스마트폰에는 문자메시지와 통화기록뿐 아니라 사진, 동영상, 메신저 대화, 인터넷 이용기록, 위치정보 등 다양한 데이터가 저장됩니다.
이러한 데이터를 적법하고 검증 가능한 절차에 따라 수집·보존·분석하는 기술이 모바일 포렌식 또는 스마트폰 포렌식입니다.
단순한 데이터 복구와 비슷해 보이지만, 디지털 포렌식에서는 데이터를 찾아내는 것만큼 원본의 변경을 최소화하고 분석 과정을 기록하는 것이 중요합니다. NIST는 모바일 기기 포렌식을 검증, 보존, 획득, 조사, 분석 및 보고의 절차로 설명합니다.
모바일 포렌식으로 확인할 수 있는 데이터
스마트폰 포렌식에서는 기기의 상태와 운영체제, 보안 설정, 사용한 앱에 따라 다음과 같은 정보를 분석할 수 있습니다.
- 전화번호와 연락처
- 발신·수신 및 부재중 통화기록
- 문자메시지와 일부 메신저 데이터
- 사진, 동영상 및 음성파일
- 문서와 다운로드 파일
- 인터넷 검색 및 방문기록
- 앱 사용 흔적과 알림정보
- 위치정보와 접속기록
- 파일 생성·수정·삭제 시간
Forensic Focus의 모바일 포렌식 가이드에서도 문자, 채팅 앱, 통화기록, 이미지, 영상, 위치정보 등의 데이터가 주요 분석 대상이라고 설명합니다. 다만 실제 확보 범위는 기종과 OS 버전, 암호화 상태, 앱 구조 및 데이터의 덮어쓰기 여부에 따라 달라집니다.
삭제한 데이터도 복구할 수 있을까?
많이 궁금해하는 부분이 바로 삭제된 문자나 사진의 복구 가능성입니다.
파일을 삭제했다고 해서 항상 데이터가 즉시 완전히 사라지는 것은 아닙니다. 파일의 내용이 저장 영역에 일부 남아 있거나 앱 데이터베이스, 썸네일, 캐시, 백업 등에 관련 흔적이 남아 있을 수 있습니다.
하지만 최신 스마트폰은 암호화와 보안 기능이 강화되어 있으며, 삭제된 영역이 새로운 데이터로 덮어써지면 복구가 어려워집니다. 따라서 “삭제된 자료는 모두 복구된다”거나 “복구가 절대 불가능하다”고 일률적으로 말할 수 없습니다.
복구 가능성은 다음 조건에 영향을 받습니다.
- 삭제 후 스마트폰을 얼마나 사용했는지
- 새로운 앱이나 파일을 저장했는지
- 기기가 잠겨 있는지
- 화면 잠금번호를 알고 있는지
- 클라우드 또는 PC 백업이 존재하는지
- 운영체제와 보안 패치 버전
- 분석 장비가 해당 기종을 지원하는지
모바일 포렌식은 어떤 순서로 진행될까?
1. 기기 상태 확인 및 기록
기종, 전원 상태, 배터리 잔량, 잠금 여부, 연결된 주변기기 등을 먼저 확인합니다.
화면이 켜져 있다면 표시된 내용을 기록하고, 불필요하게 버튼을 누르거나 앱을 실행하지 않아야 합니다. SWGDE는 모바일 기기와 케이블, 전원장치, 이동식 저장매체 등을 촬영하고 상태 변화를 기록하도록 권고합니다.
2. 외부 통신 차단 검토
스마트폰은 이동통신, 와이파이, 블루투스 등을 통해 외부와 계속 통신할 수 있습니다.
원격 삭제나 동기화로 데이터가 바뀔 가능성이 있으므로 상황에 따라 네트워크 차단을 검토합니다. 다만 무조건 전원을 끄거나 비행기 모드를 켜는 행동도 기기 상태를 바꿀 수 있으므로 전문가의 판단이 필요합니다.
3. 데이터 획득
모바일 포렌식에서는 상황에 따라 서로 다른 방식으로 데이터를 확보합니다.
논리적 획득은 운영체제와 앱이 정상적으로 제공하는 데이터를 가져오는 방식입니다. 비교적 안전하고 빠르지만 확보 범위가 제한될 수 있습니다.
