의뢰 목적에 맞춰 분석합니다
잃어버린 자료를 되찾고 싶을 때
삭제된 대화·사진·영상·문서나 고장 난 저장장치의 자료를 찾고 싶은 경우, 기기 상태와 남아 있는 데이터를 확인해 복원 가능 범위를 검토합니다. 소송이나 분쟁과 관계없는 데이터복원도 의뢰할 수 있습니다.
어떤 일이 있었는지 확인하고 싶을 때
파일이 언제 만들어지고 변경됐는지, 외부 저장장치로 이동한 흔적이 있는지, 기기나 프로그램이 언제 사용됐는지 등 확인하려는 질문에 맞춰 관련 기록을 분석합니다.
상대방이 제출한 증거의 위변조·조작 여부가 의심될 때
법원에 제출된 문서파일·음성녹음·사진·동영상이나 대화 캡처의 진위가 의심되는 경우, 파일 구조와 내부 정보, 편집·합성·재녹음 관련 흔적, 원본·비교자료와의 차이를 검토합니다. 확인된 변경과 해석의 한계를 구분해 설명합니다.
배우자의 외도·부정행위와 관련된 사실을 확인하고 싶을 때
배우자의 외도·불륜 등 부정행위와 관련하여 사실관계 확인이 필요한 경우, 적법하게 확보한 대화·사진·영상·위치 기록 등과 분석 권한이 확인된 기기의 자료를 검토합니다. 자료의 시점과 연결 관계를 정리하고, 확인되는 사실과 현재 자료로 판단하기 어려운 부분을 구분합니다.
증거와 설명 자료를 준비하고 싶을 때
사건과 관련된 자료를 확보하고, 확인된 사실과 그 근거를 정리합니다. 의뢰인과 사건 관계자가 내용을 이해하고 검토할 수 있도록 분석 과정과 판단의 한계를 함께 설명합니다.
보이스피싱 연루·혐의 소명
반복된 생활 보고와 금융기관 방문 지시, 이동·행동 기록을 연결하여 사건의 경위를 설명합니다.
보이스피싱 분석 안내 보기 →분석할 수 있는 대상과 자료
| 분야 | 주요 검토 내용 |
|---|---|
| 휴대폰·태블릿 | 앱 데이터, 대화·사진·영상·연락처 등 관련 자료, 시스템 및 사용 기록 |
| PC·노트북 | 파일 생성·열람·수정·삭제·이동, 외부장치 연결, 프로그램 실행과 브라우저 기록, 정보유출·배임·회계부정·비리 관련 증거 |
| 카카오톡·메신저 | 확보된 대화·첨부자료, 참여자와 시각 정보, 관련 기록 및 복원 가능 자료 |
| 문서·파일 | 파일 내부 정보, 작성·변경·인쇄 흔적, 파일 간 동일성과 차이, 위변조 관련 쟁점 |
| 사진·동영상·CCTV | 확보·복원 가능한 영상, 촬영·저장 정보, 녹화 구간과 시각, 편집·합성·조작 관련 쟁점 |
| 녹음·음성 | 파일 구조와 시간 기록, 편집·이어붙이기·재녹음 관련 특징, 비교 자료와의 관계 |
| 위치·이동 기록 | 확보된 위치 자료의 시각·경로, 다른 기록과의 일치 여부 및 해석 범위 |
| 해킹·원격접속 관련 기록 | 앱 설치·권한·실행·접속·시스템 기록에 남은 관련 흔적, 자료 삭제·변조 여부 |
분석 항목은 기종, 운영체제와 앱 버전, 기기 상태, 기록의 보존 여부 및 의뢰 범위에 따라 달라집니다. 상담을 통해 현재 확보할 수 있는 자료와 확인할 쟁점을 구체화합니다.
정밀한 분석은 자료 확보에서 시작됩니다
기기에 남아 있는 자료를 분석 가능한 형태로 확보하는 과정을 ‘획득’이라고 합니다. 어떤 자료를 어느 범위까지 확보했는지에 따라 검토할 수 있는 내용이 달라집니다.
저장장치의 이미지.
