포렌식복구로 삭제한카톡을 찾지 못했지만 포렌식으로 증거를 확인한 사례

포렌식복구는 삭제된 자료를 바로 복원하는 과정부터 시작하지 않습니다.

먼저 현재 휴대전화에서 확보할 수 있는 카카오톡 앱 데이터와 메시지 데이터베이스를 확인해 사건과 관련된 대화 원문이 남아 있는지부터 분석했습니다.

의뢰인이 기억하는 기간과 상대방을 기준으로 확인했지만, 필요한 대화 내용은 현재 확보된 데이터에서는 확인되지 않았습니다.

다만 이는 해당 대화가 존재하지 않았다는 의미도, 다른 곳에서 반드시 복구된다는 의미도 아니었습니다.

이번 분석에서 확보한 자료를 기준으로 원문이 확인되지 않았다는 결과였으며, 분석은 여기에서 끝나지 않았습니다.

메시지 원문이 확인되지 않자 분석관은 삭제한카톡복구만 기대하기보다 기기에 남아 있는 다른 자료를 함께 살펴봤습니다.

알림 데이터와 첨부파일, 미디어 파일, 캐시, 썸네일 등 사건과 관련될 수 있는 흔적을 하나씩 확인하며 현재 확인 가능한 자료를 정리했습니다.

이 과정은 사라진 대화를 새롭게 만들어내기 위한 것이 아니라, 현재 기기에서 객관적으로 확인할 수 있는 자료가 무엇인지 파악하기 위한 절차였습니다.

자료마다 확인 가능한 범위가 다르기 때문에 각각의 특성을 구분하며 분석을 이어갔습니다.

확인된 자료가 있다고 해서 모두 카카오톡 대화 원문과 같은 의미를 갖는 것은 아니었습니다.

포렌식 전문가는 알림에 남은 일부 문구인지, 연락 정황을 보여주는 보조자료인지, 단순히 앱을 사용했던 흔적인지 구분해 정리했습니다.

이를 통해 실제로 확인이 가능한 사실과 확인할 수 없는 내용을 명확하게 나누었으며, 원문이 확인되지 않았는데도 대화가 모두 복구된 것처럼 과장하지 않았습니다.

의뢰인 역시 현재 확보된 자료만으로 설명 가능한 범위를 객관적으로 파악했습니다.

삭제한카톡복구를 검색하면 삭제된 대화를 모두 되찾을 수 있을 것처럼 생각하는 경우가 많습니다.

하지만 실제로는 휴대전화의 상태와 사용 이력에 따라 확인 가능한 자료가 달라질 수 있으며 더불어 아래와 같은 상황에서는 대화 원문 확인이 어려워질 수 있습니다.

이처럼 대화 원문이 확인되지 않는다고 해서 분석이 모두 끝나는 것은 아닙니다.

기기에는 알림 데이터, 첨부파일, 캐시, 썸네일, 연락기록 등 사건과 관련될 수 있는 잔존 자료가 남아 있을 수 있기 때문입니다.

하지만 이러한 자료는 카카오톡 대화 원문과 같은 의미를 갖는 것이 아니므로 각각의 증명 범위를 구분해 확인해야 합니다.

또한 잔존 자료가 발견됐다고 해서 모든 대화가 복구된 것은 아닌데, 예를 들어 알림 데이터는 일부 문구만 확인될 수 있고, 첨부파일은 파일 자체만 남아 있어 어느 대화방에서 주고받았는지 확인하기 어려운 경우도 있습니다.

이에 따라 디지털포렌식에서는 원문인지, 사건을 뒷받침하는 보조자료인지, 단순 사용 흔적인지를 구분해 분석 결과를 정리하는 것이 중요합니다.