모바일 포렌식의 증거 수집·보존·분석 체계

손에 쥔 기기가 증거가 될 때

모바일 포렌식은 스마트폰과 태블릿에 남은 디지털 정보를 법적 증거로 활용하기 위해 수집·보존·분석하는 디지털 포렌식 분야다. 범죄 수사뿐 아니라 기업 내부 조사와 정보보안 사고 대응에서도 쓰인다.

모바일 기기는 개인 정보가 집중되는 지점이 됐다. 2022년 통계에서는 형사 사건의 약 85%가 모바일 기기에서 추출한 디지털 증거를 활용했으며, 이는 2015년 대비 30% 증가한 수치다.

증거로 인정받기 위한 조건

모바일 기기에서 데이터를 꺼내는 것만으로는 충분하지 않다. 조사 과정이 원본을 훼손하지 않았고, 같은 조건에서 같은 결과를 낼 수 있으며, 법적으로 허용되는 절차였다는 점까지 뒷받침돼야 한다.

무결성 보존에는 MD5, SHA-1 등의 해시값 검증과 쓰기 방지 장치(Write Blocker) 활용이 포함된다. 표준화된 절차는 ISO/IEC 27037 같은 국제 표준과 문서화된 수집 프로세스를 바탕으로 한다. 분석 과정과 사용 도구를 기록해 재현성을 확보하고, 관련 법규·판례 및 증거 수집의 법적 근거도 함께 검토해야 한다.

확보부터 보고까지 이어지는 조사 흐름

⤢✕

조사 전에는 필요한 도구와 장비를 마련하고, 영장이나 동의서 같은 법적 권한을 확보한다. 분석 환경도 미리 구축해 검증한다.

현장에서 기기를 확보한 뒤에는 비행기 모드 전환이나 패러데이 백을 이용해 네트워크 연결을 차단하고, 배터리 소진을 막아 현재 전원 상태를 유지한다. 이어 원본 데이터를 이미징하고 해시값을 생성·기록해 보존 상태를 관리한다.

데이터 추출 단계에서는 논리적·물리적·파일 시스템·클라우드 방식 등을 적용하며, 암호화된 데이터 접근과 삭제 데이터 복구를 다룬다. 분석은 타임라인, 통신 기록, 메시지, 위치 정보, 앱 데이터와 사용자 활동을 대상으로 진행된다. 마지막 보고서에는 발견 증거와 분석 방법론, 사용 도구를 문서화해 법정 제출에 대비한다.

추출 방식은 접근 범위와 위험이 다르다

수동 추출은 조사자가 기기를 직접 조작하면서 화면을 캡처하거나 정보를 기록하는 방식이다. 별도 도구 없이 단순한 인터페이스를 다룰 수 있지만, 시간이 많이 들고 누락 가능성이 있으며 깊은 데이터에는 접근하기 어렵다.

논리적 추출은 API나 프로토콜을 통해 파일 시스템에 접근한다. 비교적 빠르고 많은 기기와 호환되지만, 삭제 데이터 복구에는 제한이 있고 접근할 수 없는 데이터도 남는다.

파일 시스템 추출은 기기의 파일 시스템에 직접 접근하는 방법이다. 더 많은 데이터와 삭제 데이터를 다룰 수 있는 반면, 루팅 또는 탈옥이 필요할 수 있고 기기 무결성을 훼손할 가능성도 있다.

물리적 추출은 물리 메모리에서 직접 데이터를 복사한다. 가장 포괄적인 범위의 데이터를 얻고 삭제 데이터 복구 가능성도 높지만, 기술 난도가 높고 특수 장비가 필요하며 최신 기기에는 적용하기 어렵다.

iOS와 Android에서 달라지는 분석 조건

iOS는 특히 iOS 8 이후 강력한 암호화가 적용됐으며, iTunes와 iCloud 백업을 활용할 수 있다. 분석 대상에는 sms.db, callhistory.db 등의 SQLite 데이터베이스, plist 파일, 키체인(Keychain) 데이터가 포함된다. 잠금 해제 협조 거부 사례와 같은 법적 이슈도 고려 대상이다.

