디지털 포렌식 보고서에는 파일 생성일, 수정일, 마지막 접근일이 각각 표시되는 경우가 많지만 이 세 시간이 곧바로 사용자의 실제 행동 시각을 뜻하는 것은 아닙니다. 복사, 백업, 압축 해제, 운영체제 업데이트 과정에서 시간이 바뀔 수 있기 때문입니다. 아청물소지 사건에서는 메타데이터의 이름보다 해당 파일시스템과 프로그램이 각 시간을 어떤 조건에서 기록하는지를 확인해야 합니다.

국가법령정보센터의 2026년 7월 1일 시행 형사소송법 제308조는 증거의 증명력을 자유판단에 맡기고 있습니다. 디지털 시각정보도 한 항목만 절대적인 증거로 취급하기보다 다른 로그와의 일치 여부를 종합해 의미를 판단할 필요가 있습니다. 생성일이 다운로드 시각인지 복사 시각인지부터 기술적으로 확인해야 합니다.

외장하드에서 복사한 파일은 새 기기에서 생성 시각이 복사일로 기록될 수 있고 원본 수정 시각은 과거 날짜를 유지할 수 있습니다. 반대로 일부 시스템은 원본 생성일을 보존하기도 합니다. 따라서 기기마다 기록방식이 달라질 수 있다는 점을 전제로 다운로드 데이터베이스나 메신저 수신기록과 대조해야 합니다.

백신 프로그램이나 미디어 인덱싱 서비스가 파일을 읽으면서 접근 시각을 변경하는 시스템도 있습니다. 수사기관이 특정 접근일을 시청일로 해석했다면 실제 미디어 플레이어 실행기록과 일치하는지 확인해야 합니다. 단순 시스템 접근과 사용자의 의도적인 재생을 구분하는 것이 중요합니다.

법률사무소 니케의 형사전문변호사는 파일 생성·수정·접근 시각을 각각의 시스템 동작과 대조하고 다운로드·재생·백업 로그를 함께 분석해 실제 취득과 시청 시점을 재구성합니다.

포렌식 보고서의 시간대가 UTC인지 한국 표준시인지부터 확인하고, 기기 시간 설정이 정상적이었는지 봅니다. 이후 각 파일의 생성·수정·접근 시각을 한 줄에 놓고 같은 시각의 브라우저·메신저·클라우드 로그와 대응시킵니다. 시간 정보가 충돌하면 어느 시스템의 기록이 어떤 이벤트로 생성되는지 설명 가능한지를 확인합니다.

접근 기록만으로 반복 시청을 단정하기 어렵습니다. 실제 재생 프로그램 로그, 재생 위치 기록, 썸네일 생성 시각 등을 함께 봐야 합니다. 자동 인덱싱이 원인인지도 확인할 필요가 있습니다.

다른 서버기반 기록과 비교해 시간 오차를 계산할 수 있습니다. 기억으로 임의 수정하지 말고 당시 설정과 서버 로그를 근거로 실제 시간대를 복원해야 합니다.

메타데이터 시각이 핵심인 아청물소지 사건은 숫자만 읽는 것이 아니라 그 숫자가 어떤 시스템 동작에서 만들어졌는지를 이해해야 합니다. 여러 로그를 교차검증해야 실제 사용행위의 시간축을 정확히 정리할 수 있습니다.

클라우드·메신저 서버는 UTC로 기록하고 휴대전화는 한국 표준시로 표시하는 경우가 있어 같은 행위가 9시간 차이로 보일 수 있습니다. 또한 기기 시간이 수동으로 잘못 설정돼 있거나 해외여행 중 시간대가 변경된 경우 메타데이터가 서로 어긋날 수 있습니다. 따라서 파일 시각을 비교하기 전에 모든 로그를 같은 시간대로 환산해야 합니다.

파일시스템 종류에 따라 저장되는 시간정보의 정밀도도 다릅니다. 초 단위가 없는 기록, 복사 시 원본 수정일을 보존하는 기록, 접근시간 갱신 기능이 꺼져 있는 시스템이 있을 수 있습니다. 포렌식 보고서의 숫자를 바로 진술 내용으로 옮기기보다 각 시간값이 어떤 특성을 갖는지 확인해야 실제 취득·재생 시점을 잘못 특정하는 일을 줄일 수 있습니다.

수사기관이 특정 시각을 제시하면 피의자가 그 시간에 무엇을 했는지 즉시 기억해 답하려는 경우가 많습니다. 그러나 메타데이터의 시간값이 복사·인덱싱·자동백업 때문에 생성된 것이라면 실제 사용자 행동과 다를 수 있습니다. 먼저 로그의 의미를 확인한 뒤 생활기록과 대조해야 합니다.

카드결제, 출퇴근기록, 메신저 서버시간처럼 외부 시스템에 남은 시각은 기기 시간오차를 보정하는 기준으로 활용될 수 있습니다. 여러 자료를 같은 시간대로 환산한 뒤 파일 이벤트와 비교하면 잘못된 시점 특정 가능성을 줄일 수 있습니다.

일부 복사 프로그램은 원본의 수정시각을 그대로 유지하기 때문에 새 기기에서 오래된 날짜가 표시될 수 있습니다. 이 날짜를 곧바로 현재 사용자가 그 시점부터 파일을 가지고 있었다는 의미로 해석하면 오류가 생길 수 있습니다. 복사 완료 시각을 보여주는 별도 로그나 새 기기의 최초 인덱싱 시각을 함께 확인해야 실제 유입 시점을 좁힐 수 있습니다.