세무조사 현장에서 디지털 증거를 빠르게 선별한 포렌식 사례

탈세나 세금 사기 사건을 조사할 때 가장 먼저 떠올리는 자료는 회계장부와 세금계산서일 수 있습니다.

하지만 최근의 금융·세무 관련 자료는 종이문서보다 컴퓨터, 스마트폰, 이메일, 클라우드, USB, 네트워크 서버에 더 많이 저장됩니다.

기업의 실제 거래내역과 신고자료가 다를 경우 다음과 같은 디지털 흔적이 중요한 증거가 될 수 있습니다.

이중으로 작성된 회계파일
삭제된 거래명세서
거래처와 주고받은 이메일
메신저를 통한 대금 협의
엑셀과 회계 프로그램의 수정기록
해외 계좌와 가상자산 관련 자료
USB로 복사한 파일
클라우드에 숨겨둔 문서
여러 기기에서 사용한 계정
허위 계약서와 송장

문제는 세무조사 현장에서 발견되는 모든 컴퓨터와 스마트폰을 전문 포렌식 연구소로 보내면 사건 처리가 늦어질 수 있다는 점입니다.

Forensic Focus가 소개한 사례에서는 직원이 5만 명이 넘는 유럽의 한 대형 세무기관이 현장 및 사무실 조사팀에 디지털 포렌식 도구를 제공했습니다. 이 기관은 기존에 컴퓨터와 노트북, 일부 스마트폰 정도만 직접 처리할 수 있었지만, 새로운 체계를 도입한 뒤 이동식 저장매체와 스마트 기기, 다양한 휴대전화까지 조사 범위를 확대했습니다. 기관 측 사례 설명에 따르면 도입 후 3개월 안에 사건 적체가 45% 이상 감소했습니다.

세무조사에도 디지털 포렌식이 필요한 이유

기업과 개인의 경제활동이 디지털화되면서 거래의 흔적도 여러 기기에 나뉘어 저장됩니다.

공식 회계자료에는 정상적인 거래만 기록하고, 실제 거래내용은 별도의 엑셀 파일이나 메신저에서 관리하는 경우도 있을 수 있습니다.

조사 대상자가 자료를 삭제했다고 해도 다음 위치에 관련 흔적이 남을 가능성이 있습니다.

휴지통과 삭제 영역
최근 사용한 파일 목록
자동저장 파일
문서의 이전 버전
이메일 첨부파일
메신저 다운로드 폴더
클라우드 동기화 폴더
프린터와 스캔 기록
USB 연결기록
파일 생성·수정 시간
회계 프로그램 데이터베이스

디지털 포렌식은 단순히 파일을 찾는 작업이 아닙니다.

어떤 사람이 언제 파일을 만들거나 수정했는지, 어느 장치에서 다른 장치로 복사했는지, 삭제한 시점과 사건의 관계는 무엇인지까지 분석하는 과정입니다.

기존 조사 방식의 한계

Forensic Focus 사례의 세무기관은 과거 컴퓨터와 노트북, 일부 모바일 기기에서만 데이터를 추출할 수 있었습니다.

그 밖의 장치를 만나면 전문 포렌식 연구소의 도움을 받아야 했습니다. 이 때문에 현장에서 중요한 자료를 발견해도 즉시 관련성을 판단하기 어려웠고, 전문 연구소의 대기 업무도 늘어날 수밖에 없었습니다.

현장에서 장치의 중요성을 판단하기 어렵습니다

사무실에서 여러 대의 컴퓨터와 스마트폰, 외장하드가 발견돼도 어떤 장치에 사건 자료가 들어 있는지 겉으로는 알 수 없습니다.

모든 장치를 압수하면 관리 부담이 커지고, 반대로 일부만 가져오면 중요한 증거를 놓칠 수 있습니다.

전문 연구소에 업무가 집중됩니다

단순한 파일 확인이나 키워드 검색까지 전문 분석가가 처리하면 복잡한 사건의 정밀 분석이 늦어질 수 있습니다.

조사 결과를 기다리는 시간이 길어집니다

장치 운반과 증거물 등록, 이미지 생성, 데이터 분석, 보고서 작성에는 시간이 필요합니다.

