수사기관의 디지털 증거 분석(2) 

1. 수사기관에서의 증거 사본의 획득 과정에 대하여 살펴보면, 휴대폰에 대하여는 한컴에서 제작한 모바일 기기 이미지 획득 프로그램을, 유심에 대하여는 모바일 USIM 이미지 추출 장비인 USIM Reader를 일반적으로 사용하는데, 전자의 경우 USB 케이블에 분석 대상물과 획득할 PC를 연결하고, 아이폰인 경우 아이튠즈 백업 패스워드를 임시로 지정한 후, 휴대전화 본체에 존재하는 활성 데이터를 프로그램의 iOS Backup 방식으로 이미징 하게 되고, 후자의 경우에는 USIM Reader에 USIM 카드를 연결한 후, 프로그램을 이용하여 이미지를 획득합니다.​

2. 증거 사본을 획득한 후 그에 대한 분석이 이뤄지는데, 일반적으로 경찰청에서 제작한 스마트폰 이미지 분석 프로그램인 MD-RED를 이용하는데, 휴대폰의 경우 스마트폰 본체의 활성 데이터베이스 파일로부터 데이터를 복원한 후 메시지(번개장터, 블루링크, 위챗, 인스타그램, 카카오톡 포함), 채팅방, SNS 기록, 브라우저 기록, 검색 로그, 다운로드 기록, 계정, 지도 기록, 애플리케이션, 사진, 동영상, 미디어 로그 및 기기 정보 등을 추출합니다. ​

3. 또한 스마트폰 본체의 활성 데이터베이스 파일로부터 데이터를 복원한 후 추출된 전체 위치 정보를 일반적으로 엑셀 파일로 별도로 추출하고, 수시기관에서 의뢰를 한 지도 등과 관련하여 ‘예를 들어 네이버 지도 등이 있다면 지도 애플리케이션 위치 검색 자료’는 ‘검색 로그’와 ‘지도 기록’의 항목으로 일반적으로 추출하고, 분석을 하였더라고 하더라도 예를 들어 ‘티맵’ 및 ‘카카오 내비’등 내비게이션 앱이 존재하지만 해당 앱의 데이터 획득 및 분석되지 않았다면 담담 수사관의 별도 확인 과정이 필요하다는 보고를 하게 됩니다. ​

4. 휴대폰 등에 대한 증거 사본 획득 시 정상 부팅한 기기에서 데이터가 획득되는 경우, 운영체제(OS)의 동작에 따라 시스템 로그파일, 임시파일, 캐시 파일 등 일부 파일이 변경될 수 있고, iPhone 및 Android 8.0 이상 스마트폰의 경우 텔레그램 등 일부 메신저 앱의 획득 및 분석이 불가할 수 있으며, 삭제된 데이터를 복구하는 과정에서 삭제 당시 일시 정보가 확인되지 않는 경우가 있고, 사진, 영상 등에 대한 분석 요청이 할 때 수사기관에서 그와 관련 있는 미디어로그, 인터넷 기록 등에 대한 확인 요청이 있을 경우에는 브라우저 기록 및 검색 로그, 다운로드 기록을 제공하고, 통화내역 요청이 있을 경우 차단 목록을 함께 제공하며, 메시지에 대한 분석 요청이 있을 경우 SNS 기록, 채팅방을 함께 추출하여 제공하는 것이 일반적입니다.