아청물소지 포렌식에서 원본과 복제본의 무결성은 왜 중요할까요?

성범죄 칼럼

아청물소지 포렌식에서 원본과 복제본의 무결성은 왜 중요할까요?

디지털포렌식은 결과 파일뿐 아니라 원본과 복제 과정이 함께 검토되어야 합니다. 아청물소지 사건은 단순히 ‘파일이 발견됐다’는 결과만 보는 것이 아니라 그 파일이 어느 저장매체의 어느 위치에서 어떤 방식으로 추출됐는지를 확인해야 합니다. 디지털포렌식 복제와 원본 보존에서는 수사기관이 어떤 행위를 특정했는지부터 확인해야 합니다. 특히 저장·시청·전송 같은 행위를 한꺼번에 ‘아청물’이라는 말로 묶으면 법정형과 증거 쟁점을 잘못 이해할 수 있습니다.

1.사건 구조를 먼저 나누는 이유
2.증거와 진술을 맞추는 방법
3.본 법률사무소의 사건별 대응 방식
4.이 사안에서 먼저 확인해야 할 기준
5.관련 Q&A
6.처음 조사에서 가장 먼저 설명해야 할 부분은 무엇인가요?
7.수사 연락을 받은 뒤 파일을 직접 확인해도 되나요?

• 사건 구조를 먼저 나누는 이유

• 증거와 진술을 맞추는 방법

• 본 법률사무소의 사건별 대응 방식

• 이 사안에서 먼저 확인해야 할 기준

• 관련 Q&A

사건 구조를 먼저 나누는 이유

국가법령정보센터에 공개된 경찰청 「디지털 증거의 처리 등에 관한 규칙」 제11조·제12조는 전자정보 압수·수색을 준비할 때 시스템과 저장장치, 필요한 장비를 사전에 고려하고, 현장에서는 혐의사실과 관련된 전자정보를 선별해 출력·복제하는 방식을 원칙으로 두고 있습니다. 디지털 증거가 언제 어떤 방식으로 복제·분석됐는지는 파일의 존재와 접근 이력을 해석할 때 중요한 절차 자료가 됩니다.

아청물소지 사건은 단순히 ‘파일이 발견됐다’는 결과만 보는 것이 아니라 그 파일이 어느 저장매체의 어느 위치에서 어떤 방식으로 추출됐는지를 확인해야 합니다. 원본과 복제본의 해시값, 분석 도구, 복구 대상 영역을 살피면 활성 파일인지 삭제영역인지, 자동 백업인지 사용자 생성 폴더인지 구별하는 데 도움이 됩니다. 다만 피의자가 직접 포렌식 흔적을 조작하거나 복구를 시도해서는 안 됩니다.

증거와 진술을 맞추는 방법

점검 항목	기록에서 찾을 정보	쟁점
원본 저장매체가 봉인·보존됐는지	원본 저장매체가 봉인·보존됐는지	행위 시점과 경위를 특정
복제본 생성 시각	복제본 생성 시각과 해시값	실제 지배·접근 가능성 판단
분석	분석 과정에서 쓰기방지 장치가 사용됐는지	고의와 인식 정도 확인
분석보고서의 파일 경로·복구 방식	분석보고서의 파일 경로·복구 방식·시간정보	추가 행위와 절차 문제 분리

본 법률사무소의 사건별 대응 방식

법률사무소 니케의 성범죄전문변호사는 디지털포렌식 복제와 원본 보존 사건을 다룰 때 파일의 존재만 보지 않고 사용자 행위와 디지털 로그를 연결해 경찰 단계에서 종결 가능성을 우선 검토하는 방식으로 진술과 자료를 정리합니다.

수사 초기에는 문제 자료를 직접 재생하거나 삭제해 상황을 바꾸기보다, 수사기관이 특정한 파일 목록과 원본 로그를 기준으로 사실관계를 정리하는 것이 중요합니다. 이 과정에서 피해자나 전송 상대방에게 직접 연락해 해명을 요구하는 방식은 피하고, 필요한 의사소통은 적법한 절차를 통해 진행해야 합니다.

이 사안에서 먼저 확인해야 할 기준

1.원본 저장매체가 봉인·보존됐는지

2.복제본 생성 시각과 해시값

3.분석 과정에서 쓰기방지 장치가 사용됐는지

4.분석보고서의 파일 경로·복구 방식·시간정보

포렌식 결과를 검토할 때는 파일 개수보다 먼저 추출 방식과 원본 경로를 표로 정리하는 편이 좋습니다. 수사기관의 분석보고서, 압수목록, 참여확인서, 복제본 해시값을 대조하면 동일 파일이 여러 경로에서 중복 계수됐는지와 실제 사용자 조작 흔적이 무엇인지 더 정확하게 볼 수 있습니다.

디지털포렌식 복제와 원본 보존 사건에서는 수사기관이 제시한 한두 개의 화면 캡처만 보고 전체 사실을 추정해서는 안 됩니다. 원본 저장매체가 봉인·보존됐는지, 복제본 생성 시각과 해시값을 먼저 확인하고, 이어 분석 과정에서 쓰기방지 장치가 사용됐는지, 분석보고서의 파일 경로·복구 방식·시간정보을 대조하면 취득·보관·접근의 순서를 더 정확하게 재구성할 수 있습니다. 진술서에는 확인된 사실과 기억에 의존하는 부분을 구분해 표시하고, 확인되지 않은 파일명이나 재생 횟수를 임의로 만들어 말하지 않는 것이 중요합니다. 또한 수사 연락 이후에는 기기의 시간설정, 계정 동기화, 자동정리 기능을 변경하지 않아야 기존 로그의 의미를 보존할 수 있습니다. 법률상 평가가 필요한 부분은 객관자료가 확보된 뒤 판단하고, 피해자 또는 파일 제공자에게 직접 연락해 설명을 맞추려는 행동은 하지 않는 편이 안전합니다. 아청물소지 사건은 하나의 파일 존재와 형사책임 사이에 여러 사실단계가 있으므로, 각 단계가 실제 자료로 연결되는지 검토해야 경찰조사에서 불필요한 인정이나 과도한 부인을 줄일 수 있습니다.

디지털포렌식 복제와 원본 보존에 관한 진술은 ‘받았다’ 또는 ‘몰랐다’ 같은 짧은 결론보다 구체적 과정이 중요합니다. 원본 저장매체가 봉인·보존됐는지과 분석보고서의 파일 경로·복구 방식·시간정보을 먼저 맞추고, 그 사이 사용자가 실제로 클릭·재생·이동·삭제·공유 중 어떤 행동을 했는지 확인해야 합니다. 객관기록과 기억이 충돌하면 기록의 의미를 먼저 분석한 뒤 설명해야 하며, 수사기관이 제시하지 않은 파일까지 스스로 찾아 열어보는 행동은 피해야 합니다. 또 상대방과 대화를 맞추거나 계정을 정리하는 행동은 별도 의심을 만들 수 있으므로 현 상태를 유지하는 것이 안전합니다. 결국 첫 조사에서는 사실관계의 시간순서와 법률상 평가를 분리해 말하는 것이 핵심입니다.