조사 초기에 필요한 기본정보를 얻는 데도 며칠 또는 그 이상이 걸릴 수 있습니다.

지원되지 않는 기기가 발생합니다

일반적인 컴퓨터뿐 아니라 저가형 스마트폰, 이른바 버너폰, 이동식 저장매체, 스마트 기기 등 다양한 장치가 증거물로 등장할 수 있습니다.

사용 중인 도구가 해당 장치를 지원하지 않으면 분석 자체가 시작되지 못할 수도 있습니다.

현장 디지털 포렌식은 조사 대상 장치에서 사건 관련 자료가 있는지 빠르게 선별해 압수와 정밀 분석의 우선순위를 정하는 데 활용됩니다.

세무기관이 필요로 했던 포렌식 도구의 조건

해당 기관은 컴퓨터 한 종류만 분석할 수 있는 도구가 아니라 여러 디지털 장치를 하나의 작업 흐름에서 처리할 수 있는 체계를 필요로 했습니다.

Forensic Focus 사례에서는 다음 장치가 주요 대상으로 언급됩니다.

데스크톱 컴퓨터
노트북
스마트폰
이동식 저장매체
서버
네트워크에 연결된 기기
스마트 기기
다양한 휴대전화 모델

또한 초기 조사를 수행하는 직원 모두가 깊은 포렌식 지식을 갖고 있지는 않았기 때문에 사용 편의성과 자동화 기능도 중요한 조건이었습니다.

현장용 도구는 기능이 많기만 해서는 부족합니다.

제한된 시간 안에 사용자가 실수하지 않고 필요한 검색을 수행할 수 있어야 합니다.

비전문가가 사용하는 현장 도구는 무엇이 달라야 할까?

전문 포렌식 분석가는 파일시스템과 데이터베이스, 암호화, 운영체제 구조를 이해하고 결과를 해석합니다.

하지만 세무조사 현장의 모든 조사관이 같은 수준의 기술을 갖추기는 어렵습니다.

따라서 현장용 포렌식 도구에는 다음과 같은 요소가 필요합니다.

단순한 작업 순서

장치 연결부터 검색과 결과 저장까지 복잡한 명령을 입력하지 않고 단계별로 진행할 수 있어야 합니다.

사건별 검색 템플릿

탈세, 허위 송장, 해외 송금, 자금세탁 등 사건 유형에 맞는 키워드와 파일 형식을 미리 설정할 수 있어야 합니다.

자동 장치 식별

연결된 스마트폰과 USB, 저장장치의 기본정보를 자동으로 확인하면 사용자의 실수를 줄일 수 있습니다.

결과의 쉬운 분류

문서, 이메일, 사진, 회계파일, 압축파일 등을 유형별로 나누어 보여주면 초기 검토가 쉬워집니다.

작업기록 생성

누가 언제 어떤 장치를 연결했고 어떤 조건으로 검색했는지 자동으로 기록하는 기능이 필요합니다.

전문 분석가에게 이관

현장에서 확인한 데이터를 원본 구조와 함께 전문 연구소로 전달할 수 있어야 합니다.

현장 트리아지와 정밀 분석의 역할

현장 디지털 포렌식은 모든 증거를 완전히 분석하기 위한 절차가 아닙니다.

현장에서 사건 관련성이 높은 장치와 파일을 찾아 정밀 분석 대상을 결정하는 것이 주요 목적입니다.

현장 조사팀의 역할

발견된 장치의 상태 기록
사건 관련 키워드 검색
주요 회계파일 확인
특정 기간의 문서 선별
이메일과 메시지의 존재 여부 확인
압수할 장치 결정
긴급 보존이 필요한 자료 식별

전문 포렌식 연구소의 역할

전체 디스크 이미지 생성
삭제 파일과 비할당 영역 분석
암호화 자료 접근
복잡한 모바일 데이터 추출
여러 장치의 타임라인 통합
데이터 출처와 사용자 활동 검증
법정 제출용 보고서 작성
분석 결과의 교차 검증

현장과 연구소의 업무를 나누면 모든 장치를 연구소로 보내는 부담을 줄이고, 고난도 사건에 전문 인력을 집중할 수 있습니다.

