돼 있었고, 동기화 폴더에서 아동·청소년성착취물로 의심되는 파일이 회사 보안점검 과정에서 발견됐다는 통보를 받은 뒤 경찰에서도 관련 자료와 기기 사용경위를 확인하겠다는 연락이 온 상황입니다. 개인 클라우드의 서버 자료, 회사 노트북에 실제로 내려온 파일, 업무계정·개인계정의 사용기록과 파일별 열람 흔적을 같은 시간축에 놓고 확인해야 합니다.

이 상황에서 갈리는 쟁점

• 문제된 각 파일이 청소년성보호법상 아동·청소년성착취물에 해당하는지
• 개인 클라우드 서버의 자료와 회사 노트북에 실제 동기화된 로컬 자료가 어떻게 구분되는지
• 문제 파일이 어느 시점에 어떤 동기화 설정과 경로로 노트북에 들어왔는지
• 파일 존재와 별도로 실제 보관·열람·시청 흔적이 무엇인지
• 회사 지급기기의 업무계정·개인계정·기기관리 기록이 실제 사용자와 파일행동을 어디까지 보여주는지
• 회사 보안점검에서 확인된 내용과 수사기관이 확보한 자료의 출처·시점을 구분할 수 있는지
• 기기 제출이나 압수 절차가 있었다면 어떤 기기·계정·자료가 대상이 됐는지

회사 노트북에 파일이 있다는 사실과 구입·소지·시청 행위를 같은 것으로 보지 않습니다

업무용 회사 노트북의 동기화 폴더에서 아동·청소년성착취물 의심 파일이 발견됐더라도, 파일이 보인다는 사실만으로 구입·소지·시청 중 어떤 행위가 실제로 문제되는지까지 한꺼번에 정해지는 것은 아닙니다. 아동·청소년성착취물 구입·소지·시청에서는 먼저 대상 자료가 법률상 아동·청소년성착취물에 해당하는지 확인하고, 파일의 유입 경위와 실제 구입·소지·시청 행위를 구분합니다.

이번 장면에서는 회사 소유 노트북에 개인 클라우드 계정이 연결돼 있었다는 점 때문에 서버 자료, 로컬 동기화 파일, 회사의 기기관리 기록이 함께 등장합니다. 어느 하나를 다른 자료의 의미까지 대신하는 증거로 취급하지 않고 파일별 시간순서를 먼저 고정해야 합니다.

첫 번째 분기점은 문제 파일의 법적 성격과 실제 대상 목록입니다

청소년성보호법 제11조는 아동·청소년성착취물의 구입·소지·시청을 규정하고, 제작·제공·배포 등은 같은 조의 다른 행위유형으로 나눕니다. 따라서 보안점검 결과나 수사기관 설명에서 여러 파일이 언급됐다면 파일명이나 폴더명만 보고 전부 같은 성격으로 묶지 않습니다.

수사기관이 실제로 특정한 파일이 무엇인지, 각 파일의 내용과 저장경로가 무엇인지부터 목록을 나눕니다. 회사 보안도구가 표시한 항목과 경찰이 확인 대상으로 특정한 항목이 같은지, 일부 파일만 문제되는지도 구분합니다. 존재가 확인되지 않은 추가 파일을 추측해서 채우지 않습니다.

두 번째 분기점은 클라우드 서버 자료와 노트북 안의 동기화 자료를 나누는 것입니다

전자정보·클라우드·메타데이터·접속로그에서는 휴대전화나 PC에 클라우드 계정이 로그인돼 있다는 사실과 해당 서비스 서버의 전체 자료가 기기 안에 저장돼 있다는 사실을 구분합니다. 동기화 파일, 캐시, 썸네일, 계정 흔적처럼 기기에 남는 정보의 범위도 서로 다를 수 있습니다.

그래서 개인 클라우드 계정에 문제 파일이 있었다는 설명과 회사 노트북에 실제 원본 또는 사본이 내려왔다는 사실을 따로 확인합니다. 동기화 대상 폴더, 파일별 저장위치, 생성·수정 시각, 로컬에 남은 형태를 맞춰 보고, 서버에만 있는 자료와 기기에 실제로 존재하는 자료를 같은 것으로 말하지 않습니다.

세 번째 분기점은 자동동기화 설정과 파일별 유입 시각입니다

개인 클라우드가 자동으로 동기화되도록 설정돼 있었다면 설정의 존재 자체보다 문제 파일이 언제 어떤 경로로 노트북에 들어왔는지를 파일별로 확인해야 합니다. 메타데이터는 생성·수정 시각 같은 배경정보를 보여줄 수 있지만 복사·편집·동기화 과정에서 정보가 달라질 수도 있으므로 하나의 시각만 보고 최초 취득시점을 단정하지 않습니다.

디지털포렌식 자료에서는 파일의 저장위치, 계정, 시점과 다른 기록을 함께 볼 수 있습니다. 클라우드 동기화 시각, 노트북 로그인 시각, 파일이 로컬에 남은 시각이 같은 흐름을 가리키는지 확인하고, 서로 맞지 않는다면 그 차이를 그대로 남겨 둡니다.

네 번째 분기점은 파일 존재와 실제 열람·시청 흔적입니다

판단 기준은 파일이 발견됐다는 사실과 범죄 성립 판단을 같은 것으로 처리하지 않고, 파일이 언제 들어왔는지, 실제로 열람했는지, 계정과 기기의 사용자가 누구인지 등을 구분하도록 합니다. 따라서 동기화 폴더에 파일이 존재한다는 사실과 피의자가 해당 파일을 실제로 열어보거나 재생했다는 사실은 별도로 확인합니다.

