디지털 포렌식이라고 하면 최신 스마트폰이나 고성능 컴퓨터를 먼저 떠올리기 쉽습니다.
하지만 실제 수사 현장에서는 오래된 피처폰, 초소형 휴대전화, 잘 알려지지 않은 제조사의 단말기도 중요한 증거물로 제출됩니다. 이러한 기기는 구조가 단순해 보여도 제조사마다 운영체제와 저장 방식이 달라 데이터를 확보하기가 쉽지 않습니다.
Forensic Focus가 소개한 펀자브 경찰 디지털 포렌식 연구소 사례에서도 여러 포렌식 도구가 접근하지 못했던 소형 피처폰이 문제가 됐습니다. 연구소는 다른 솔루션으로 데이터를 추출할 수 없었던 기기에서 전문 모바일 포렌식 도구를 이용해 핵심 증거를 확보했습니다.
피처폰도 중요한 디지털 증거를 보관하고 있습니다
피처폰은 스마트폰보다 기능이 적지만 다음과 같은 정보가 남아 있을 수 있습니다.
- 발신·수신 및 부재중 통화기록
- 전화번호와 연락처
- 문자메시지
- 사진과 음성파일
- 일정과 메모
- SIM 카드에 저장된 정보
- 기기 사용시간과 일부 시스템 기록
- 블루투스 또는 외부 장치 연결 흔적
사건 관계자가 스마트폰 대신 피처폰을 사용했다면 통화기록과 문자메시지만으로도 인물 관계와 사건 전후의 연락 흐름을 확인할 수 있습니다.
따라서 최신 스마트폰이 아니라는 이유로 피처폰의 증거 가치를 낮게 평가해서는 안 됩니다.
피처폰 분석이 생각보다 어려운 이유
피처폰은 스마트폰보다 저장 용량이 작고 기능도 제한적입니다. 그래서 분석이 간단할 것이라고 생각할 수 있지만, 실제로는 다음과 같은 문제가 발생합니다.
제조사마다 데이터 구조가 다릅니다
안드로이드와 iOS는 비교적 표준화된 운영체제와 파일 구조를 사용합니다.
반면 피처폰은 제조사와 모델에 따라 독자적인 운영체제, 데이터베이스, 연결 방식이 적용될 수 있습니다. 같은 제조사의 제품이라도 출시 시기나 지역에 따라 내부 구조가 달라지기도 합니다.
전용 케이블과 연결 방식이 필요할 수 있습니다
최신 스마트폰은 USB-C나 라이트닝처럼 비교적 통일된 연결 규격을 사용합니다.
구형 피처폰은 모델마다 다른 충전·통신 단자를 사용하는 경우가 많습니다. 기기만 확보하고 전용 케이블이나 충전기를 확보하지 못하면 데이터 추출 준비부터 어려워질 수 있습니다.
포렌식 프로그램이 기기를 지원하지 않을 수 있습니다
대부분의 포렌식 도구는 사용자가 많은 주요 스마트폰을 우선 지원합니다.
사용자가 적은 피처폰이나 초소형 기기는 지원 목록에서 빠질 수 있으며, 기기를 연결해도 모델을 인식하지 못하거나 일부 데이터만 추출될 수 있습니다.
화면 잠금이나 보안 기능이 적용될 수 있습니다
피처폰도 비밀번호나 PIN이 설정될 수 있습니다.
일부 기기는 비밀번호를 여러 번 잘못 입력하면 데이터 접근이 제한되거나 기기가 잠길 수 있으므로, 임의로 비밀번호를 반복 입력해서는 안 됩니다.
펀자브 경찰 연구소가 겪었던 문제
Forensic Focus와 MSAB의 공개 사례에 따르면 펀자브 경찰 디지털 포렌식 연구소는 다양한 제조사의 피처폰과 소형 장치를 자주 접수했습니다.
그러나 시중의 여러 포렌식 도구가 이러한 장치에서 데이터를 추출하지 못하면서 중요한 증거가 기기 안에 남은 채 활용되지 못할 위험이 있었습니다.
