디지털 포렌식 · PC 파일 삭제후에도 정보 유출 흔적이 남나?

 

 

> 3줄 요약
> ① 파일을 지워도 그 파일을 열고, 옮기고, 지운 기록은 따로 저장되기 때문에 정보유출 흔적은 남아 있을 수 있습니다.
> ② 남은 범위는 저장장치 종류, 삭제 후 사용 기간, 삭제 방식에 따라 달라지며 디지털포렌식 분석을 실제로 진행해봐야 확인됩니다.
> ③ 의심되는 PC는 즉시 사용을 멈추고 원본 그대로 보존하는 것이 첫 번째 조치입니다.

목차

1. 삭제해도 기록이 남는 구조
2. 유출 경로별로 PC에 남는 기록
3. 지금 멈춰야 할 행동 4가지
4. 결과를 가르는 변수
5. 전문 업체에 물어봐야 할 질문 4가지
6. 의뢰 전 준비물
7. 법적으로 짚어야 할 부분
8. 자주 묻는 질문

 

 1. 삭제해도 기록이 남는 구조

문서 파일과, 그 문서를 다룬 이력은 저장되는 위치가 다릅니다. 윈도우는 사용 편의와 시스템 관리를 위해 최근 연 파일, 연결된 외부 장치, 파일의 생성·이름 변경·삭제 내역을 운영체제 영역에 자동으로 기록합니다. 사용자가 문서를 지우고 휴지통까지 비워도 이 영역은 건드리지 않는 경우가 대부분입니다.

사무실에서 서류를 꺼내 파쇄해도 출입 카드 기록은 그대로 남는 것과 같습니다. 서류 내용은 볼 수 없어도 누가 몇 시에 들어와 얼마나 머물렀는지는 알 수 있습니다. 디지털포렌식이 들여다보는 것도 이 '출입 기록'에 해당하는 부분입니다. 지워진 문서를 되살리는 데 그치지 않고, 흩어진 이력을 시간순으로 맞춰 누가, 언제, 무엇을, 어디로 옮겼는지를 재구성합니다.

 

 

 2. 유출 경로별로 PC에 남는 기록

유출 경로	PC에 남을 수 있는 기록	참고
USB·외장하드	장치 모델명·일련번호, 연결 시각, 장치 안 파일을 연 이력	비교적 확인이 잘 되는 경로
개인 웹메일	접속 기록, 첨부 업로드 정황	메일 본문은 PC에 남지 않는 경우가 많음
개인 클라우드	동기화 프로그램 설치·실행 기록, 동기화 폴더 이력	웹으로만 올렸다면 브라우저 기록에 의존
PC 메신저	파일 전송 관련 기록	메신저 종류와 버전에 따라 편차가 큼
휴대폰 촬영	사실상 없음	문서를 연 시각 정도만 확인 가능

장치를 직접 꽂았거나 프로그램을 설치한 경로일수록 기록이 여러 곳에 겹쳐 남습니다. 반대로 화면을 촬영해 간 경우는 PC만으로 입증하기 어렵다는 한계도 알고 계셔야 합니다.

 

 

 3. 지금 멈춰야 할 행동 4가지

아래 행동은 할 때마다 남아 있던 기록 위에 새 데이터가 쌓입니다. 한 번에 사라지는 것이 아니라 조금씩 깎여나가는 구조라서, 빨리 멈출수록 유리합니다.

① 해당 PC를 계속 쓰거나 후임자에게 지급하기
가장 흔하고 가장 치명적입니다. 일상적인 사용만으로도 오래된 기록부터 밀려나고, 삭제된 영역이 재사용됩니다.

② 복구 프로그램을 설치해 직접 돌려보기
설치 자체가 저장장치에 쓰기를 발생시킵니다. 결과가 나오더라도 절차가 기록되지 않아 증거로 쓰기 어렵습니다.

③ 폴더와 파일을 하나씩 열어보며 자체 조사하기
열어본 순간 최근 사용 기록이 조사한 사람의 행동으로 채워집니다. 퇴사자가 한 일과 조사자가 한 일이 뒤섞이면 나중에 구분하는 작업이 추가로 듭니다.

④ 윈도우 재설치·포맷·정리 프로그램 실행
PC를 재활용하려고 초기화하면 확인 가능한 범위가 급격히 줄어듭니다. 정보유출 여부를 확인할 계획이 조금이라도 있다면 전원을 끄고 따로 보관해두는 것이 맞습니다.

 

 

 4. 결과를 가르는 변수

변수	왜 중요한가
삭제 후 사용 기간	사용할수록 기존 기록이 덮이거나 밀려남
저장장치 종류	SSD는 삭제된 파일 내용의 복원이 어려운 편, HDD는 상대적으로 여지가 있음
삭제 방식	전용 삭제 프로그램을 썼다면 내용 복원은 어렵지만, 설치·실행 기록이 단서가 되기도 함
재설치·초기화 여부	운영체제 기록이 새로 만들어져 이전 이력 확인이 크게 제한됨
드라이브 암호화	복구 키가 없으면 분석 착수 자체가 어려움
서버·보안 솔루션 로그	PC 밖에 남은 기록이 있으면 교차 확인이 가능

이 변수들은 서로 맞물려 작용합니다. SSD라도 반납 직후 보관만 했다면 이력이 충분히 남아 있을 수 있고, HDD라도 반년간 다른 직원이 썼다면 기대만큼 나오지 않을 수 있습니다.

