CWN(CHANGE WITH NEWS) - 디지털 포렌식, 증거는 어떻게 수집될까?

현대사회의 기술이 발전하면서 범죄 또한 다양한 기술을 악용해 교묘하고 은밀하게 이루어지고 있다. 특히, 이미 생활의 일부분이 되었다고 해도 과언이 아닌 PC, 스마트폰뿐만 아니라 최근 뜨거운 이슈로 떠오르고 있는 클라우드 컴퓨팅, 인공지능, 사물인터넷 등에 담겨있는 많은 양의 디지털 정보를 범죄의 수단으로 악용하는 경우가 많다.

한 사람당 최소 한 대, 많게는 3~4대씩 디지털 기기를 가지고 있는 시대에 디지털 포렌식을 통해 범죄 증거를 확보하여 디지털 범죄뿐만 아니라 다양한 분야의 범죄를 해결하는 데 많은 도움을 주고 있다.

디지털 포렌식의 수사 절차는 크게 세 단계로 나누어 볼 수 있다. 첫 번째는 데이터의 증거를 수집 및 획득하는 단계, 두 번째는 삭제된 파일을 복구하거나, 암호화된 파일을 해독하여 증거를 분석하는 단계, 마지막 세 번째는 증거를 생성하고 제출하는 단계이다.

문헌마다 각 단계를 지칭하는 용어와 세부 단계를 분류하는 개수의 차이가 있긴 하나, 그 의미는 모두 같다는 것을 참고 바란다. 그중에서도 오늘은 증거 수집 단계와 관련해서 알아보도록 하겠다.

증거를 수집하고 획득하는 과정에서는 디지털 증거가 저장된 저장 매체에서 데이터의 무결성을 보장하는 것을 원칙으로 해야 한다. 데이터의 무결성이란, 데이터의 저장, 전송 시 인가되지 않은 방법으로 변경할 수 없도록 하기 위하여 정확성과 일관성을 유지 및 보증하는 것을 말한다. 즉, 저장 매체의 원본에 데이터 변조가 발생하지 않았다는 것을 의미하는 것이다.

실제로 디지털 증거 수집 및 분석 규정 제1장 제2조 디지털 증거의 무결성 유지에 따르면, 디지털 기기를 압수·수색·검증하거나 디지털 자료를 수집·분석할 때에는 디지털기기 또는 디지털 자료를 수집한 때로부터 법정에 증거로 제출할 때까지 변경 또는 훼손되지 않도록 절차의 연속성을 유지하여야 하며, 그 과정을 기록하여야 한다고 명시되어 있다.

이러한 무결성을 보장하기 위해서는 이미징 기술이 활용된다. '이미징'이란 데이터 분석 전에 원본 기기 안에 있는 데이터를 복제하는 작업으로, 원본 기기 안의 데이터가 변경되어 무결성이 보장되지 않을 수 있음으로, 반드시 복사본을 확보해 두어야 한다. 특히, 디지털 증거는 손상되기도 쉽고, 사라지기도 쉬우므로 주의해서 데이터를 읽고, 분석해야 한다.

최근 안티 디지털 포렌식과 같은 문제들도 발생하곤 하지만, 지속적인 연구와 발전을 통해 디지털 포렌식의 분야와 전문성을 높여가고 있다. 따라서 앞으로 디지털 포렌식의 수요는 꾸준히 증가할 것으로 보인다.

[저작권자ⓒ CWN(CHANGE WITH NEWS). 무단전재-재배포 금지]