전원이 켜지지 않는 스마트폰에서 삭제 데이터까지 복구한 사례

스마트폰이 전혀 켜지지 않으면 내부 데이터도 모두 사라졌다고 생각하기 쉽습니다.

전원 버튼을 눌러도 화면이 나오지 않고, 충전기에 연결해도 아무런 표시가 없다면 일반 사용자가 데이터를 확인할 방법은 거의 없습니다. 하지만 기기가 부팅되지 않는 것과 저장장치의 데이터가 완전히 사라진 것은 같은 의미가 아닙니다.

메인보드와 저장 메모리가 심각하게 손상되지 않았다면 전문적인 모바일 포렌식 절차를 통해 데이터를 확보할 가능성이 있습니다.

Forensic Focus가 소개한 사례에서는 배터리가 완전히 방전되고 전원에도 반응하지 않던 안드로이드 스마트폰에서 전문 모바일 포렌식 장비를 이용해 활성 데이터뿐 아니라 삭제된 데이터와 저장영역의 잔여 흔적까지 확보했습니다.

이 사례는 전원이 켜지지 않는 스마트폰도 상태에 따라 분석이 가능할 수 있다는 점을 보여줍니다.

전원이 켜지지 않는 스마트폰도 데이터가 남아 있을까?

스마트폰은 크게 다음과 같은 부분으로 구성됩니다.

배터리
충전 회로
전원관리 부품
메인보드
저장 메모리
화면과 터치패널
운영체제
각종 센서와 통신 부품

전원이 켜지지 않는 원인은 다양합니다.

배터리가 고장 났거나 충전 단자가 손상된 경우도 있고, 화면만 고장 나 실제로는 기기가 작동하는 경우도 있습니다. 운영체제가 손상돼 부팅 단계에서 멈출 수도 있으며, 메인보드 일부가 고장 났을 가능성도 있습니다.

따라서 화면이 나오지 않는다는 이유만으로 저장 메모리의 데이터까지 없어진 것은 아닙니다.

저장 메모리에 전기적·물리적 손상이 없고 암호화 문제를 해결할 수 있다면 사진, 메시지, 통화기록, 앱 데이터 등을 확보할 가능성이 남아 있습니다.

일반 데이터 복구와 모바일 포렌식은 무엇이 다를까?

일반 데이터 복구는 사용자가 잃어버린 사진이나 문서를 다시 사용할 수 있도록 복원하는 데 목적이 있습니다.

반면 모바일 포렌식은 데이터를 찾아내는 것뿐 아니라 다음 사항을 함께 고려합니다.

원본 기기의 상태 보존
적법한 분석 권한
데이터 획득 과정 기록
결과 파일의 무결성 확인
삭제 데이터와 시스템 흔적 분석
시간정보와 사용자 활동 검토
분석 결과의 재현 가능성
법정이나 분쟁에서 설명 가능한 보고서 작성

스마트폰을 단순히 수리해 다시 켜는 과정에서도 원본 데이터가 변경될 수 있습니다.

운영체제가 부팅되면 로그와 임시파일이 새로 생성될 수 있고, 앱이 자동 업데이트되거나 클라우드 동기화가 실행될 수도 있습니다.

따라서 증거 목적으로 분석해야 하는 스마트폰은 일반적인 수리 절차보다 원본 보존을 우선해야 합니다.

부팅되지 않는 스마트폰은 일반 논리 추출이 어려우므로 기기의 상태에 따라 물리적 접근이나 전문적인 데이터 획득 방법을 검토합니다.

이번 사례의 스마트폰은 어떤 상태였을까?

Forensic Focus가 소개한 사례의 스마트폰은 아동학대 관련 수사에서 중요한 증거물로 제출된 최신 안드로이드 기기였습니다.

기기의 상태는 다음과 같았습니다.

배터리가 완전히 방전된 상태
전원 버튼을 눌러도 반응이 없음
충전기에 연결해도 충전 표시가 나타나지 않음
운영체제 부팅 불가능
일반적인 논리 추출 수행 불가능

스마트폰이 정상적으로 부팅된다면 운영체제의 백업 기능이나 포렌식 연결 기능을 이용해 데이터를 가져올 수 있습니다.