파일시스템 획득은 폴더 구조와 데이터베이스, 앱 관련 파일 등을 더 넓게 확보하는 방식입니다.
물리적 획득은 저장영역에 보다 직접적으로 접근하는 방법이지만, 모든 기기에서 지원되는 것은 아니며 높은 기술적 난도가 요구됩니다.
4. 데이터 분석
확보된 데이터에서는 단순히 파일을 열어보는 데 그치지 않고 시간정보와 계정정보, 앱 기록, 위치정보 등의 관계를 함께 분석합니다.
예를 들어 특정 사진의 촬영시간, 메시지 전송시간, 통화기록 및 위치정보를 비교하면 사건이나 사용행위의 시간 흐름을 구성하는 데 도움이 될 수 있습니다. SWGDE는 모바일 기기에서 획득한 데이터를 분석할 때 도구의 결과를 검토하고, 필요한 경우 다른 방법으로 확인할 것을 권고합니다.
5. 결과 검증과 보고서 작성
분석한 결과는 누구나 이해할 수 있도록 정리해야 합니다.
사용한 장비와 프로그램, 획득 방법, 분석 일시, 발견한 데이터, 해시값, 분석의 제한사항 등을 기록하면 분석 결과의 신뢰성을 높일 수 있습니다. NIST 역시 모바일 포렌식 절차에 결과 보고를 포함합니다.
분석이 필요할 때 하지 말아야 할 행동
중요한 데이터를 복구하거나 법적 증거로 활용해야 한다면 다음 행동은 피하는 것이 좋습니다.
- 스마트폰을 계속 사용하는 행동
- 복구 앱을 기기에 직접 설치하는 행동
- 운영체제를 업데이트하는 행동
- 공장 초기화를 실행하는 행동
- 비밀번호를 여러 번 잘못 입력하는 행동
- 계정을 로그아웃하거나 앱을 삭제하는 행동
- 충전과 방전을 반복하는 행동
- 임의로 분해하거나 수리하는 행동
특히 새로운 앱을 설치하거나 사진과 동영상을 촬영하면 삭제된 데이터 영역이 덮어써질 수 있습니다.
안드로이드와 아이폰 분석은 무엇이 다를까?
안드로이드는 제조사와 기종, 운영체제 버전이 다양하기 때문에 분석 방법과 지원 범위에 차이가 큽니다. 같은 안드로이드 기기라도 보안 패치와 잠금 방식에 따라 결과가 달라질 수 있습니다.
아이폰은 기기와 운영체제가 비교적 통일되어 있지만, 강력한 암호화와 보안 기능이 적용됩니다. 잠금 상태나 백업 존재 여부, iOS 버전 등이 데이터 확보 가능성에 큰 영향을 줄 수 있습니다.
따라서 스마트폰 포렌식은 특정 프로그램 하나만 실행하면 모든 데이터가 나오는 작업이 아닙니다. 기기별 특성과 보안 상태를 확인한 뒤 적절한 분석 방법을 선택해야 합니다. Forensic Focus도 플랫폼별 차이와 도구 선택, 데이터 검증의 중요성을 강조합니다.
핵심 정리
모바일 포렌식은 스마트폰에서 데이터를 꺼내는 단순 복구 작업이 아닙니다.
원본 상태를 보존하고, 적절한 방법으로 데이터를 획득한 뒤, 결과를 검증하고 분석 과정을 문서화하는 전문적인 절차입니다.
삭제된 데이터의 복구 가능성을 높이려면 문제가 발생한 스마트폰을 계속 사용하지 말고 현재 상태를 유지하는 것이 중요합니다. 업무자료나 분쟁 관련 기록처럼 중요한 자료라면 일반 복구 앱을 반복 실행하기보다 전문적인 절차를 통해 먼저 기기 상태를 점검하는 것이 안전합니다.
참고자료
이 글은 Forensic Focus의 **「Mobile Forensics: A Short Guide to Digital Evidence Recovery from Mobile Devices」**를 주제 참고자료로 활용하고, NIST 모바일 기기 포렌식 지침과 SWGDE 모바일 증거 보존·분석 권고사항을 추가로 확인해 새롭게 작성했습니다.