연구소는 여러 추출 방식과 고급 접근 기능을 지원하는 모바일 포렌식 플랫폼을 사용했습니다. 그 결과 다른 도구가 접근하지 못했던 장치에서 데이터를 확보하고 분석 가능한 형태로 변환할 수 있었습니다. MSAB는 도입 후 기존에 접근하기 어렵다고 판단했던 기기를 포함해 수백 대의 장치를 처리했다고 설명합니다.
여기서 중요한 점은 특정 프로그램 하나가 모든 문제를 자동으로 해결했다는 뜻이 아닙니다.
기기의 상태와 모델을 확인하고, 지원 가능한 추출 방법을 선택한 분석가의 판단이 함께 작용한 결과로 보는 것이 적절합니다.
모바일 포렌식의 데이터 추출 방식
모바일 기기에서는 상태와 지원 범위에 따라 여러 가지 추출 방법을 검토합니다.
1. 논리적 추출
운영체제나 기기의 정상 기능을 이용해 데이터를 가져오는 방식입니다.
연락처, 통화기록, 문자메시지 등 기기가 제공하는 데이터를 비교적 빠르게 확보할 수 있지만, 삭제된 데이터나 시스템 영역까지 확인하기는 어렵습니다.
2. 파일시스템 추출
기기 내부의 폴더 구조와 데이터베이스를 보다 넓게 확보하는 방식입니다.
앱 데이터와 설정 파일, 일부 삭제 흔적을 확인할 가능성이 있지만, 기종과 보안 상태에 따라 지원 여부가 달라집니다.
3. 물리적 추출
저장영역에 보다 직접적으로 접근해 데이터를 확보하는 방식입니다.
논리적 추출보다 더 넓은 범위를 확인할 가능성이 있지만 모든 기기에서 가능한 것은 아닙니다. 기기 구조와 분석 도구에 대한 높은 수준의 기술이 필요합니다.
4. 잠금 해제 또는 비밀번호 공격
기기가 잠겨 있다면 적법한 권한과 절차에 따라 비밀번호 접근 방법을 검토할 수 있습니다.
다만 무차별적인 비밀번호 입력은 기기 상태를 바꿀 수 있으므로, 전문 장비와 검증된 절차가 필요합니다.
피처폰을 증거물로 확보했을 때 주의할 점
중요한 피처폰을 확보했다면 바로 내용을 확인하려고 조작하기보다 현재 상태를 먼저 보존해야 합니다.
전원 상태를 기록합니다
기기의 전원이 켜져 있는지, 화면이 잠겨 있는지, 배터리가 얼마나 남아 있는지 기록합니다.
화면이 켜져 있다면 현재 표시된 시간과 통신 상태를 사진으로 남기는 것이 좋습니다.
불필요한 버튼 조작을 피합니다
메뉴를 확인하거나 메시지를 열면 최근 사용기록과 접근 시간이 바뀔 수 있습니다.
비밀번호를 추측해 반복 입력하는 행동도 피해야 합니다.
충전기와 케이블을 함께 확보합니다
구형 기기는 전용 충전기나 데이터 케이블이 필요한 경우가 많습니다.
기기와 함께 발견된 충전기, 케이블, 메모리카드, SIM 카드도 별도로 구분해 보관하는 것이 좋습니다.
외부 통신 가능성을 확인합니다
일부 피처폰도 이동통신이나 블루투스를 통해 외부와 통신할 수 있습니다.
상황에 따라 통신 차단을 검토하되, 전원을 무조건 끄거나 SIM 카드를 바로 제거하면 기기의 상태가 달라질 수 있으므로 전문가의 판단이 필요합니다.
증거물 인수 과정을 기록합니다
누가 언제 기기를 확보했고, 누구에게 전달했는지 기록해야 합니다.
분석 과정에서는 사용한 장비, 프로그램 버전, 추출 방식, 작업시간, 결과 파일의 해시값 등을 남기는 것이 좋습니다.
하나의 도구만으로 모든 기기를 분석할 수 있을까?
모바일 포렌식에서 자주 발생하는 오해 중 하나는 고가의 장비 하나만 있으면 모든 스마트폰과 피처폰을 분석할 수 있다는 생각입니다.
실제로는 같은 기기라도 다음 조건에 따라 결과가 달라질 수 있습니다.