하지만 이번 기기는 운영체제 자체가 실행되지 않았기 때문에 일반적인 연결 방식으로는 데이터에 접근할 수 없었습니다.

분석가는 전문 모바일 포렌식 도구를 이용해 장치의 저장영역에 보다 직접적으로 접근하는 방식을 검토했습니다.

그 결과 현재 기기에 남아 있는 활성 데이터뿐 아니라 삭제된 내용과 저장영역에 남은 데이터 흔적까지 분석할 수 있었습니다.

논리 추출이 불가능했던 이유

스마트폰 데이터 추출에는 여러 방식이 있습니다.

가장 일반적인 방법이 논리 추출입니다.

논리 추출이란?

논리 추출은 스마트폰 운영체제와 앱이 정상적으로 제공하는 데이터를 가져오는 방식입니다.

예를 들어 다음과 같은 자료를 확보할 수 있습니다.

연락처
통화기록
문자메시지
사진과 동영상
일부 앱 데이터
기기 정보
백업 데이터

논리 추출은 비교적 안전하고 빠르지만 기기가 정상적으로 켜지고 포렌식 장비와 통신할 수 있어야 합니다.

전원이 켜지지 않거나 운영체제가 부팅되지 않는다면 이 방법을 사용할 수 없습니다.

또한 논리 추출은 현재 운영체제에서 확인할 수 있는 데이터를 중심으로 가져오기 때문에 삭제된 데이터와 시스템 영역까지 모두 확보하기는 어렵습니다.

물리 추출이란 무엇일까?

물리 추출은 스마트폰 저장영역에 보다 직접적으로 접근해 데이터를 확보하는 방식입니다.

일반적으로 다음과 같은 자료를 분석할 가능성이 있습니다.

현재 저장된 파일
앱 데이터베이스
시스템 파일
삭제된 파일의 일부 흔적
비할당 영역
캐시와 임시파일
파일시스템 메타데이터
사용자 활동기록

다만 물리 추출이 모든 스마트폰에서 가능한 것은 아닙니다.

최신 스마트폰은 저장 데이터를 강력하게 암호화하고 있으며, 잠금번호와 보안 칩, 운영체제 상태가 복호화에 영향을 줄 수 있습니다.

저장 메모리의 원시 데이터를 확보하더라도 암호화 키를 얻지 못하면 내용을 해석할 수 없는 경우도 있습니다.

따라서 물리 추출은 단순히 메모리를 복사하는 작업이 아니라 기기 구조, 암호화 방식, 운영체제 버전, 보안 상태를 함께 분석하는 과정입니다.

삭제된 데이터도 항상 복구할 수 있을까?

삭제된 데이터가 반드시 복구되는 것은 아닙니다.

스마트폰에서 파일을 삭제하면 운영체제는 해당 파일을 사용자 화면에서 보이지 않도록 처리합니다. 일부 데이터는 저장영역에 남아 있을 수 있지만, 새로운 데이터가 같은 공간에 기록되면 원래 내용이 덮어써집니다.

최신 스마트폰은 저장공간 관리를 위해 삭제 영역을 빠르게 정리하는 기능을 사용하기도 합니다.

복구 가능성은 다음 조건에 따라 달라집니다.

삭제 후 스마트폰을 얼마나 사용했는지
새로운 사진이나 동영상을 촬영했는지
앱을 설치하거나 업데이트했는지
운영체제를 업데이트했는지
공장 초기화를 했는지
저장공간이 얼마나 사용되고 있었는지
데이터 암호화 방식
기기의 잠금 상태
클라우드 또는 PC 백업 존재 여부
포렌식 장비가 해당 모델을 지원하는지

따라서 “삭제된 데이터는 모두 복구할 수 있다”는 표현은 정확하지 않습니다.

반대로 화면이 켜지지 않는다는 이유만으로 모든 데이터가 복구 불가능하다고 단정하는 것도 적절하지 않습니다.

전원이 들어오지 않는 스마트폰은 배터리, 충전 회로, 메인보드, 저장 메모리의 상태를 구분해 점검해야 합니다.

전원이 켜지지 않을 때 먼저 확인하는 항목

전문 분석가는 스마트폰을 바로 분해하기보다 현재 상태를 먼저 기록하고 원인을 단계적으로 확인합니다.