그래서 겉으로 훑어보는 사전 점검만으로는 무엇이 얼마나 나올지 답할 수 없습니다. 저장장치를 복제해 실제 분석 작업을 진행해봐야 범위가 드러납니다. 맡기기도 전에 "다 나온다"고 장담하는 곳이 있다면 오히려 한 번 더 따져보시기 바랍니다.

 

 

 5. 전문 업체에 물어봐야 할 질문 4가지

Q1. 원본 저장장치는 어떻게 보존합니까?
→ 원본에 쓰기가 일어나지 않게 복제한 뒤 사본으로만 작업하는지, 원본과 사본의 동일성을 확인해 두는지 봅니다.

Q2. 결과물은 어떤 형태로 받습니까?
→ 디지털포렌식 결과물은 내부 확인용 보고서와 법원 제출용 감정서로 나뉘고, 작성 수준이 서로 다릅니다. 소송 가능성이 있다면 처음부터 밝혀야 합니다.

Q3. 분석 범위는 어떻게 정합니까?
→ 대상 기간, 파일명·거래처명 같은 키워드, 확인할 유출 경로를 구체화할수록 분석 기간과 비용이 정리됩니다.

Q4. 아무것도 확인되지 않으면 어떻게 됩니까?
→ 그 가능성을 솔직하게 설명하는지, 그 경우의 비용 처리 기준이 사전에 명확한지 확인합니다.

 

 

 6. 의뢰 전 준비물

- 해당 PC 또는 저장장치 원본 (전원을 끈 상태 그대로)
- 대상자의 재직 기간, 퇴사일, PC 반납일
- 정보유출이 의심되는 자료 목록 (파일명, 프로젝트명, 거래처명 등)
- 보안서약서, 정보보호 관련 사내 규정, 장비 반납 확인서
- 로그인 암호와 드라이브 암호화 복구 키
- 반납 이후 누가 PC를 켜고 무엇을 했는지에 대한 메모. 복구 프로그램을 돌렸거나 파일을 열어봤다면 숨기지 말고 그대로 알려야 분석자가 기록을 구분할 수 있습니다.

 

 

 7. 법적으로 짚어야 할 부분

회사 소유 기기와 개인 영역은 구분됩니다. 회사가 지급한 PC는 회사가 분석을 의뢰할 수 있지만, 직원 개인 소유 기기나 개인 메일·클라우드 계정은 다릅니다. PC에 저장된 비밀번호로 개인 계정에 접속해 보는 행위는 형사 문제로 번질 소지가 있습니다.

회사 PC라도 절차가 다퉈질 수 있습니다. 법원이 회사의 PC 조사를 정당한 행위로 인정한 사례가 있지만, 조사의 필요성과 범위, 방법이 적절했는지를 따져 내린 판단이었습니다. 보안서약서와 사내 규정이 이때 근거가 됩니다.

적용 법률은 자료의 성격에 따라 갈립니다. 비밀로 관리된 자료라면 부정경쟁방지 및 영업비밀보호에 관한 법률이, 그 요건에 못 미치더라도 회사의 주요 영업자산이라면 업무상 배임이 검토됩니다.

상대방 기기는 법적 절차로 확보합니다. 자료가 퇴사자의 개인 기기나 새 직장 PC에 있을 것으로 보인다면, 형사 고소를 통한 압수수색이나 법원의 증거보전 절차를 변호사와 상의하는 것이 순서입니다.

 

 

 8. 자주 묻는 질문

Q. 휴지통을 비웠는데도 확인이 됩니까?
A. 휴지통 비우기는 파일 목록에서 지우는 동작일 뿐, 운영체제가 따로 적어둔 이력까지 지우지는 않습니다. 삭제된 파일의 이름과 시각이 다른 기록에서 확인되는 경우가 적지 않습니다.

Q. SSD는 복구가 안 된다던데 의뢰할 의미가 있습니까?
A. SSD에서 어려운 것은 지워진 파일의 내용을 되살리는 일입니다. 어떤 장치를 언제 연결했고 무엇을 열었는지에 대한 이력은 별개 영역이라 SSD에서도 확인 대상이 됩니다.

 

 

Q. 퇴사한 지 반년이 지났습니다. 늦었습니까?
A. 기간보다 그동안 PC가 어떻게 쓰였는지가 중요합니다. 보관만 했다면 여지가 있고, 다른 직원이 사용했다면 범위가 줄었을 가능성이 높습니다. 어느 쪽이든 분석을 해봐야 판단됩니다.

Q. 가장 먼저 확인할 것은 무엇입니까?
A. 비용이나 기간보다 해당 PC가 지금 어떤 상태인지입니다. 아직 사용 중이라면 오늘 전원을 끄는 것이 먼저이고, 그다음이 보안서약서와 사내 규정의 존재 여부입니다.

 

파일이 지워졌다고 정보유출 흔적까지 사라진 것은 아닙니다. 그렇다고 언제까지나 남아 있는 것도 아니어서, PC가 켜져 있는 시간만큼 확인할 수 있는 범위는 줄어듭니다.

의심이 구체적이라면 PC를 그대로 보존한 채 디지털포렌식 전문 업체에 문의해 보시기를 권합니다. 문의하실 때는 이 질문 하나를 먼저 던져보십시오. "원본은 어떻게 보존하고, 결과는 법원에 낼 수 있는 형태로 받을 수 있습니까?"

 

 

 

스마트데이터복구SDR 강남본사 서울 서초구 효령로 430