이런 상황입니다
촬영물 소지·저장·시청 혐의로 휴대전화 포렌식 결과를 확인하는 과정에서 수사관이 여러 개의 영상 파일을 제시했습니다. 피의자가 목록을 보니 같은 내용으로 보이는 영상이 다운로드 폴더, 메신저 저장폴더, 백업 폴더에 각각 표시돼 있었고, 어떤 항목이 최초로 들어온 파일인지와 어느 항목을 실제로 열어봤는지가 뒤섞여 있어 파일별 유입·저장·접근 경위를 다시 나눠 확인해야 하는 상황입니다.
이 상황에서 갈리는 쟁점
- 반복 표시된 각 항목이 실제로 같은 촬영물 또는 복제물인지와 파일별 내용
- 각 파일의 최초 유입시점과 저장위치가 무엇인지
- 다운로드·메신저 수신·백업·동기화 중 어떤 경로가 실제 자료로 확인되는지
- 각 항목의 생성·수정·접근 시각과 실제 열람 여부를 어디까지 확인할 수 있는지
- 파일 목록의 개수와 실제 유입·보관·시청 경위를 혼동하지 않고 설명할 수 있는지
포렌식 목록에 여러 항목이 보인다는 사실과 각 파일의 유입·보관 경위는 같은 질문이 아닙니다
촬영물 소지·구입·저장·시청은 문제된 자료가 성폭력처벌법 제14조 제1항 또는 제2항의 촬영물·복제물인지, 소지·구입·저장·시청 중 어떤 행위가 문제되는지, 파일이 어떤 경로로 들어와 어디에 보관되고 언제 접근됐는지를 나눠 확인하도록 합니다.
따라서 포렌식 목록에 비슷한 파일명이 여러 줄 표시됐다는 이유만으로 모든 항목의 유입경위와 접근행위가 같다고 전제하지 않습니다. 반대로 같은 내용으로 보인다는 이유만으로 여러 항목을 하나로 합쳐 설명해서도 안 됩니다. 이번 장면에서는 각 항목이 실제로 무엇이고 언제 어떤 저장경로에 생겼는지를 파일별로 다시 고정하는 것이 핵심입니다.
첫 번째 분기점은 반복된 항목이 실제로 같은 내용인지입니다
먼저 목록의 파일명만 비교하지 않고 실제 영상 내용과 파일별 저장위치를 확인합니다. 파일명이 같아도 다른 자료일 수 있고, 파일명이 달라도 같은 영상이 복제돼 있을 가능성을 별도로 확인해야 합니다.
수사기관이 제시한 목록에 다운로드 폴더, 메신저 저장폴더, 백업 폴더가 함께 표시돼 있다면 각 항목을 한 줄씩 나눕니다. 디지털포렌식은 파일명이나 저장위치만으로 생성 경위를 모두 알기 어렵고, 자료의 출처·저장위치·시점·계정과 다른 기록을 함께 보도록 정리합니다.
두 번째 분기점은 최초 유입과 이후 복제·동기화의 시간순서입니다
다음으로 어떤 항목이 가장 먼저 기기나 계정에 들어왔는지 확인합니다. 직접 내려받은 것인지, 메신저로 수신된 것인지, 다른 저장공간에서 복사된 것인지, 백업이나 동기화 과정에서 별도 위치에 생긴 것인지 실제 기록으로 확인되는 범위를 나눕니다.
촬영물 소지·저장·시청 정본도 하나의 기기나 클라우드 안에 여러 파일이 섞여 있다면 파일별 최초 유입시각과 저장위치, 계정·기기를 구분하도록 합니다. 자동 저장이나 동기화라는 설명 하나만으로 결론을 만들지 않고, 실제 설정과 시각정보가 무엇을 보여주는지 확인합니다.
세 번째 분기점은 저장돼 있다는 사실과 실제 접근·시청 기록입니다
파일이 어느 폴더에 존재한다는 사실과 피의자가 그 파일을 실제로 열어보거나 재생했다는 사실은 구분해야 합니다. 포렌식 결과에서 접근시각이나 재생과 관련된 정보가 확인되는지, 단순 저장상태만 확인되는지를 파일별로 표시합니다.