1. 외관 상태

기기의 파손 여부와 액체 유입 흔적을 확인합니다.

충격으로 프레임이 휘었거나 침수 표시가 있다면 메인보드 손상 가능성을 고려해야 합니다.

2. 충전 단자

충전 단자가 오염되거나 손상되면 배터리가 정상이어도 충전이 되지 않을 수 있습니다.

다만 금속 도구로 단자를 임의로 청소하면 추가 손상이 발생할 수 있습니다.

3. 배터리 상태

배터리가 완전히 방전되거나 팽창했다면 정상적인 전원 공급이 어려울 수 있습니다.

배터리를 교체할 때도 기기 상태와 데이터 보존에 미치는 영향을 고려해야 합니다.

4. 화면 고장 여부

기기가 실제로는 켜져 있지만 화면만 나오지 않는 경우도 있습니다.

진동, 알림음, 컴퓨터 연결 반응, 전류 소비량 등을 통해 기기의 작동 상태를 확인할 수 있습니다.

5. 메인보드 전원 회로

전원관리 부품이나 충전 회로가 손상되면 저장 메모리가 정상이어도 기기가 부팅되지 않습니다.

이 경우 데이터 보존을 목적으로 필요한 부분만 최소한으로 수리하는 방법을 검토할 수 있습니다.

6. 운영체제 손상

하드웨어에는 문제가 없지만 운영체제 오류로 부팅이 반복되거나 로고 화면에서 멈출 수 있습니다.

이때 초기화나 펌웨어 재설치를 하면 사용자 데이터가 삭제될 위험이 있으므로 주의해야 합니다.

고장 난 스마트폰을 임의로 수리하면 안 되는 이유

중요한 증거 또는 반드시 복구해야 하는 데이터가 있는 스마트폰이라면 일반적인 사용 목적의 수리와 다른 접근이 필요합니다.

다음 행동은 데이터 상태를 변경하거나 복구 가능성을 낮출 수 있습니다.

공장 초기화 실행
운영체제 재설치
펌웨어 업데이트
복구 앱 설치
비밀번호 반복 입력
임의의 배터리 연결
과도한 전압 공급
메인보드 무리한 가열
저장 메모리 임의 분리
검증되지 않은 프로그램 사용

특히 운영체제를 재설치하거나 공장 초기화를 하면 기존 사용자 데이터와 암호화 키가 변경될 수 있습니다.

스마트폰을 다시 켜는 데 성공하더라도 부팅 과정에서 시스템 로그와 앱 데이터가 새로 생성되면서 일부 삭제 영역이 덮어써질 수 있습니다.

보드 수리와 포렌식 분석은 목적이 다릅니다

일반 스마트폰 수리는 기기를 다시 정상적으로 사용할 수 있도록 만드는 것이 목적입니다.

포렌식 목적의 보드 수리는 데이터를 확보할 수 있을 정도로만 기기를 작동시키는 것이 목적입니다.

예를 들어 화면이나 카메라가 정상적으로 작동하지 않아도 데이터 추출에 필요한 전원과 USB 통신 기능만 회복되면 충분할 수 있습니다.

포렌식 수리에서는 다음 원칙이 중요합니다.

가능한 한 원본 부품 유지
최소한의 작업만 수행
수리 전후 상태 촬영
교체한 부품 기록
적용한 전압과 작업 내용 기록
저장 메모리와 보안 부품 보존
작업 후 즉시 데이터 획득
추출 결과 해시값 기록

수리 과정에서 메인보드를 다른 기기로 교체하면 원래 데이터가 들어 있는 저장 메모리도 함께 바뀔 수 있으므로 주의해야 합니다.

클라우드와 백업도 함께 확인해야 합니다

스마트폰 본체에서 직접 데이터를 확보하기 어렵다면 다른 데이터 출처를 검토할 수 있습니다.

구글 계정

안드로이드 스마트폰은 연락처, 사진, 일정, 앱 데이터 등이 구글 계정과 동기화돼 있을 수 있습니다.

제조사 클라우드

삼성 계정 등 제조사 서비스에 백업이 남아 있을 가능성이 있습니다.

PC 백업

사용자가 컴퓨터에 사진이나 파일을 복사했거나 전용 프로그램으로 백업했을 수 있습니다.