최근 열기 목록, 앱이나 시스템 기록, 파일 접근 관련 시각정보처럼 실제로 제시된 자료가 있다면 어느 파일과 어느 계정·기기에 대응하는지 봅니다. 반대로 열람 흔적이 확인되지 않는다는 이유만으로 유입이나 보관 경위까지 자동으로 설명됐다고 넓혀 말하지 않습니다. 확인되는 행동과 아직 해석이 필요한 부분을 분리합니다.

회사 지급기기라는 점은 소유관계와 실제 사용기록을 함께 보게 합니다

회사 소유 노트북이라는 사실은 기기의 관리관계를 설명하지만, 특정 파일을 누가 어떤 행동으로 저장하거나 열었는지는 별도의 기록을 확인해야 합니다. 업무계정, 개인 클라우드 계정, 기기 로그인과 회사의 관리기록이 있다면 각각 어느 시점의 어떤 사용흔적을 보여주는지 구분합니다.

접속로그나 IP, 계정정보는 사용흔적의 단서가 될 수 있지만 하나의 로그만으로 실제 사용자를 자동으로 확정하는 정보는 아닙니다. 회사가 원격으로 기기를 관리했다는 사실이 있다면 그 관리기록과 피의자의 실제 로그인·파일행동 기록을 같은 것으로 섞지 않고, 확인된 자료끼리 시간순서가 맞는지 봅니다.

회사 보안점검 통보와 경찰 수사자료의 출처도 분리합니다

회사 보안점검에서 특정 파일 경로나 경고가 확인됐다는 통보를 받았다면, 먼저 어떤 기기에서 어떤 항목이 표시됐는지와 확인 시각을 기록합니다. 이후 경찰 연락·출석조사가 이어졌다면 연락 기관, 담당자, 사건 내용과 조사 신분을 확인하고 수사기관이 실제로 어떤 파일·계정·기록을 문제 삼는지 따로 정리합니다.

회사 내부 통보에서 들은 설명을 수사기관의 분석결과처럼 말하거나, 반대로 경찰이 제시한 자료를 처음부터 알고 있었던 자신의 기억처럼 바꾸지 않습니다. 직접 알고 있던 계정 사용방식, 회사 통보로 새로 알게 된 내용, 수사자료를 보고 확인한 사실을 세 층으로 나누면 진술과 전자기록을 맞추기 쉽습니다.

기기 제출이나 압수가 이어졌다면 원래 상태를 바꾸지 않습니다

휴대폰 제출·디지털포렌식 단계에서는 영장에 따른 압수수색인지 임의제출 요청인지, 어떤 기기와 계정·자료가 대상이 됐는지부터 확인합니다. 현행 형사소송법 제215조 제1항은 삭제됐고, 제2항은 사법경찰관이 검사에게 신청하고 검사의 청구로 법원이 발부한 영장에 따른 압수·수색·검증을 규정합니다. 삭제된 제1항을 현행 검사 직접수사 압수수색 근거처럼 설명하지 않고 실제 집행의 영장과 범위를 확인합니다. 회사 노트북이 이미 제출됐거나 제출 요청을 받은 상황이라면 문제 파일이나 클라우드 동기화 폴더를 지우고, 개인계정 로그아웃이나 동기화 설정 변경으로 기존 상태를 바꾸지 않습니다.

업무자료가 함께 있다는 이유로 원격삭제를 시도하거나 회사 담당자와 파일의 의미를 맞춰서 설명하려 하지 않습니다. 제출·압수 관련 문서와 담당자 안내, 기기 식별정보, 사건 당시 계정·동기화 사용방식을 원래 상태와 구분해 정리합니다.

기존 클라우드 탐지·백업 복원·회사 노트북 압수 장면과 출발점이 다릅니다

클라우드 계정 정지 뒤 아청물 수사 연락을 받은 상황은 플랫폼의 계정 탐지·정지가 수사의 출발점이고, 휴대전화 교체 뒤 옛 백업이 복원된 상황은 옛 백업과 새 기기 복원 시점을 나누는 것이 핵심입니다.

자택 압수수색 중 회사 지급 노트북이 함께 반출된 상황은 영장 범위와 회사 소유 업무기기의 반출·분석 범위가 중심입니다. 이번 장면은 회사 지급 노트북에서 개인 클라우드 동기화 폴더가 실제로 형성돼 있고, 회사 보안점검 기록과 개인계정·로컬 파일기록이 한 사건 시간축에 함께 등장한다는 점이 다릅니다. 그래서 플랫폼 탐지, 기기 복원, 압수범위 어느 하나만으로 설명되지 않는 별도 확인구조가 생깁니다.

변호인 검토에서는 파일·계정·기기·통보 시점을 한 표로 맞춥니다

변호인 검토에서는 첫째 문제 파일의 법적 성격과 수사기관이 특정한 파일 목록, 둘째 개인 클라우드 서버와 회사 노트북 로컬 저장자료의 구분, 셋째 동기화 설정과 파일별 유입·수정 시각, 넷째 실제 열람·시청 관련 기록, 다섯째 업무계정·개인계정·기기관리 기록, 여섯째 회사 통보와 경찰 연락·기기 확보 시점을 한 시간표에 놓습니다.

지금 확인할 자료는 수사기관이 특정한 파일과 저장경로, 개인 클라우드의 해당 시기 계정·동기화 기록, 회사 노트북의 계정·기기정보, 실제 제시된 파일 접근기록, 회사 보안점검 통보 내용, 경찰 연락 내용과 제출·압수 관련 문서입니다. 회사 노트북에 파일이 보였다는 한 사실을 결론으로 바꾸지 않고, 어떤 자료가 어느 시점의 유입·보관·열람·사용자를 직접 보여주는지 나누는 것이 이 상황의 핵심입니다.