모바일의 원시 DB와 시스템 기록 확보
SDR은 기기와 소프트웨어 환경에 맞춰 관리자 권한을 활용하는 방법을 포함한 여러 획득 방식을 적용합니다. 앱의 원시 데이터베이스와 관련 파일, 시스템 로그 등을 확보해 화면에 표시되는 내용과 함께 분석합니다.
관리자 권한을 사용할 수 없는 환경에서도 다른 획득 경로와 확보 가능한 범위를 검토합니다.
불량 HDD와 불안정한 USB의 이미징
저장장치에 배드섹터가 있거나 연결이 반복적으로 끊기면 일반적인 방법으로 자료를 읽기 어려울 수 있습니다. SDR은 데이터복원 기술과 PC-3000 등 전문 장비를 활용해 이러한 매체의 상태를 진단하고, 분석에 사용할 이미지와 자료를 확보합니다.
실제로 PC 분석 대상 HDD에서 배드섹터가 발생해 PC-3000으로 이미징한 경험과, 인식이 끊기는 USB에서 전문 장비를 이용해 이미지를 획득한 경험이 있습니다.
획득 과정과 자료 상태의 기록
대상 매체의 식별정보, 획득 방법과 범위, 작업 중 확인한 오류 및 검증 결과를 기록합니다. 읽지 못한 영역이나 확보하지 못한 자료가 있다면 해당 범위와 분석에 미치는 영향을 함께 검토합니다.
분석 결과를 뒷받침하는 디지털포렌식 기본 원칙
디지털포렌식에서는 자료의 출처와 보존 상태, 분석 과정을 함께 확인할 수 있어야 합니다. 증거자료를 다루고 분석 결과를 검토할 때 다음 원칙이 중요합니다.
| 원칙 | 확인할 내용 |
|---|---|
| 의뢰 권한과 범위 확인 | 대상 기기·자료에 대한 권한, 확인하려는 쟁점과 분석 범위를 확인합니다. |
| 원본 보존과 변경 최소화 | 기기 특성에 맞는 보호 방법과 분석용 사본을 활용하고, 불가피한 변경과 오류를 기록합니다. |
| 동일성·무결성 확인 | 해시 알고리즘과 산출값, 계산 대상·시점, 비교 결과를 통해 기준 자료와 확보 자료의 일치 여부를 확인합니다. |
| 재현성·검증 가능성 | 동일한 확보 자료를 다시 검토할 수 있도록 사용 도구·버전, 분석 조건·절차, 판단 근거를 기록합니다. |
| 증거관리의 연속성 — Chain of Custody | 증거물의 확보·인수·이관·보관·반환 과정에서 누가, 언제, 무엇을, 어떤 목적으로 취급했는지 추적할 수 있는 기록입니다. |
| 객관적인 해석 | 확인된 사실, 해석과 판단, 확인되지 않은 부분을 구분해 설명합니다. |
해시값과 위변조 검토는 어떻게 다른가요?
해시값은 파일이나 데이터에 해시 알고리즘을 적용해 계산한 값입니다. SHA-256 등이 사용되며, 비교할 때는 같은 알고리즘과 같은 데이터 범위를 기준으로 해야 합니다.
기준 자료와 해시값을 비교하면 자료의 동일성과 변경 여부를 확인하는 데 도움이 됩니다. 다만 접수 전에 이미 편집된 파일도 그 상태로 해시값을 계산할 수 있으므로, 해시값만으로 해당 파일이 처음부터 조작되지 않았다고 판단할 수는 없습니다. 제출 증거의 위변조 여부는 파일 구조, 내용과 주변 기록, 비교자료 등을 별도로 분석합니다.
사건의 맥락을 이해하고, 여러 기록을 대조합니다
분석은 의뢰인과의 충분한 대화에서 시작됩니다. 사건의 경위와 관련 시점, 기기 사용 상황을 파악하여 처음 요청한 자료 외에 필요한 기록도 함께 검토합니다.
- 획득원본 데이터와 분석용 자료를 확보하고, 출처·범위·오류를 기록합니다.
- 분석원시 DB·로그·파일을 대조하여 사실관계와 시간 흐름을 검토합니다.