메신저 백업

일부 메신저는 클라우드나 로컬 파일에 대화 백업을 저장합니다.

통신사 자료

통화내역과 문자 발송 기록은 법적 절차에 따라 통신사 자료와 비교할 수 있습니다.

다만 클라우드 자료는 스마트폰 본체의 전체 데이터를 그대로 보존하는 것이 아닙니다. 앱별 동기화 설정과 보관 기간에 따라 확보 범위가 달라질 수 있습니다.

복구 성공 가능성을 높이는 보관 방법

스마트폰이 고장 났다면 불필요한 조작을 멈추는 것이 가장 중요합니다.

다음과 같이 보관하는 것이 좋습니다.

기기의 현재 상태를 사진으로 기록
반복해서 전원을 켜지 않기
여러 충전기를 번갈아 연결하지 않기
공장 초기화나 업데이트를 하지 않기
임의로 분해하지 않기
기기를 건조하고 안전한 장소에 보관
충전기와 케이블을 함께 보관
잠금번호를 알고 있다면 별도로 기록
기기 모델과 사용 계정을 기록
침수됐다면 무리하게 전원을 넣지 않기

침수된 스마트폰은 전원을 공급할수록 회로 부식과 단락이 심해질 수 있습니다.

쌀이나 열풍으로 건조하는 민간요법은 내부 수분과 오염물질을 완전히 제거하지 못하며, 오히려 추가 손상을 만들 수 있습니다.

포렌식 결과는 어떻게 검증할까?

전문 도구로 데이터를 확보했다고 해서 모든 결과를 그대로 신뢰해서는 안 됩니다.

다음과 같은 검증 절차가 필요합니다.

추출 방식과 장치 모델 기록
사용한 프로그램과 버전 기록
추출 파일의 해시값 생성
동일 자료를 다른 도구로 확인
데이터베이스 원본과 분석 결과 비교
사진과 영상의 메타데이터 확인
메시지 시간과 시스템 시간 비교
통화기록과 통신사 자료 비교
삭제 데이터의 출처와 신뢰도 표시
분석이 불가능한 영역과 한계 기록

삭제 데이터는 파일 일부만 남아 있거나 시간정보가 손상된 상태로 발견될 수 있습니다.

따라서 현재 존재하는 정상 파일과 동일한 수준으로 해석해서는 안 되며, 복구 상태와 신뢰도를 보고서에 명확히 표시해야 합니다.

이번 사례에서 배울 수 있는 핵심

전원이 켜지지 않는 스마트폰의 분석은 단순히 충전기를 연결해 보는 수준에서 끝나지 않습니다.

기기가 부팅되지 않는 원인을 구분하고, 저장 메모리와 암호화 상태를 고려해 적절한 획득 방법을 선택해야 합니다.

이번 사례에서 주목할 점은 다음과 같습니다.

기기가 켜지지 않아도 저장 데이터가 남아 있을 수 있습니다.
일반 논리 추출이 불가능하면 다른 획득 방법을 검토할 수 있습니다.
물리 추출은 모든 스마트폰에서 가능한 것은 아닙니다.
삭제 데이터의 복구 가능성은 덮어쓰기와 암호화 상태에 영향을 받습니다.
임의 수리와 초기화는 복구 가능성을 낮출 수 있습니다.
스마트폰 본체뿐 아니라 클라우드와 백업도 확인해야 합니다.
추출 결과는 반드시 다른 자료와 비교해 검증해야 합니다.
분석 과정과 제한사항을 문서화해야 합니다.

한국에서 비슷한 상황이 생겼을 때 대응 순서

단순 고장으로 보이는 경우

기기 외관과 파손 상태를 촬영합니다.
원래 충전기와 케이블로 한 번만 확인합니다.
화면만 고장 났는지 진동과 알림음을 확인합니다.
클라우드와 PC 백업이 있는지 다른 기기에서 확인합니다.
데이터가 중요하면 초기화 없는 진단을 요청합니다.
수리 전 데이터 보존 요청을 서면이나 접수내역에 남깁니다.