세금 사기 조사에서 우선 확인할 파일

회계 프로그램 데이터

회계 프로그램의 원장, 거래처, 매입·매출 자료와 수정기록을 확인합니다.

공식 제출자료와 내부 데이터가 서로 다르면 차이가 발생한 시점과 사용자를 분석해야 합니다.

엑셀과 스프레드시트

별도 장부와 거래 정리표, 수수료 계산, 현금거래 목록이 스프레드시트로 관리될 수 있습니다.

숨겨진 시트와 수식, 외부 연결, 문서 작성자 정보도 확인할 수 있습니다.

송장과 계약서

PDF, 워드, 스캔 이미지 형태의 송장과 계약서가 주요 분석 대상입니다.

동일한 문서가 금액이나 거래처만 바뀐 채 반복 사용됐는지도 확인해야 합니다.

이메일과 메신저

공식 장부와 다른 거래조건을 이메일이나 메신저로 협의했을 수 있습니다.

파일 첨부와 대화시간, 상대 계정을 함께 살펴봅니다.

압축파일

여러 문서를 ZIP이나 RAR 파일로 묶어 보관하거나 외부로 전송했을 가능성을 확인합니다.

원격 저장소

클라우드와 네트워크 폴더, 개인 웹메일 등에 자료가 나뉘어 저장될 수 있습니다.

사건별 키워드를 준비해야 하는 이유

현장에서 수십만 개의 파일을 직접 확인할 수는 없습니다.

조사 시작 전에 사건과 관련된 키워드를 정하면 필요한 자료를 빠르게 찾는 데 도움이 됩니다.

예를 들면 다음과 같습니다.

거래처 상호
대표자와 담당자 이름
사업자등록번호
계좌번호
송장번호
특정 금액
해외 법인명
가상자산 주소
현금, 수수료, 리베이트 등의 표현
이중장부와 관련된 은어
조사 대상 기간
특정 이메일 주소와 전화번호

다만 키워드 검색 결과에 나오지 않았다고 해서 관련 데이터가 없다고 단정해서는 안 됩니다.

오타와 약어, 암호화된 파일, 이미지 속 문자, 다른 언어로 작성된 문서는 일반 검색에서 누락될 수 있습니다.

세무 포렌식에서는 회계자료와 이메일, 메신저, 파일 수정기록을 함께 비교해 공식 신고내용과 실제 거래의 차이를 확인합니다.

이동식 저장매체가 중요한 이유

USB와 외장하드는 많은 문서를 간편하게 복사하고 옮길 수 있는 장치입니다.

조사 대상자가 중요 자료를 컴퓨터에서 삭제했더라도 외장 저장장치에 복사본이 남아 있을 수 있습니다.

컴퓨터에서는 다음과 같은 USB 사용 흔적을 확인할 수 있습니다.

연결된 장치의 모델명
장치의 일련번호
최초 연결시간
최근 연결시간
할당된 드라이브 문자
사용한 사용자 계정
장치에서 열어본 파일
복사된 파일의 시간정보

USB 자체에서는 삭제된 문서와 이전 버전, 숨김파일을 확인할 가능성이 있습니다.

다만 연결기록만으로 특정 파일이 복사됐다고 확정해서는 안 됩니다.

파일의 생성시간과 수정시간, 바로가기 파일, 최근 사용기록 등 다른 흔적을 함께 검토해야 합니다.

스마트폰에서는 어떤 자료를 볼 수 있을까?

세금 사기와 탈세 관련 조사는 컴퓨터뿐 아니라 스마트폰도 중요합니다.

스마트폰에서는 다음 자료를 분석할 수 있습니다.

통화기록과 연락처
문자메시지
메신저 대화
이메일
사진과 스캔 문서
인터넷 검색기록
모바일뱅킹 관련 흔적
클라우드 앱 활동
파일 공유기록
캘린더와 메모
위치정보
인증번호 메시지

Forensic Focus 사례의 기관은 도입 전 일부 휴대전화만 직접 처리할 수 있었지만, 도구 도입 후 버너폰을 포함한 다양한 휴대전화 모델과 2,000개 이상의 앱을 지원할 수 있었다고 공급사 측이 설명했습니다.