- 정확한 모델명
- 제조 시기와 판매 지역
- 펌웨어와 운영체제 버전
- 잠금 설정
- 기기의 물리적 손상 여부
- 배터리와 충전 상태
- SIM 카드와 메모리카드 존재 여부
- 포렌식 프로그램 버전
- 지원되는 케이블과 연결 방식
따라서 하나의 프로그램에서 추출에 실패했다고 해서 데이터가 없거나 복구가 불가능하다고 바로 결론 내리기는 어렵습니다.
다른 추출 방법과 장비를 검토하고, 필요한 경우 기기 구조에 맞춘 별도의 접근을 시도해야 합니다.
확보한 데이터는 반드시 검증해야 합니다
데이터 추출에 성공했다고 해서 분석이 끝나는 것은 아닙니다.
확보한 통화기록과 문자메시지의 시간정보가 실제 기기 시간과 일치하는지 확인해야 하며, SIM 카드와 기기 메모리에 동일한 연락처가 중복 저장됐는지도 살펴봐야 합니다.
다음과 같은 방법으로 결과를 검증할 수 있습니다.
- 추출 결과와 기기 화면을 비교
- 서로 다른 도구의 결과를 교차 확인
- 통신사 자료와 통화기록 비교
- 문자메시지 시간과 다른 사건 기록 비교
- 연락처와 통화 상대방 정보 연결
- 원본 추출 파일의 해시값 기록
- 분석 과정과 제한사항을 보고서에 명시
특히 자동 분석 프로그램이 표시한 내용을 그대로 결론으로 사용해서는 안 됩니다.
프로그램의 분류 결과를 분석가가 직접 확인하고, 다른 자료와의 관계를 검토해야 증거의 의미를 정확히 설명할 수 있습니다.
이번 사례에서 배울 수 있는 핵심
펀자브 경찰의 사례는 구형 피처폰과 소형 기기도 중요한 디지털 증거가 될 수 있다는 점을 보여줍니다.
일반 도구로 접근하지 못했다고 해서 데이터가 없는 것은 아닙니다. 기기의 특성을 이해하고 여러 추출 방법을 검토하면 기존에는 접근하기 어렵다고 판단했던 장치에서도 중요한 자료를 확보할 수 있습니다.
이 사례에서 주목할 부분은 다음과 같습니다.
- 오래된 기기도 높은 증거 가치를 가질 수 있습니다.
- 제조사와 모델에 따라 분석 방식이 달라집니다.
- 하나의 포렌식 도구만으로 모든 기기를 처리하기는 어렵습니다.
- 데이터 추출과 분석은 서로 다른 과정입니다.
- 추출 결과는 반드시 검증하고 문서화해야 합니다.
- 기기를 불필요하게 조작하지 않는 것이 중요합니다.
일반인이 이 사례에서 배울 점
오래된 휴대전화라고 해서 데이터의 가치가 낮은 것은 아닙니다.
피처폰에는 최신 스마트폰보다 데이터 종류가 적을 수 있지만 다음과 같은 정보가 남아 있을 수 있습니다.
- 통화기록
- 문자메시지
- 연락처
- 일정과 메모
- 촬영한 사진
- 메모리카드 파일
- 블루투스 전송 흔적
- 기기와 SIM 카드의 식별정보
중요한 점은 한 프로그램에서 데이터를 찾지 못했다고 해서 데이터가 없다고 단정해서는 안 된다는 것입니다. 오래된 휴대전화는 제조사와 통신 방식, 연결 케이블, 운영체제에 따라 지원되는 추출 방법이 크게 다릅니다.
한국에서 오래된 휴대전화를 발견했다면
가족의 유품이나 오래된 사건과 관련된 휴대전화에서 자료를 확인해야 한다면 다음과 같이 대응하는 것이 좋습니다.
- 전원이 켜지는지 확인하기 전에 외관을 촬영합니다.
- 기기의 제조사와 모델명을 기록합니다.
- SIM 카드와 메모리카드를 임의로 분리하지 않습니다.
- 비밀번호를 반복해서 입력하지 않습니다.
- 충전기를 연결해야 한다면 원래 사용하던 충전기를 우선 사용합니다.
- 사건이나 분쟁과 관련됐다면 직접 초기화하거나 수리점에 맡기지 않습니다.