침수된 경우

전원을 켜지 않습니다.
충전기를 연결하지 않습니다.
뜨거운 바람이나 전자레인지를 사용하지 않습니다.
SIM 카드 분리는 무리하지 않는 범위에서만 합니다.
가능한 한 빨리 침수 복구 경험이 있는 전문업체에 문의합니다.

잘못 이해하기 쉬운 부분

“메인보드를 교체하면 데이터도 돌아온다”

대부분의 스마트폰 데이터는 원래 메인보드의 저장장치와 보안 칩에 연결돼 있습니다. 메인보드를 교체하면 기기는 켜질 수 있지만 기존 데이터는 나오지 않을 수 있습니다.

“삭제 복구 앱을 설치하면 사진을 찾을 수 있다”

복구하려는 기기에 앱을 설치하면 새 데이터가 기록돼 삭제 영역을 덮어쓸 수 있습니다. 최신 스마트폰은 암호화와 저장공간 정리 기능 때문에 일반 복구 앱으로 삭제 사진을 되살리기 어려운 경우가 많습니다.

사용된 기술의 한계

비반응 스마트폰에서의 복구 가능성은 다음 조건에 좌우됩니다.

저장장치 물리 손상 여부
화면 잠금번호 확보 여부
보안칩 상태
운영체제와 보안패치 버전
USB 디버깅 상태
기기의 암호화 방식
부팅 가능 여부
지원되는 포렌식 추출 방식

상용 포렌식 프로그램도 손상된 저장장치나 해독할 수 없는 암호화를 자동으로 해결하지는 못합니다.

실제 데이터 보존 순서

1. 기기 외관과 현재 상태 촬영
2. 모델명·일련번호·SIM 상태 기록
3. 전원·화면·진동 반응 기록
4. 추가 충전과 재부팅 최소화
5. 클라우드·PC 백업 존재 여부 확인
6. 초기화 없는 진단 요청
7. 작업 전후 인수인계와 수리내역 보관
8. 복구된 데이터는 두 곳 이상에 백업

자주 묻는 질문

화면만 깨졌는데 데이터 복구업체에 가야 하나요?

기기가 정상 부팅되고 터치나 외부 화면 연결이 가능하다면 일반 수리로 해결될 수 있습니다. 다만 잠금 해제와 데이터 백업이 먼저 가능한지 확인하세요.

구글이나 아이클라우드에 사진이 있을 수 있나요?

자동 동기화가 켜져 있었다면 다른 기기나 웹에서 확인할 수 있습니다. 기기를 수리하거나 초기화하기 전에 클라우드 백업부터 확인하는 것이 좋습니다.

핵심 정리

전원이 켜지지 않는 스마트폰이라고 해서 내부 데이터가 모두 사라진 것은 아닙니다.

배터리나 충전 회로, 화면, 운영체제 문제로 부팅이 되지 않는 경우 저장 메모리에는 데이터가 남아 있을 수 있습니다. 전문적인 모바일 포렌식 절차를 적용하면 장치 상태에 따라 사진, 메시지, 통화기록, 앱 데이터와 삭제 흔적을 확보할 가능성이 있습니다.

하지만 최신 스마트폰은 강력한 암호화를 사용하므로 저장 메모리의 원시 데이터를 얻는 것만으로 모든 내용을 확인할 수 있는 것은 아닙니다.

중요한 데이터가 있는 기기는 반복해서 전원을 켜거나 공장 초기화, 운영체제 재설치, 임의 수리를 시도하지 않는 것이 좋습니다.

디지털 포렌식에서 중요한 것은 단순히 스마트폰을 다시 켜는 것이 아니라, 원본 상태의 변경을 최소화하면서 검증 가능한 방식으로 데이터를 확보하는 것입니다.

참고자료

이 글은 Forensic Focus의 **「How XRY Pro Helped Recover Critical Evidence From A Non-Responsive Smartphone」**를 주제 참고자료로 활용해 교육·정보 목적으로 새롭게 작성했습니다.

공개 사례에 따르면 배터리가 완전히 방전되고 충전에도 반응하지 않던 안드로이드 스마트폰에서 전문 모바일 포렌식 장비를 이용해 물리적 데이터 획득을 진행했습니다. 이를 통해 활성 데이터뿐 아니라 삭제 데이터와 저장영역의 잔여 흔적까지 분석할 수 있었습니다.