Android는 제조사와 버전별 파편화 때문에 표준화된 접근이 어렵다. 루팅이 필요한 경우가 많으며, /data/data/ 경로의 SQLite 데이터베이스, Shared Preferences, 외부 저장소 데이터를 주요 소스로 다룬다. Google 계정 연동 데이터와 클라우드 백업도 조사 범위에 들어갈 수 있다.

도구 선택과 기술적 제약

상용 도구로는 다양한 기기를 지원하는 Cellebrite UFED, 클라우드 데이터 추출에 강점이 있는 Oxygen Forensic Detective, 통합 디지털 포렌식 솔루션인 Magnet AXIOM, 현장 조사에 맞춘 휴대용 솔루션 MSAB XRY가 있다.

오픈소스 도구에는 종합 디지털 포렌식 플랫폼 Autopsy, 모바일 포렌식 특화 리눅스 배포판 SANTOKU Linux, Android 기기 접근용 명령줄 도구 Android Debug Bridge(ADB), iOS 기기 접근을 위한 라이브러리 libimobiledevice가 포함된다.

기술 환경은 조사를 단순하게 만들지 않는다. 전체 디스크 암호화(FDE), 지문·안면인식 같은 생체인식 보안, 앱별 암호화가 접근을 어렵게 한다. 로컬 데이터는 줄고 클라우드 저장은 늘어나면서 서비스 제공자 협조와 국경 간 관할권 문제도 함께 발생한다.

자동 삭제 메시지, RAM 기반 임시 데이터, 엔드투엔드 암호화 메시징은 휘발성 데이터 문제를 키운다. 암호 해제 강제와 자기부죄금지 원칙의 충돌, 국가마다 다른 법적 프레임워크도 증거 수집 단계에서 검토해야 할 제약이다.

사고 조사와 수사에서의 활용

랜섬웨어가 직원 모바일 기기를 통해 회사 네트워크에 침투한 A기업 사건에서는 감염 기기를 식별·격리한 뒤 물리적 이미징으로 데이터를 추출했다. 악성 앱 설치 이력과 네트워크 통신 로그를 분석하고 타임라인을 구성해 최초 감염 경로를 확인했다. 조사 결과, 특정 공유 앱스토어에서 내려받은 위장 애플리케이션이 공격 벡터로 파악됐다.

살인 사건 수사에서는 용의자 알리바이 검증을 위해 GPS, 셀 타워 기록, Wi-Fi 연결 기록을 분석했다. 통화와 메시징 데이터, 소셜 미디어 앱 활동 기록을 추출하고 삭제된 미디어 파일을 복구해 행적 타임라인을 재구성했다. 위치 데이터가 알리바이와 일치하지 않는 점이 수사 진전에 활용됐다.

기기 밖으로 넓어지는 포렌식 범위

AI 기반 분석 도구는 대량 데이터의 패턴 인식과 이상 탐지, 증거 분류와 관련성 평가, 메시지 내용의 자연어 처리에 활용되는 방향으로 확산되고 있다.

분석 대상도 스마트워치와 스마트홈 기기 같은 IoT로 넓어진다. 기기 간 증거 상관관계를 분석하고, 웨어러블 기기에서 얻는 생체 데이터를 활용하는 접근이 요구된다. 기기와 클라우드를 함께 다루는 하이브리드 포렌식, 원격 데이터 획득, 국제 법적 프레임워크 역시 중요한 과제다.

포스트 양자 암호화에 대응하는 포렌식 기법과 양자 컴퓨팅 기반 분석 도구도 발전 방향에 포함된다. 모바일 포렌식은 기기 하나의 데이터를 읽는 작업을 넘어, 보안 기술과 법적·윤리적 프레임워크 사이에서 증거의 신뢰성을 지키는 조사 체계로 발전할 전망이다.