보이스피싱 가해자 사건에서 휴대전화 포렌식은 단순히 텔레그램 대화를 찾는 절차에 그치지 않습니다. 앱 설치 시각, 위치기록, 통화 빈도, 삭제 메시지, 사진의 촬영정보, 유심 변경 내역을 종합해 피의자가 언제 지시를 받고 어떤 행동을 했는지 재구성합니다. 피의자의 진술이 객관자료와 일치하면 고의나 역할을 설명하는 데 도움이 될 수 있지만, 삭제·초기화 정황이 확인되면 증거인멸 의심이 제기될 수 있습니다. 포렌식 전에 발견될 자료를 예상해 사실관계를 정리해야 합니다.

경찰청이 2026년 4월 공개한 통합대응단 성과자료에 따르면 출범 후 악성 앱 피해자 2만 4,706명에게 긴급 알림톡을 발송했고, 4만 1,387개의 피싱 이용 전화번호를 차단했습니다. 이는 최근 보이스피싱 수사와 피해 예방에서 전화번호·악성 앱·디지털 정보의 연계 분석이 중요한 위치를 차지하고 있음을 보여줍니다.

삭제 방식, 기기 상태, 앱의 저장 구조, 백업 여부에 따라 복구 가능성은 달라집니다. 복구 여부를 단정하기보다 삭제 전후의 앱 사용기록과 알림, 파일 흔적, 상대방 기기에 남은 대화까지 함께 확인해야 합니다.

수사기관은 보이스피싱 조직원과 연락한 계정, 접속 시간, 사진·문서 전송 흔적, 통화기록을 분석할 수 있습니다. 피의자가 대화를 삭제했다고 진술했는데 앱 사용기록이나 상대방이 제출한 대화가 남아 있다면 삭제 이유와 시점이 중요해집니다. 범행 발각을 막기 위해 삭제한 것으로 보이면 고의와 증거인멸 정황에 불리하게 작용할 수 있습니다.

반면 조직원이 “업무 보안”을 이유로 자동삭제 기능을 강제했거나 대화방을 일방적으로 삭제한 경우에는 그 설정과 지시 내용을 확인해야 합니다. 피의자가 휴대전화를 평소에도 주기적으로 정리했는지, 검거 전후에만 특정 대화를 삭제했는지도 구분됩니다. 임의로 복구 프로그램을 반복 실행하거나 기기를 초기화하지 말고 원본 상태를 유지해야 합니다.

GPS 기록은 특정 장소에 있었다는 점을 보여줄 수 있지만 그 장소에서 어떤 인식으로 무엇을 했는지까지 자동으로 증명하지는 않습니다. 피해자 진술, CCTV, 메신저 지시, 계좌내역과 결합해 평가됩니다.

피의자의 이동 동선이 피해자와 만난 장소, 현금 전달 장소, 송금 장소와 연속적으로 일치하면 수거·전달 역할을 뒷받침할 수 있습니다. 여러 날 같은 방식의 이동이 반복되었다면 우연한 방문이라는 설명은 설득력을 잃을 수 있습니다. 반대로 정상적인 배송 경로나 기존 근무지역과 겹친다면 그 배경을 확인해야 합니다.

GPS 기록은 피의자에게 유리하게도 사용될 수 있습니다. 조직원이 주장하는 시간에 다른 장소에 있었거나, 의심을 느낀 뒤 경찰서·은행을 방문한 기록이 있다면 진술을 보강할 수 있습니다. 단순히 위치정보 제공을 두려워하기보다 전체 동선이 사건 설명과 어떻게 연결되는지 분석해야 합니다.

악성 앱은 조직이 피의자나 피해자의 통화·문자·금융정보를 통제한 정황을 보여줄 수 있습니다. 그러나 앱이 설치되었다는 사실만으로 보이스피싱 가담 고의가 자동으로 부정되지는 않습니다.

앱 설치 파일의 출처, 설치 지시 대화, 요구된 권한, 실제 실행기록을 분석해야 합니다. 조직이 재택근무용 앱이나 보안 프로그램이라고 속여 설치하게 했다면 피의자 역시 통제와 기망의 대상이었다는 설명이 가능합니다. 반대로 피의자가 앱의 기능을 알고 피해자 연락을 차단하거나 금융거래를 조정하는 데 사용했다면 적극 가담 정황이 될 수 있습니다.

악성 앱 분석은 기술자료와 진술을 연결하는 작업입니다. 피의자가 언제 설치했고 어떤 화면을 보았는지, 조직원이 어떤 설명을 했는지, 설치 후 휴대전화 기능이 어떻게 달라졌는지를 구체적으로 정리해야 합니다. 앱 이름만 제시하는 것으로는 충분하지 않습니다.

수사 일정상 포렌식 결과가 나오기 전에 조사가 진행될 수 있습니다. 이때 자료가 확인되지 않은 부분을 추측해 답하면 나중에 분석 결과와 모순될 위험이 있습니다.

보이스피싱 사건에서는 형법 제347조 사기죄, 형법 제30조 공동정범, 형법 제32조 방조범이 문제 될 수 있고, 현재 사기죄 법정형은 20년 이하의 징역 또는 5천만 원 이하의 벌금입니다. 따라서 첫 조사에서 고의와 역할에 관한 표현을 가볍게 선택해서는 안 됩니다. “의심했지만 했다”는 표현과 “업무가 낯설었지만 회사 설명을 믿었다”는 표현은 법적 평가가 달라질 수 있습니다.

조사 전에는 기억나는 사실을 시간순으로 적고, 휴대전화에서 확인될 가능성이 있는 앱·계정·대화를 표시해야 합니다. 포렌식 결과가 나온 뒤 기존 진술과 다른 부분이 있다면 왜 기억이 달랐는지를 설명할 수 있어야 합니다. 답변을 외우기보다 불확실한 부분을 구별하는 것이 진술 신뢰성을 지키는 방법입니다.

법률사무소 니케는 휴대전화 이미징 자료에서 앱 로그, GPS, 유심 변경, 삭제 메시지와 파일 생성정보를 추출해 범행 인지 시점 전후의 행동을 입체적으로 재구성합니다.

보이스피싱 전담팀은 포렌식 결과만 따로 보지 않고 계좌거래·CCTV·피해자 진술과 교차 검토합니다. 피의자의 고의 부인이 일관되고 객관자료가 이를 뒷받침하는 사건에서는 진술 타당성 분석과 거짓말탐지기 활용을 검토할 수 있습니다. 반대로 불리한 자료가 명확한 경우에는 이를 숨기기보다 실제 역할과 범죄수익, 피해 회복 방향을 구분해 대응합니다.

디지털 자료는 피의자를 처벌하는 자료로만 쓰이는 것이 아닙니다. 조직의 기망과 통제, 업무 중단 시점, 제한된 역할을 보여주는 기록도 남을 수 있으므로 원본 보존과 정확한 해석이 우선입니다.