- 보고서 작성확인한 사실, 판단 근거와 확인할 수 없는 부분을 구분합니다.
- 필요시 감정서 작성감정 질문과 제출 목적에 맞춰 기술적 의견과 근거를 정리합니다.
SDR은 상용 도구와 자체 분석 프로그램을 병행하며, 필요한 경우 원시 DB·로그의 직접 해석과 비교 실험으로 판단 근거를 확인합니다. 예를 들어 USB 연결 기록만으로 자료 반출을 단정하지 않고, 파일·열람·전달 관련 기록을 함께 대조합니다.
기록을 연결하자, 사건의 다른 모습이 드러났습니다.
실제 수행한 분석 사례를 개인정보와 사건 식별정보 없이 재구성했습니다. 각 사례의 결과와 분석 범위는 확보된 자료와 기기 상태에 따라 달라집니다.
분야별 실제 분석 사례 모두 보기결과는 이해하고 검토할 수 있는 형태로 제공합니다
복원·추출 자료
의뢰한 대화·파일·기록 중 확보된 자료와 확인에 필요한 목록을 제공합니다.
분석보고서
분석 대상·방법, 확인된 사실과 근거, 해석의 한계를 이해하기 쉽게 설명합니다.
증거감정서
필요한 경우 감정 사항에 대한 기술적 판단을 문서화하고, 재검증할 자료를 함께 준비합니다.
의뢰 전에 알아두실 사항
자주 묻는 질문
디지털포렌식이면 삭제된 자료를 모두 복원할 수 있나요?
모든 삭제 자료의 복원을 보장할 수는 없습니다. 남아 있는 데이터, 기기와 저장장치의 상태, 암호화와 접근 조건, 삭제 이후의 사용 등에 따라 가능한 범위가 달라집니다.
SDR은 현재 상태에서 적용할 수 있는 획득·복원 방법과 그 범위를 검토합니다.
파일을 복원하지 못하면 다른 분석도 불가능한가요?
파일 내용의 복원과 관련 기록의 분석은 확인 대상이 다릅니다. 원하던 파일을 되찾기 어려운 경우에도, 남아 있는 기록에서 파일의 존재·삭제·이동이나 기기 사용에 관한 단서를 검토할 수 있습니다. 이러한 기록 역시 보존 상태에 따라 확인 범위가 달라집니다.
상대방이 제출한 사본이나 캡처만 있어도 검토할 수 있나요?
제공된 자료의 형태에 따라 확인할 수 있는 항목이 달라집니다. 사본이나 캡처에서 검토할 수 있는 부분과 원본 파일이 있어야 확인할 수 있는 부분을 나누어 안내합니다. 가능하면 제출된 파일 자체와 확보 경위, 비교할 수 있는 자료를 함께 준비해 주세요.
접수 후 일주일 이내에 분석보고서를 제공합니다. 감정서 작성과 추가 분석 일정은 별도로 안내합니다.
SDR 상담은 무료입니다. 작업 범위와 비용을 안내하고, 고객 동의 후 유료 작업을 시작합니다.
자료 보안과 보관·삭제
원시자료·작업사본·복원자료·분석보고서는 분석 완료 시점부터 1주일간 보관 후 영구삭제하며, 즉시 삭제 요청 시 지체 없이 삭제합니다.
발행한 증거감정서와 검증용 해시 목록은 별도로 보관합니다. 전달받은 결과자료와 백업은 안전하게 보관해 주세요.
상담을 준비하실 때
아래 내용을 아는 범위에서 알려주시면 필요한 분석을 안내하는 데 도움이 됩니다.
- 기기 종류와 모델, 현재 작동 상태
- 찾고 싶은 자료 또는 확인하려는 사실
- 문제가 발생한 시점과 이후 사용·수리·복원 시도 여부
- 관련 기기·저장장치·백업자료의 보유 여부
- 자료를 활용하려는 목적과 필요한 일정
대상 기기·자료에 대한 소유·이용 권한과 의뢰 가능한 범위도 함께 확인합니다. 초기화·복원 프로그램 설치·수리 등 기기 상태를 바꾸는 작업을 하기 전에는 현재 상태를 알려주시면 보존 방법을 안내하겠습니다.