- 중요한 증거라면 경찰 또는 디지털 포렌식 전문가에게 문의합니다.
비밀번호를 여러 차례 틀리면 데이터 삭제나 잠금시간 증가가 발생할 수 있습니다.
잘못 이해하기 쉬운 부분
“오래된 피처폰은 보안이 약하므로 쉽게 복구된다”
반드시 그렇지는 않습니다.
최신 암호화는 없더라도 전용 케이블과 드라이버가 없거나 저장장치가 손상돼 추출이 어려울 수 있습니다. 기기가 오래될수록 부품과 배터리 상태가 나빠져 전원을 켜는 과정 자체가 위험할 수도 있습니다.
“상용 프로그램이면 모든 휴대전화에서 데이터를 꺼낼 수 있다”
포렌식 프로그램마다 지원하는 제조사와 모델, 펌웨어 버전이 다릅니다. 한 도구에서 실패한 장치가 다른 도구에서는 추출될 수도 있습니다.
보존 체크리스트
□ 휴대전화 앞·뒤·옆면을 촬영했는가?
□ 화면에 표시된 날짜와 시간을 기록했는가?
□ 제조사와 정확한 모델명을 확인했는가?
□ SIM 카드와 메모리카드의 상태를 기록했는가?
□ 잠금번호를 무작위로 반복 입력하지 않았는가?
□ 초기화, 업데이트, 수리를 하지 않았는가?
□ 기기를 발견한 장소와 시간을 기록했는가?
□ 다른 사람에게 전달했다면 인수인계 내역을 남겼는가?자주 묻는 질문
전원이 꺼져 있으면 켜도 될까요?
개인적인 사진 확인 목적이라면 시도할 수 있지만, 형사사건이나 상속·분쟁과 관련됐다면 먼저 전문가와 상의하는 것이 안전합니다. 전원을 켜는 순간 시스템 기록이 바뀔 수 있습니다.
메모리카드만 빼서 컴퓨터에 연결해도 될까요?
메모리카드에 사진과 파일이 저장돼 있을 수 있지만, 분리 전 상태를 촬영하고 원본을 직접 변경하지 않는 것이 좋습니다. 필요한 경우 읽기 전용 이미지 복사본을 만들어 분석합니다.
핵심 정리
피처폰 포렌식은 단순히 휴대전화를 컴퓨터에 연결해 파일을 복사하는 작업이 아닙니다.
구형 기기일수록 비표준 데이터 구조와 전용 연결 방식 때문에 분석이 더 어려울 수 있습니다. 그러나 기기의 원본 상태를 보존하고 적절한 장비와 추출 방식을 적용하면 통화기록, 문자메시지, 연락처 등 사건에 필요한 정보를 확보할 가능성이 있습니다.
분석이 필요한 피처폰을 발견했다면 전원을 반복해서 켜거나 비밀번호를 임의로 입력하지 말고, 충전기와 케이블을 포함해 현재 상태 그대로 보관하는 것이 좋습니다.
디지털 포렌식에서 중요한 것은 단순히 데이터를 많이 추출하는 것이 아니라, 어디에서 어떤 절차로 확보했는지를 설명할 수 있는 신뢰성 있는 결과를 만드는 것입니다.
참고자료
이 글은 Forensic Focus의 **「From Inaccessible To Actionable: How Punjab Police Recovered Critical Evidence From Feature Phones」**와 MSAB의 펀자브 경찰 모바일 포렌식 사례를 참고해 교육·정보 목적으로 새롭게 작성했습니다.
원문에 따르면 펀자브 경찰 디지털 포렌식 연구소는 여러 도구가 접근하지 못했던 피처폰과 소형 기기에서 전문 모바일 포렌식 플랫폼을 활용해 데이터를 확보했습니다. 해당 자료는 포렌식 솔루션 공급사가 제공한 사례이므로, 제품 성능에 관한 내용은 공급사의 설명이라는 점도 함께 고려해야 합니다.
원문
- Forensic Focus, From Inaccessible To Actionable: How Punjab Police Recovered Critical Evidence From Feature Phones
- MSAB, Driving Innovation in Mobile Forensics with MSAB and Punjab Police, India