휴대전화 교체 뒤 옛 백업이 복원돼 새 기기에서 아청물 의심 파일이 발견된 경우

이런 상황입니다

피의자가 기존 휴대전화를 교체하면서 같은 클라우드 계정의 백업을 새 휴대전화에 복원했고, 이후 다른 이유로 기기가 제출되거나 압수된 뒤 포렌식에서 아동·청소년성착취물로 의심되는 영상파일이 발견됐습니다. 문제 파일은 새 기기 교체 뒤 복원된 폴더에 있었고, 백업 생성 시각과 새 기기 복원 시각, 실제 열람 흔적을 구분해 원래 유입·보관·시청 경위를 확인해야 하는 상황입니다.

이 상황에서 갈리는 쟁점

• 문제 파일이 법률상 아동·청소년성착취물에 해당하는지
• 파일이 처음 어떤 계정·기기·경로로 들어왔고 어느 백업에 포함됐는지
• 새 기기의 파일 생성·수정 시각이 원래 취득시점인지 복원과정에서 생긴 시각인지
• 복원 뒤 파일을 실제로 열람·시청했다고 볼 수 있는 별도 기록이 있는지
• 백업 계정과 옛 기기·새 기기의 실제 사용자가 누구였는지
• 기기 제출·압수 뒤 어떤 범위의 전자정보가 확인됐는지

새 휴대전화의 복원 폴더에서 문제 파일이 발견됐다고 해서 그 파일을 새 기기에서 새로 내려받았다는 뜻까지 바로 정해지는 것은 아닙니다. 반대로 “백업이 자동으로 복원됐다”는 설명만으로 구입·소지·시청과 관련한 모든 사실이 사라지는 것도 아닙니다. 아동·청소년성착취물 구입·소지·시청에서는 먼저 자료의 법적 성격을 확인하고, 실제로 어떤 구입·소지·시청 행위가 문제되는지를 나눠 보도록 합니다.

이번 장면의 핵심은 원래 파일이 들어온 시점, 백업에 포함된 시점, 새 기기로 복원된 시점, 복원 뒤 실제 접근 여부를 한 줄로 합치지 않는 것입니다.

첫 번째 분기점은 문제 파일의 법적 성격입니다

파일명이나 백업 폴더 위치만으로 문제 자료의 법적 분류를 끝내지 않습니다. 청소년성보호법 제11조는 구입·소지·시청과 제작·배포 등 행위를 항별로 나누고 있으므로, 먼저 수사기관이 특정한 파일이 법에서 정한 아동·청소년성착취물에 해당하는지 실제 자료를 기준으로 확인해야 합니다.

여러 파일이 한꺼번에 복원된 경우에도 폴더 전체를 하나의 자료처럼 보지 않고 문제된 파일을 특정합니다. 자료의 성격과 각 파일에 관한 실제 행위를 먼저 분리해야 이후 전자기록의 의미도 과장하지 않을 수 있습니다.

두 번째 분기점은 원래 유입과 새 기기 복원 경로입니다

전자정보·클라우드·메타데이터·접속로그에서는 클라우드 서버 자료와 기기 안에 남은 자료, 동기화 흔적을 구분해 봅니다. 이번 사건에서는 옛 기기에서 언제 백업이 만들어졌는지, 어떤 계정의 어느 백업이 새 기기에 복원됐는지, 문제 파일이 그 백업에 포함돼 있었는지를 시간순으로 확인합니다.

새 기기의 저장경로에 파일이 있다는 사실은 복원 결과를 보여줄 수 있지만, 그것만으로 최초 유입 경로까지 자동으로 설명하지는 않습니다. 반대로 옛 기기에서 이미 존재했던 파일이라는 자료가 확인된다면 새 기기의 복원 시각을 최초 취득시각처럼 섞어 말하지 않습니다.

세 번째 분기점은 파일의 시각정보가 무엇을 뜻하는지입니다

메타데이터에는 생성·수정 시각 같은 정보가 남을 수 있지만 복사·전송·편집 과정에서 일부 정보가 달라질 수 있습니다. 따라서 새 기기에서 표시되는 파일 시각, 백업 생성시각, 복원작업 시각이 서로 다르다면 어느 기록이 어떤 과정을 보여주는지 구분합니다.

디지털포렌식 결과에서는 파일의 저장 위치와 생성·수정 정보뿐 아니라 계정·앱 데이터와 다른 시간정보를 함께 봅니다. 파일 하나의 날짜만 보고 최초 유입이나 실제 시청 시점을 정하지 않고, 옛 기기·백업·새 기기의 기록이 같은 흐름을 가리키는지 비교합니다.