이 수치는 제품 공급사가 제시한 사례 결과이므로 실제 지원 여부는 장치 모델과 운영체제, 보안 상태에 따라 달라질 수 있습니다.

비밀번호와 암호화 자료를 다룰 때 주의할 점

세무조사에서 중요한 파일이 비밀번호로 보호되거나 저장장치가 암호화돼 있을 수 있습니다.

사례에서는 도구의 비밀번호 및 암호화 우회 기능을 이용해 장치 데이터 접근시간을 줄였다고 설명합니다.

그러나 모든 비밀번호와 암호화를 즉시 해제할 수 있는 것은 아닙니다.

가능성은 다음 조건에 따라 달라집니다.

암호화 프로그램 종류
비밀번호 길이와 복잡도
운영체제와 보안 버전
장치 잠금 상태
메모리에 암호화 키가 남아 있는지
복구키 존재 여부
계정과 클라우드 설정
포렌식 도구의 지원 범위

비밀번호를 무작위로 반복 입력하면 계정 잠금이나 데이터 삭제가 발생할 수 있으므로 검증된 방법을 사용해야 합니다.

3개월 만에 적체가 45% 이상 감소한 이유

Forensic Focus 사례에 따르면 해당 기관은 플랫폼 도입 후 3개월 이내에 사건 적체를 45% 이상 줄였다고 밝혔습니다.

이러한 결과는 단순히 분석 프로그램의 처리속도만으로 설명하기 어렵습니다.

다음과 같은 작업 흐름의 변화가 함께 영향을 줬을 가능성이 있습니다.

현장에서 관련 장치를 선별

사건 관련성이 낮은 장치를 전문 연구소로 보내지 않아도 됩니다.

지원 장치 범위 확대

기존에 외부 전문가나 연구소에 의뢰해야 했던 장치를 조사팀에서 처리할 수 있게 됐습니다.

반복 작업 자동화

기기 식별과 기본 검색, 결과 분류 같은 작업을 자동화해 조사관의 시간을 줄일 수 있습니다.

전문 분석가의 집중도 향상

초기 선별 업무가 분산되면 전문 분석가는 삭제 데이터와 암호화, 복잡한 사건 분석에 집중할 수 있습니다.

도구 전환 감소

장치 종류마다 다른 프로그램을 사용하는 대신 하나의 작업 흐름에서 여러 자료를 처리하면 변환과 이동시간을 줄일 수 있습니다.

다만 공급사 사례의 수치를 모든 기관에 그대로 적용할 수는 없습니다.

사건 종류와 인력, 장치 수, 기존 적체 규모에 따라 실제 효과는 달라집니다.

현장 조사에서 증거를 보존하는 방법

현장 도구가 사용하기 쉽더라도 기본적인 증거 보존 원칙은 지켜야 합니다.

장치 상태를 먼저 기록합니다

전원이 켜져 있는지, 화면이 잠겨 있는지, 어떤 프로그램이 실행 중인지 촬영합니다.

불필요한 조작을 피합니다

파일을 직접 열거나 이름을 바꾸고, 운영체제를 업데이트하는 행동을 피해야 합니다.

원본과 작업본을 구분합니다

가능하면 원본 저장장치에서 직접 분석하지 않고 포렌식 이미지나 작업용 복사본을 만들어 사용합니다.

해시값을 기록합니다

원본 파일과 수집 데이터의 해시값을 생성해 변경 여부를 확인합니다.

조사 시간을 기록합니다

장치 연결과 검색, 추출 시작·종료시간을 남깁니다.

작업자의 신원을 기록합니다

누가 어떤 권한으로 어떤 작업을 수행했는지 확인할 수 있어야 합니다.

증거물 인수인계를 관리합니다

현장에서 연구소 또는 보관실로 장치를 전달한 과정을 기록합니다.

현장에서 직접 분석하면 개인정보 문제는 없을까?

세무조사 대상 장치에는 사건과 관계없는 개인자료도 포함될 수 있습니다.

예를 들면 가족사진, 의료정보, 개인 대화, 다른 고객의 정보 등이 저장돼 있을 수 있습니다.

따라서 다음 원칙이 필요합니다.

