이런 상황입니다
가족 여러 명이 각자 휴대전화·노트북에서 접속하는 공용 NAS가 디지털 수사 과정에서 분석됐고, 공유 폴더에서 아동·청소년성착취물로 의심되는 파일이 발견됐습니다. NAS에는 가족별 사용자계정과 여러 기기의 접속 흔적이 섞여 있어, 파일이 저장된 위치만으로 특정 사용자의 행위를 정하지 않고 파일별 생성·수정 시각, 계정·접속기기 기록과 실제 열람 흔적을 맞춰 저장·보관·시청 경위를 확인해야 하는 상황입니다.
이 상황에서 갈리는 쟁점
- 문제된 파일이 법률상 아동·청소년성착취물에 해당하는지
- 공유 폴더와 개인 폴더 중 어디에서 파일이 발견됐고 어떤 계정 권한으로 접근할 수 있었는지
- 파일별 생성·수정·복사 시각과 NAS 사용자계정·접속기기 기록이 같은 시간대를 가리키는지
- NAS에 파일이 존재한 사실과 특정 사용자가 실제로 저장·보관·열람한 행위를 어디까지 구분할 수 있는지
- 여러 가족 기기의 자동연결·동기화 여부와 수동 업로드·열람 흔적을 어떻게 나눠 볼지
- 분석 전후 저장장치·계정 상태를 임의로 바꾸지 않고 어떤 자료를 기준으로 설명할지
공용 네트워크 저장장치에 문제 파일이 발견됐다는 사실은 중요한 출발점이지만, 그 사실만으로 어느 가족이 어떤 행위를 했는지까지 자동으로 정해지는 것은 아닙니다. 아동·청소년성착취물 구입·소지·시청에서는 먼저 자료가 법률상 대상에 해당하는지 확인하고, 구입·소지·시청 중 실제로 어떤 행위가 문제되는지를 나눠 봅니다.
이번 장면의 핵심은 NAS 안의 파일 위치, 사용자계정, 접속기기, 파일 시각정보와 실제 접근 흔적을 한꺼번에 한 사람의 행동으로 묶지 않는 것입니다.
첫 번째 분기점은 문제 파일의 법적 성격입니다
수사기관이 특정한 파일마다 실제 내용과 법률상 분류를 먼저 확인합니다. 파일명이나 폴더명에 특정 표현이 들어 있다는 이유만으로 분류를 끝내지 않습니다. 청소년성보호법 제11조는 제작·유통과 구입·소지·시청을 행위별로 나누고 있으므로, 공유 저장장치에서 파일이 발견됐다는 사실과 실제 적용될 행위를 구별해야 합니다.
여러 파일이 한 폴더에 있다면 폴더 전체를 하나의 행동처럼 보지 않고 파일별 유입·보관·접근 경위를 확인합니다.
두 번째 분기점은 공유 폴더와 사용자계정 구조입니다
가족 공용 NAS는 한 저장장치를 여러 사람이 각자의 휴대전화·노트북에서 이용할 수 있습니다. 이때 공유 폴더에 접근할 수 있었다는 사실, 사용자계정이 만들어져 있었다는 사실, 문제 시각에 실제 접속했다는 사실은 서로 다른 정보입니다.
전자정보·클라우드·메타데이터·접속로그에서 설명하듯 접속로그와 IP·기기정보는 계정사용의 흔적이 될 수 있지만, 하나의 기록만으로 실제 사용자를 자동으로 확정하지 않습니다. 계정을 가족끼리 공유했는지, 개인별 계정을 썼는지, 특정 기기가 어느 계정으로 접속했는지 실제 기록과 평소 사용방식을 함께 봅니다.
세 번째 분기점은 파일 시각과 접속기록이 실제로 맞물리는지입니다
디지털포렌식 결과에서 파일의 생성·수정 시각, 저장경로, 복사·동기화 흔적이 확인될 수 있습니다. NAS 로그가 남아 있다면 같은 시간대의 로그인·접속기기 기록과 비교합니다.