네 번째 분기점은 복원 뒤 실제 열람·시청 흔적입니다

청소년성보호법 제11조 제5항은 구입·소지·시청을 규정합니다. 따라서 파일이 복원된 폴더에 존재한다는 사실과 새 기기에서 실제로 열어봤는지는 구분해 확인할 필요가 있습니다.

수사기관이 재생기록, 앱 데이터 또는 다른 전자정보를 제시한다면 어떤 파일과 어느 시각에 대응하는 자료인지 확인합니다. 반대로 별도의 열람 흔적이 확인되지 않는다는 이유만으로 최초 유입·백업·보관 경위까지 존재하지 않았다고 넓혀 말하지 않습니다. 각 기록이 직접 보여주는 범위에서 설명합니다.

다섯 번째 분기점은 백업 계정과 실제 기기 사용자입니다

같은 클라우드 계정이 옛 기기와 새 기기에 모두 연결돼 있었다면 계정 명의, 실제 기기 사용자, 백업을 만든 장치와 복원한 장치를 나눠 확인합니다. 접속로그와 기기정보는 계정사용의 흔적을 보여줄 수 있지만, 한 개의 로그인 기록만으로 특정 파일에 대한 모든 조작을 자동으로 확정하는 것은 아닙니다.

공용 계정이나 여러 기기 사용이 실제로 있었다면 그 설명을 뒷받침하는 기록을 확인합니다. 막연히 다른 사람이 썼을 가능성만 덧붙이거나, 반대로 계정이 본인 명의라는 이유만으로 기억하지 못하는 파일 조작까지 추측해 인정하지 않습니다.

기기 제출·압수 뒤에는 확보 범위와 원본 상태를 먼저 확인합니다

휴대전화 제출이나 압수수색이 진행됐다면 휴대폰 제출·디지털포렌식에서 영장 집행인지 임의제출인지, 어떤 기기와 계정·자료가 대상인지 확인합니다. 포렌식 결과를 보게 되면 새 기기만 분석됐는지, 옛 기기나 백업 관련 자료도 확보됐는지부터 구분합니다.

경찰 연락·출석조사에서는 연락 기관·담당자·사건번호·현재 조사 신분과 문제 파일을 먼저 확인하고, 기억하고 있던 기기 교체 과정과 분석자료를 보고 나중에 알게 된 사실을 섞지 않습니다.

초기에 흔한 실수는 복원 상태를 다시 바꾸는 것입니다

신고나 제출 요청을 안 뒤 문제 파일을 다시 열어 확인하거나 삭제하고, 백업을 새로 만들거나 동기화 설정을 바꾸면 기존 상태와 이후 작업에서 생긴 기록이 섞일 수 있습니다. 파일이 왜 있는지 시험해 보려고 다른 기기에 다시 복원하는 행동도 새로운 전자기록을 만들 수 있습니다.

현재 남아 있는 기기와 계정 상태를 임의로 바꾸기보다 백업 목록, 기기 교체·복원 시점, 제출·압수 관련 문서를 정리합니다. 수사기관이 제시한 분석결과와 본인이 직접 기억하는 사실도 분리합니다.

자동다운로드·클라우드 탐지 사건과는 확인해야 할 시간축이 다릅니다

텔레그램 자동다운로드로 파일이 기기에 저장된 상황은 채널 게시물에서 휴대전화 앱 저장영역으로 파일이 들어온 경로와 파일별 열람을 중심으로 봅니다. 클라우드 계정 탐지 뒤 연락받은 상황은 플랫폼 탐지·계정정지와 클라우드 이용기록이 사건의 출발점입니다.

이번 상황은 이미 만들어진 백업이 기기 교체 과정에서 새 장치로 복원된 뒤 파일이 발견됐다는 점 때문에, 최초 유입시점과 백업시점, 새 기기 복원시점, 복원 뒤 접근시점을 서로 나누는 것이 중심입니다.

변호인 검토에서는 네 개의 시점을 하나의 표로 맞춥니다

변호인 검토에서는 첫째 문제 파일이 처음 확인되는 시점과 기기, 둘째 백업 생성시점과 계정, 셋째 새 기기의 복원시점과 저장경로, 넷째 복원 뒤 열람·재생 흔적을 같은 시간표에 놓습니다. 그다음 각 기록이 파일의 존재, 계정사용, 저장, 시청 중 무엇을 직접 보여주는지 구분합니다.

지금 확인할 자료는 수사기관이 특정한 파일 목록, 옛 기기와 새 기기의 사용시점, 백업 목록과 생성시각, 복원작업 시각, 파일별 저장경로·메타데이터, 계정·기기 접속기록, 포렌식 결과와 제출·압수 문서입니다. 새 기기에서 파일이 발견된 이유와 그 전후 실제 행위를 시간순서대로 분리하는 것이 이 장면의 핵심입니다.