영장과 법적 권한의 범위 확인
사건과 관련된 기간과 데이터 유형 제한
관련 없는 개인정보 열람 최소화
검색 키워드와 조건 기록
분석자료의 접근 권한 제한
불필요한 복제본 삭제 정책
보고서에 필요한 정보만 포함
민감자료 별도 보관

도구가 많은 데이터를 빠르게 보여준다고 해서 모든 내용을 열람해도 된다는 뜻은 아닙니다.

기술적으로 가능한 범위와 법적으로 허용된 범위를 구분해야 합니다.

자동화 결과를 그대로 믿으면 안 되는 이유

포렌식 도구는 파일을 분류하고 키워드를 검색하며, 날짜와 사용자를 연결해 줄 수 있습니다.

그러나 자동 분석에는 다음과 같은 오류가 발생할 수 있습니다.

정상 문서를 의심 파일로 분류
이미지 속 문자를 인식하지 못함
손상된 날짜를 실제 시간으로 표시
같은 이름을 가진 다른 사용자를 연결
캐시 파일을 사용자 저장파일로 오해
자동 생성된 파일을 직접 작성한 것으로 분류
중복 파일을 별도 증거로 계산

최종 판단은 분석가가 원본 데이터와 주변 기록을 직접 확인한 뒤 내려야 합니다.

특히 세금 사기 사건에서는 파일의 존재뿐 아니라 실제 거래와의 관계, 작성자, 사용 목적을 입증해야 합니다.

현장팀과 전문 연구소의 협력 방법

효율적인 포렌식 체계를 만들려면 두 조직의 역할이 연결돼야 합니다.

현장팀이 연구소에 전달할 내용

사건번호
장치 발견 위치
장치 사용자
전원과 잠금 상태
수행한 검색과 결과
적용한 키워드
현장에서 확인한 중요 파일
생성한 이미지와 해시값
암호와 계정 관련 정보
조사 중 발생한 오류

연구소가 현장팀에 제공할 내용

장치별 보존방법
전원을 유지하거나 차단하는 기준
지원 가능한 기기 목록
표준 검색 템플릿
현장 분석의 한계
전문 분석 의뢰 기준
증거물 포장방법
정기적인 교육과 품질검토

현장팀은 빠른 판단을 담당하고, 연구소는 결과의 검증과 정밀 분석을 담당하는 구조가 효과적입니다.

법정에서 설명 가능한 보고서가 필요합니다

세무 포렌식 결과는 과세 결정과 행정처분뿐 아니라 형사재판에 사용될 수 있습니다.

따라서 보고서에는 다음 내용이 포함돼야 합니다.

분석 대상 장치
장치 소유자와 발견 위치
사용한 도구와 버전
데이터 획득 방법
분석 기간과 키워드
원본 및 결과 파일의 해시값
발견된 핵심 자료
파일의 생성·수정·삭제 시간
사용자와 파일의 관계
다른 자료와의 교차 검증
분석의 제한사항
자동 분류 결과의 검증방법

기술 용어를 나열하는 것보다 발견된 자료가 사건과 어떤 관계가 있는지 쉽게 설명해야 합니다.

이번 사례에서 배울 수 있는 핵심

유럽 대형 세무기관의 사례는 디지털 포렌식 업무를 전문 연구소에만 집중시키지 않고 현장 조사팀까지 확장한 사례입니다.

현장 조사관이 사건 관련 장치를 선별하고 기본적인 분석을 수행하면서, 전문 연구소는 복잡한 기기와 정밀 분석에 집중할 수 있게 됐습니다.

이번 사례에서 주목할 부분은 다음과 같습니다.

세무조사에서도 컴퓨터와 스마트폰의 증거 비중이 높습니다.
현장 트리아지는 압수와 분석의 우선순위를 정하는 절차입니다.
비전문가가 사용할 도구는 자동화와 쉬운 작업 흐름이 중요합니다.
컴퓨터뿐 아니라 스마트폰과 USB, 서버를 함께 분석해야 합니다.
사건별 키워드와 기간을 미리 정의해야 합니다.
현장 분석 결과는 전문 연구소에서 검증할 필요가 있습니다.
개인정보와 법적 조사 범위를 준수해야 합니다.
자동 분석 결과를 그대로 결론으로 사용해서는 안 됩니다.
도구 도입과 함께 교육, 표준절차, 증거관리 체계가 필요합니다.

