(이미지제공=파주 포렌식 데이터복구 기술원)
교통사고나 주차 충격, 뺑소니 등으로 특정 시간대의 영상이 필요한데 블랙박스 목록에서 영상이 보이지 않는 경우가 있다. 자동차 블랙박스는 대표적인 디지털 포렌식 분석 대상이기도 하다.
■ 삭제인가 덮어쓰기인가
이때 중요한 것은 삭제와 덮어쓰기를 구분하는 것이다. 파일 정보가 삭제됐더라도 실제 영상 데이터가 남아 있다면 복구 가능성을 확인할 수 있다.
반면 순환녹화 과정에서 기존 영상이 새로운 영상으로 실제 덮어쓰기됐다면 일반적인 데이터복구로 원래 내용을 되돌리기는 어렵다. 목록에 보이지 않는다는 사실만으로 두 경우를 구분하기는 어렵기 때문에 상태 확인이 먼저다.
■ 영상이 없어진 것을 알았다면
필요한 영상이 사라진 것을 확인했다면 블랙박스 사용을 최소화하고 원본 SD·마이크로SD 카드를 보존하는 것이 중요하다. 계속 주행하며 녹화를 이어가면 남아 있는 데이터가 새 영상으로 덮일 수 있기 때문이다.
스마트폰이나 블랙박스, HDD·SSD, USB, SD카드 등에서 중요한 데이터가 사라졌다면 무작정 여러 복구 프로그램을 사용하는 것보다 먼저 저장장치의 상태를 확인하는 것이 중요하다.
■ 사고 자료가 증거로 필요할 때
형사·민사 사건이나 학교폭력, 스토킹, 기업 내부자료 유출 등과 관련해 디지털 자료를 확인해야 한다면 원본 보존의 중요성은 더욱 커진다. 분석이 필요한 스마트폰이나 저장장치를 임의로 초기화하거나 데이터를 반복적으로 삭제·변경하면 분석에 필요한 흔적이 사라질 수 있다.
증거 분석이 목적이라면 가능하면 원본을 보존하고 필요한 경우 복제 또는 이미징한 데이터를 바탕으로 분석하는 방식이 활용될 수 있다. 분석 결과 역시 확인된 사실과 분석자의 해석, 확인할 수 없는 부분을 구분해서 정리하는 것이 중요하다.
■ 증거가치는 별도로 검토
실제 소송이나 수사 과정에서의 증거가치와 적법성은 자료의 취득 방법과 사건의 구체적인 사정에 따라 달라질 수 있어 법률전문가와 별도로 검토하는 것이 좋다. 분석으로 확인할 수 있는 범위와 법적 판단의 영역이 다르기 때문이다.
파주 포렌식 데이터복구 기술원(대표번호 1577-6254)은 스마트폰을 비롯해 각종 디지털 저장장치에서 확보 가능한 데이터를 분석하고, 데이터복구 및 디지털 포렌식 관련 업무를 진행하고 있다.
■ 스마트폰 자료가 함께 필요할 때
사고 관련 자료는 블랙박스에만 남아 있지 않다. 스마트폰에서도 카카오톡 대화, 문자메시지, 사진·동영상, 통화 관련 기록 등을 확인해야 하는 경우가 있는데, 복구 가능 여부는 기종과 운영체제, 앱 버전, 삭제 방법, 삭제 이후 사용량, 백업 여부, 암호화 및 보안 구조에 따라 달라질 수 있다.
최근 스마트폰은 사용자 데이터를 암호화해 저장하기 때문에 삭제 영역을 검색한다고 모든 파일을 복구할 수 있는 구조는 아니며, 공장초기화가 정상적으로 진행된 기기에서는 초기화 이전 데이터를 직접 복구하는 것이 매우 어려울 수 있다.
■ 어떤 업체를 볼 것인가
디지털 포렌식은 단순히 프로그램 하나를 실행해 결과를 얻는 작업으로 보기 어렵다. 스마트폰과 저장장치의 종류, 운영체제, 암호화 방식, 고장 상태 등에 따라 데이터 확보와 분석 방법이 달라질 수 있기 때문이다.
일산 포렌식 업체를 알아볼 때는 분석 목적을 먼저 확인하는지, 원본 보존 절차를 중요하게 다루는지, 복구 가능성과 한계를 설명하는지, 분석 결과를 어떤 형태로 제공하는지 등을 확인하는 것이 좋다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
