PC포렌식, USB 연결기록 때문에 자료유출을 의심했던 사례

PC포렌식을 의뢰한 회사는 내부 자료가 외부로 유출됐을 가능성을 의심하고 있었습니다.

업무용 PC를 확인하는 과정에서 평소 사용하지 않던 USB 저장장치가 연결된 흔적이 발견됐고, 특정 기간 동안 여러 회사 문서가 열람된 정황도 함께 확인됐기 때문입니다.

내부에서는 횡령 가능성까지 제기되면서 직원에 대한 조사가 필요하다는 의견이 나왔습니다.

하지만 회사가 확보한 것은 어디까지나 의심 정황이었습니다. USB가 연결됐다는 사실은 확인됐지만 실제 어떤 파일이 저장장치로 복사됐는지, 해당 USB가 승인된 업무용 장치였는지, 자료가 외부에서 사용됐는지는 확인되지 않았으며, 문서를 열어봤다는 기록 역시 곧바로 자료유출을 의미하는 것은 아니었습니다.

성급하게 직원을 자료유출자로 단정하거나 징계를 진행하기보다, 회사는 객관적인 디지털 자료를 먼저 확인하기로 했습니다.

이에 업무용 PC 저장장치와 분석 권한이 확인된 휴대전화를 대상으로 PC포렌식을 진행해 실제 자료유출과 관련된 흔적이 남아 있는지 검토하기 시작했습니다.

PC포렌식을 시작한 뒤 회사는 USB 연결기록만 확인하면 자료유출 여부를 바로 알 수 있을 것이라고 생각했습니다.

하지만 분석관은 먼저 사건을 다른 시각에서 바라봤습니다. USB가 연결됐다는 사실과 회사 문서를 열어봤다는 기록만으로는 실제 파일이 외부로 반출됐다고 단정할 수 없었기 때문입니다.

실제 자료유출이 있었다면 연결부터 열람, 복사, 외부 사용까지 이어지는 디지털 흔적이 서로 맞아야 했습니다.

이에 분석은 USB 흔적을 찾는 것이 아니라, 어떤 자료를 어디까지 확인할 수 있는지를 객관적으로 검토하는 방향으로 진행되었고 조사 권한과 분석 범위를 먼저 확인한 뒤, USB 연결과 자료유출을 구분할 수 있는 디지털 기록을 단계적으로 비교하기 시작했습니다.

PC포렌식이 진행되면서 회사는 USB 연결 흔적 외에도 파일 접근 기록과 생성·수정 이력, 로그인 기록 등을 함께 살펴봤습니다.

혹시 놓친 흔적이 있는지 시간 순서대로 이어 보니 예상과 다른 사실이 하나씩 드러나기 시작했습니다.

USB는 실제로 연결됐지만, 그것만으로 자료가 외부로 반출됐다고 보기 어려운 부분이 확인된 것입니다.

결국 이번 사례에서는 USB 사용 흔적은 있었지만 자료유출을 뒷받침할 만한 객관적인 기록은 발견되지 않았으며, 회사 역시 의심만으로 결론을 내리기보다 여러 디지털 자료를 함께 확인한 뒤 사실관계를 판단할 수 있었습니다.

PC포렌식은 하나의 기록을 확대 해석하는 과정이 아니라, 서로 다른 기록이 하나의 흐름으로 이어지는지를 확인하는 과정이라는 점을 다시 한번 보여준 사례였습니다.

PC포렌식은 USB 연결기록이나 삭제된 파일을 확인하는 것에서 끝나지 않습니다.

현재 컴퓨터에 어떤 디지털 기록이 남아 있는지, 그 자료를 통해 어디까지 사실관계를 확인할 수 있는지를 객관적으로 분석하는 과정이 중요합니다.

또한 자료유출이 의심된다고 해서 컴퓨터를 계속 사용하거나 파일을 임의로 삭제·복원하려고 하면 기존 기록이 변경될 수 있으므로, 현재 상태를 그대로 유지하는 것이 도움이 될 수 있습니다.

사건마다 확보 가능한 자료와 분석 범위는 모두 다릅니다.

USB 연결기록만 확인되더라도 파일 열람 기록이나 문서 수정 이력, 외부 저장장치 사용 흔적 등 다른 디지털 자료를 함께 분석하여 사실관계를 확인할 수 있는 경우도 있습니다.

만약 자료유출이 의심되지만 어떤 기록을 확인해야 할지 고민이라면 🔗디지털포렌식변호사 법률상담예약을 통해 현재 컴퓨터에서 확인 가능한 자료와 분석 범위를 먼저 살펴보시기 바랍니다.