중고로 산 노트북에서 인수 전 생성된 아청물 의심 파일이 발견된 경우

이런 상황입니다

피의자가 중고거래 플랫폼에서 초기화되지 않은 노트북을 구입해 사용하다 다른 사안의 디지털 분석 과정에서 아동·청소년성착취물로 의심되는 영상파일이 발견됐습니다. 포렌식 자료에는 일부 파일의 생성·수정 시각과 오래된 사용자 프로필이 노트북 구입·인수 전으로 보이지만, 노트북을 인수한 뒤에도 파일이 남아 있었고 실제 열람 여부가 확인 대상이 됐습니다. 판매자와의 거래대화·인수시점, 파일별 메타데이터와 계정흔적을 맞춰 기기 취득 전후의 행동을 나눠야 하는 상황입니다.

이 상황에서 갈리는 쟁점

• 문제된 각 파일이 청소년성보호법상 아동·청소년성착취물에 해당하는지
• 중고 노트북의 결제·인수·최초 사용 시점이 언제이고 이를 확인할 거래대화가 무엇인지
• 파일별 생성·수정·저장 시각과 오래된 사용자 프로필이 기기 인수 전후 어느 시점을 가리키는지
• 기기 인수 뒤 피의자가 문제 파일을 이동·보관·열람하거나 별도로 취득한 흔적이 있는지
• 현재 기기 소유자라는 사실과 과거 파일의 생성자·취득자를 어디까지 구분할 수 있는지

현재 노트북 소유자라는 사실과 문제 파일의 생성자를 같은 사람으로 단정할 수는 없습니다

아동·청소년성착취물 수사에서 현재 피의자가 사용하고 있는 노트북에서 문제 파일이 발견되면, 기기의 현재 소유·사용 사실과 파일이 언제 누구의 행동으로 들어왔는지를 먼저 분리해야 합니다. 아동·청소년성착취물 구입·소지·시청은 대상 자료가 법률상 아동·청소년성착취물에 해당하는지 확인한 뒤 구입·소지·시청 중 어떤 행위가 실제로 문제되는지를 나누도록 정리합니다.

중고기기라는 사정만으로 피의자와 파일의 관계가 자동으로 끊기는 것도 아니고, 현재 노트북에서 파일이 발견됐다는 이유만으로 그 파일을 피의자가 생성하거나 처음 취득했다고 자동으로 정해지는 것도 아닙니다. 이번 장면에서는 기기 인수 전후의 경계시점을 먼저 세우고 각 파일의 유입·보관·열람을 그 시간축에 놓는 것이 핵심입니다.

첫 번째 분기점은 문제 파일의 법적 성격을 파일별로 확인하는 것입니다

수사기관이 여러 영상이나 이미지 파일을 특정했다면 파일명이나 폴더명만 보고 전부 같은 성격으로 묶지 않습니다. 청소년성보호법 제11조 제5항의 구입·소지·시청을 검토하려면 대상 자료가 법 제2조 제5호의 아동·청소년성착취물 정의에 해당하는지부터 확인해야 합니다.

중고 노트북의 오래된 폴더에는 서로 다른 시기에 생성된 파일이 섞여 있을 수 있으므로 어떤 파일이 실제 수사대상인지, 각 파일의 내용과 경로가 무엇인지 목록을 나눠 봅니다. 문제 자료가 몇 개인지와 법적 성격이 무엇인지가 정리되기 전부터 “예전 사용자 파일” 또는 “내 파일”이라는 한 문장으로 전부 묶지 않습니다.

두 번째 분기점은 노트북을 언제 실제로 인수했는지입니다

중고거래 게시글, 판매자와의 채팅, 송금·수령 약속, 택배 또는 대면 인도 시점은 노트북이 피의자에게 넘어온 경계를 확인하는 자료가 될 수 있습니다. 문자·카카오톡·SNS·DM 증거에서 설명하듯 대화기록은 문장 하나만 떼기보다 전송시각과 앞뒤 흐름을 함께 봐야 합니다.

거래대화에 “오늘 가져가겠다”는 문장이 있다는 사실과 실제 인수시각은 같지 않을 수 있습니다. 판매자가 발송한 시각, 피의자가 수령한 시각, 처음 전원을 켠 시각이 각각 다르면 그 차이를 그대로 남겨 둡니다.

세 번째 분기점은 파일 생성·수정 시각과 오래된 사용자 프로필의 의미입니다

전자정보·클라우드·메타데이터·접속로그·IP에서 설명하듯 메타데이터는 파일 생성·수정 시각과 같은 배경정보를 보여줄 수 있지만, 복사·편집·전송 과정에서 정보가 달라질 수도 있습니다. 오래된 사용자 프로필 이름이나 파일경로도 중요한 단서가 될 수 있으나 그것만으로 특정 사람이 실제 파일을 만든 사용자라고 자동으로 확정되지는 않습니다.

따라서 파일별 생성·수정 시각, 저장경로, 사용자 프로필, 기기 최초설정이나 계정 접속흔적을 서로 연결합니다. 파일 시각이 노트북 인수 전으로 보인다면 그 사실이 실제로 어떤 메타데이터를 근거로 한 것인지 확인하고, 인수 뒤 복사·수정·열람 흔적이 따로 있는지도 분리합니다.

네 번째 분기점은 인수 전 생성과 인수 뒤 보관·열람을 별도로 보는 것입니다

디지털포렌식은 파일이 발견됐다는 사실만으로 끝내지 않고 생성·수신·저장·열람 시점, 사용 계정과 기기, 다른 기록과의 시간관계를 함께 보도록 합니다. 어떤 파일의 최초 생성시각이 노트북 인수 전이라면 피의자가 그 파일을 처음 만든 사람인지와, 인수 뒤 해당 파일을 기기에서 보관하거나 실제로 열어봤는지는 서로 다른 질문입니다.