다만 파일의 생성시각이 곧 NAS에 처음 저장된 시각이라는 뜻은 아닐 수 있고, 복사·동기화 과정에서 일부 시각정보가 달라질 수도 있습니다. 그래서 파일 메타데이터 하나만 보고 업로드 주체를 정하지 않고, 계정·기기·네트워크 기록이 같은 흐름을 가리키는지 확인합니다.
네 번째 분기점은 저장과 실제 열람을 나눠 보는 것입니다
청소년성보호법 제11조 제5항은 구입·소지·시청을 규정합니다. NAS의 공유 폴더에 파일이 있다는 사실과 특정 사용자가 그 파일을 실제로 열어봤다는 사실은 구분해 확인할 필요가 있습니다.
재생기록이나 앱·브라우저 기록, 해당 파일에 대한 접근기록이 제시된다면 어느 사용자계정과 어느 기기, 어느 시각에 대응하는지 봅니다. 반대로 별도의 열람 흔적이 보이지 않는다는 사정만으로 파일의 유입·보관 경위까지 모두 설명됐다고 넓혀 말하지 않습니다.
다섯 번째 분기점은 자동연결과 수동 조작을 구별하는 것입니다
가족의 휴대전화나 노트북이 NAS 폴더를 자동으로 연결하거나 동기화하도록 설정돼 있었다면, 어떤 폴더가 어떤 기기와 연결됐는지 확인합니다. 자동연결 가능성이 있다는 설명만 반복해서는 특정 파일이 실제로 어떤 경로로 들어왔는지 알 수 없습니다.
반대로 특정 기기에서 NAS에 접속한 흔적이 있다는 이유만으로 그 접속 때 문제 파일을 업로드하거나 열람했다고 단정해서도 안 됩니다. 파일별 시각과 접속기록, 실제 사용기기를 같은 시간축에 놓아 확인합니다.
기기·저장장치가 확보됐다면 분석대상과 원래 상태를 구분합니다
휴대전화·PC·저장장치가 제출되거나 압수돼 분석이 진행됐다면 휴대폰 제출·디지털포렌식에서 어떤 기기와 계정, 어떤 자료가 확보됐는지 확인합니다. 분석 결과를 설명받을 때에는 NAS 본체에서 확인된 정보인지, 연결된 휴대전화·PC에서 확인된 흔적인지 출처를 나눠 적습니다.
불안을 줄이려고 NAS의 파일을 지우거나 사용자계정을 삭제하고, 접속기록이나 동기화 설정을 바꾸는 행동은 피해야 합니다. 현재 남아 있는 저장장치·기기·계정 상태와 수사기관이 제시한 자료를 기준으로 설명할 준비를 합니다.
기존 공용 PC·클라우드 탐지 장면과는 확인할 기록이 다릅니다
가족 공용 PC에서 다운로드 목록이 제시된 상황은 한 대의 PC와 공용 계정에서 특정 시각의 실제 사용자를 가리는 장면입니다. 클라우드 계정 정지 뒤 아청물 수사 연락을 받은 상황은 플랫폼 탐지와 클라우드 계정의 파일 유입·동기화가 사건의 출발점입니다.
이번 상황은 별도 네트워크 저장장치에 여러 기기와 사용자계정이 접속해 온 구조 때문에, 파일 저장경로뿐 아니라 어느 계정·기기에서 언제 접속했고 그 시각이 파일의 저장·접근 흔적과 맞는지가 중심입니다.
변호인 검토에서는 파일·계정·기기·시각을 한 표로 맞춥니다
변호인 검토에서는 첫째 문제 파일의 법적 성격, 둘째 NAS의 공유·개인 폴더 구조와 접근권한, 셋째 파일별 생성·수정·복사 시각, 넷째 사용자계정·접속기기 기록, 다섯째 실제 열람·재생 흔적을 같은 시간표에 놓습니다.
중요한 것은 “우리 가족이 같이 썼다”거나 “내 계정이니 내 파일이다”라는 한 문장으로 결론을 정하는 것이 아닙니다. 각 기록이 파일의 존재, 저장, 계정사용, 실제 접근 중 무엇을 직접 보여주는지 나누고, 확인되지 않은 부분은 추측으로 채우지 않는 것이 이 장면의 핵심입니다.
근거 및 출처