한국에서 세무·거래 분쟁이 생겼을 때 자료 정리법

자료를 종류별로 섞어두기보다 다음과 같이 폴더를 나눕니다.

01_계약서
02_세금계산서
03_계좌이체
04_이메일
05_메신저
06_배송자료
07_사진
08_상대방제공자료
09_사건정리표

사건정리표에는 다음 항목을 작성할 수 있습니다.

날짜와 시간
거래 당사자
거래내용
금액
관련 문서
파일 위치
확인해야 할 사항

파일 보존 시 주의할 점

원본 파일명을 바꾸지 않습니다

파일명을 바꿔야 한다면 원본은 그대로 두고 사본에 설명을 추가합니다.

문서를 다시 저장하지 않습니다

워드나 엑셀 파일을 열고 저장하면 수정시간과 일부 메타데이터가 바뀔 수 있습니다.

이메일은 화면 캡처만 하지 않습니다

가능하면 원본 메시지 형식이나 전체 헤더가 포함된 형태로 내보냅니다.

USB 원본을 직접 편집하지 않습니다

분쟁과 관련된 USB나 외장하드는 복사본을 만든 뒤 작업하는 것이 좋습니다.

자료 제출 전 체크리스트

□ 원본과 사본을 분리했는가?
□ 파일의 원래 날짜와 이름을 유지했는가?
□ 이메일의 발신·수신정보를 함께 보관했는가?
□ 메신저 대화의 앞뒤 맥락을 포함했는가?
□ 계좌번호와 금액을 확인할 수 있는가?
□ 자료별 출처를 기록했는가?
□ 개인정보가 불필요하게 포함되지 않았는가?
□ 모든 자료를 두 곳 이상에 백업했는가?

핵심 정리

탈세와 세금 사기 사건의 증거는 종이장부에만 남지 않습니다.

컴퓨터의 회계파일, 스마트폰의 메시지, 이메일 첨부파일, USB 연결기록, 클라우드 자료 등이 공식 신고내용과 실제 거래의 차이를 보여주는 단서가 될 수 있습니다.

Forensic Focus가 소개한 유럽 대형 세무기관은 현장과 사무실 조사팀이 여러 디지털 장치에서 데이터를 직접 수집하고 선별할 수 있도록 통합 포렌식 플랫폼을 도입했습니다. 기관은 기존에 컴퓨터와 일부 휴대전화만 처리할 수 있었지만, 도입 후 이동식 저장매체와 스마트 기기, 다양한 모바일 장치까지 조사 범위를 확대했습니다. 공개된 공급사 사례에서는 도입 후 3개월 만에 사건 적체가 45% 이상 감소한 것으로 설명합니다.

그러나 현장 포렌식은 전문 연구소의 정밀 분석을 완전히 대체하는 절차가 아닙니다.

현장에서 사건 관련 장치와 자료를 빠르게 식별한 뒤, 삭제 데이터와 암호화, 사용자 활동 분석이 필요한 장치는 전문 분석가에게 이관해야 합니다.

디지털 세무조사에서 중요한 것은 많은 기기를 압수하는 것이 아니라, 사건과 관련된 데이터를 적법하고 검증 가능한 방식으로 빠르게 찾아 정밀 분석으로 연결하는 것입니다.

참고자료

이 글은 Forensic Focus의 「How Detego Helped One of Europe’s Biggest Tax Authorities Fast-Track Investigations and Empower Field-Based Teams」를 주제 참고자료로 활용해 교육·정보 목적으로 새롭게 작성했습니다.

공개 사례의 대상 기관은 민감한 조사 업무를 이유로 이름이 공개되지 않았습니다. Forensic Focus에 따르면 해당 기관은 5만 명 이상의 직원을 보유한 유럽의 대형 세무기관이며, 컴퓨터와 노트북, 모바일 기기, 이동식 저장매체, 서버와 네트워크 장치를 조사할 수 있는 체계를 도입했습니다.