반복된 파일 가운데 하나만 열람 흔적이 있고 다른 항목은 백업 위치에만 남아 있다면 그 차이를 그대로 정리합니다. 반대로 접근기록이 없다는 이유만으로 파일이 어떻게 들어왔는지까지 알 수 없다고 단정하지 않습니다. 존재·유입·저장·열람은 각각 다른 사실축으로 나눠 봐야 합니다.
저장경로와 계정기록은 파일 이동경위를 확인하는 자료입니다
전자정보·클라우드·메타데이터·접속로그는 어느 저장매체나 서비스에서 정보가 확보됐는지, 기기 안의 자료와 클라우드 자료를 어떻게 구분할지 설명합니다. 이번 사건에서도 로컬 다운로드 폴더와 메신저 저장공간, 백업 위치가 서로 다른 출처라면 같은 표시처럼 보여도 자료의 위치가 다릅니다.
파일의 생성·수정·접근 시각이나 계정·동기화 흔적이 있다면 각 항목이 언제 생기고 이동했는지 확인하는 데 참고할 수 있습니다. 다만 하나의 시각정보가 누가 어떤 의도로 파일을 취득했는지까지 자동으로 설명하는 것은 아니므로, 파일 자체와 계정·기기 사용기록을 같이 맞춥니다.
경찰 조사에서는 목록의 숫자보다 파일별 시간표를 먼저 만듭니다
경찰 연락·출석조사에서는 사건 내용과 조사 신분을 확인한 뒤, 직접 기억하는 사실과 자료를 보고 새로 확인한 사실을 나누는 것이 중요합니다. 이번 장면에서는 목록의 총 파일 수를 보고 즉석에서 “몇 개를 받았다”거나 “전부 같은 파일이다”라고 단정하지 않습니다.
각 항목 옆에 실제 영상 내용, 저장위치, 확인되는 최초 시각, 유입경로, 접근·재생기록의 존재 여부를 적습니다. 기억나지 않는 다운로드나 복사 경위를 다른 항목의 기록을 보고 추측해 채우지 않습니다. 휴대전화 제출이나 영장 집행이 실제로 있었다면 휴대폰 제출·디지털포렌식의 확보 범위도 별도로 확인합니다.
기존 자동저장·스트리밍 상황과 다른 핵심은 ‘같은 내용의 반복 항목’입니다
웹하드에서 받은 촬영물의 소지·시청을 포렌식으로 확인하는 상황은 결제·다운로드·저장·시청 흐름이 중심입니다. 스트리밍 뒤 브라우저 캐시에서 파일이 발견된 상황은 직접 저장과 캐시 흔적을 구별하는 장면입니다.
이번 상황은 어느 한 파일의 유입방식만 묻는 것이 아니라 같은 내용으로 보이는 항목이 여러 저장위치에 반복 표시돼 각각의 최초 유입·복제·접근 경위를 다시 분리해야 한다는 점이 별도로 확인할 쟁점입니다.
초기 대응에서 파일을 지우거나 목록을 임의로 재분류하지 않습니다
같은 파일이라고 생각되는 항목을 직접 삭제하거나 폴더를 옮겨 정리하면 원래 저장상태와 시간정보를 확인하기 어려워질 수 있습니다. 수사기관이 제시한 목록에서 불리해 보이는 항목만 빼고 설명하거나, 반대로 모든 항목을 자신이 직접 내려받았다고 한꺼번에 인정할 필요도 없습니다.
현재 남아 있는 자료와 포렌식 결과를 기준으로 확인된 사실만 구분합니다. 다른 사람과 파일 유입경위를 맞추거나 기억나지 않는 부분을 추측으로 채우지 않습니다.
변호인 검토에서는 내용·최초유입·저장위치·접근기록을 파일별로 맞춥니다
변호인 검토에서는 첫째 각 항목의 실제 촬영물 내용, 둘째 최초 유입시점과 경로, 셋째 각 저장위치와 복제·동기화 흔적, 넷째 접근·재생 여부를 파일별로 맞춥니다.
지금 확인할 자료는 포렌식 파일목록, 각 항목의 저장경로와 시각정보, 문제된 계정과 기기, 다운로드·메신저·백업 관련 기록, 실제 재생·접근 여부를 보여주는 자료입니다. 목록에 여러 줄이 있다는 사실보다 각 줄이 어떤 파일의 어떤 경위를 보여주는지를 먼저 정리해야 사건 설명이 정확해집니다.
근거 및 출처