반대로 인수 뒤에도 파일이 그대로 남아 있었다는 사실만으로 피의자가 파일의 내용을 언제 알았는지까지 자동으로 정해지는 것은 아닙니다. 실제 열람·재생, 파일 이동, 새 폴더 복사, 별도 다운로드 같은 흔적이 확인되는지 파일별로 봅니다. 확인되지 않은 행동을 중고기기라는 사정만으로 부정하거나, 파일 존재만으로 모두 인정하지 않습니다.

계정·로그는 이전 사용자와 현재 사용자의 시간대를 나누는 데 사용합니다

노트북에 이전 사용자의 로컬 프로필이나 계정 흔적이 남아 있다면 그 계정이 어느 시점까지 사용됐는지, 피의자가 인수 뒤 새 계정을 만들었는지, 기존 프로필을 그대로 사용했는지 확인합니다. 접속로그와 계정정보는 사용흔적을 보여줄 수 있지만 계정명 하나가 실제 사용자를 자동으로 확정하는 것은 아닙니다.

기존 사용자 프로필 아래에 파일이 있다는 사실과 피의자가 그 프로필을 실제로 열어 사용했다는 사실도 구분합니다. 여러 계정의 마지막 사용시각, 파일경로, 브라우저·앱 기록이 같은 시간대를 가리키는지 연결하고, 자료가 서로 충돌한다면 어느 기록의 기준시각인지부터 확인합니다.

휴대전화·노트북 제출 뒤에는 원래 상태를 바꾸지 않습니다

노트북 제출이나 압수수색이 문제된다면 휴대폰 제출·디지털포렌식에서 영장 집행인지 임의제출인지, 어떤 기기와 자료가 대상인지 먼저 확인합니다. 이미 분석이 시작됐거나 제출을 앞두고 있다면 문제 파일, 사용자 계정, 운영체제 설정을 삭제·변경해 기존 상태를 바꾸지 않습니다.

초기에 흔한 실수는 판매자에게 급하게 연락해 파일을 누가 넣었는지 답을 맞추려 하거나, “중고품이니 내 것이 아니다”라는 결론을 먼저 정한 뒤 확인되지 않은 이전 사용자의 행동을 사실처럼 진술하는 것입니다. 반대로 조사실에서 목록을 처음 본 뒤 그 파일을 원래부터 알고 있었던 것처럼 기억을 채우는 것도 피해야 합니다.

경찰 조사에서는 직접 기억한 인수 경위와 포렌식으로 새로 확인한 사실을 분리합니다

경찰 연락·출석조사에서는 피의자가 직접 기억하는 중고거래와 기기 사용경위, 수사기관의 포렌식 자료를 보고 처음 알게 된 파일정보를 구분합니다. 판매자와 언제 어디서 거래했는지 기억하는 것과 파일의 과거 생성시각·프로필 정보를 조사 중 처음 본 것은 같은 종류의 기억이 아닙니다.

조사에서는 거래대화 원본, 인수일시, 인수 뒤 초기화 여부와 계정 설정, 문제 파일을 본 기억, 실제 기기 사용방식을 시간순으로 답할 기준을 정리합니다. 모르는 부분까지 판매자나 가족의 행동으로 추측해 채우거나, 관련 기록을 지우거나 다른 사람과 설명을 맞추지 않습니다.

공용 PC·압축파일 사건과는 ‘소유권이 넘어간 시점’이라는 경계가 다릅니다

가족 공용 PC에서 계정 명의와 실제 사용자가 다투어진 경우는 같은 시기에 여러 사람이 하나의 기기·계정을 사용했다는 점이 중심입니다. 이번 장면은 동시에 공유한 사용자가 아니라 기기의 소유·점유가 판매자에서 피의자로 넘어간 시점 전후를 나눈다는 점이 다릅니다.

비밀번호 압축파일과 해제본이 함께 발견된 경우는 한 기기 안에서 압축파일의 유입과 해제·보관·열람의 순서를 나누는 장면입니다. 이번에는 파일이 존재한 시간보다 노트북 인수시점이 앞인지 뒤인지가 추가 경계가 되고, 중고거래 대화와 사용자 프로필·메타데이터를 결합해 이전 사용자와 현재 사용자의 시간대를 나눠야 하므로 증거조합이 다릅니다.

변호인 검토에서는 ‘기기 인수선’을 먼저 긋고 파일별 행동을 배치합니다

변호인 검토에서는 첫째 중고거래 계약·결제·발송·수령·최초 사용 시점을 가능한 범위에서 고정하고, 둘째 문제 파일별 법적 성격과 생성·수정·저장 시각, 셋째 이전 사용자와 현재 사용자의 계정·프로필 흔적, 넷째 피의자의 인수 뒤 열람·이동·보관 관련 기록을 한 표에 맞춥니다.

지금 확인할 사실은 중고거래 게시글과 판매자 대화 원본, 결제·배송 또는 대면인도 자료, 노트북의 기기정보와 사용자 프로필, 문제 파일별 저장경로·생성·수정 시각, 인수 뒤 새 계정·설정 변경 시점, 실제 열람·재생 흔적, 제출·압수 문서와 경찰이 특정한 파일 목록입니다. 현재 노트북에서 파일이 발견됐다는 사실과 그 파일이 언제 누구의 행동으로 들어오고 인수 뒤 어떻게 취급됐는지를 파일별로 나누는 것이 이 상황의 핵심입니다.