삭제된 기록 복구로 무죄를 입증한 디지털 증거

텅 빈 화면, 그리고 무너진 신뢰

그녀는 떨리는 손으로 핸드폰을 내밀었다.
“여기… 아무것도 없어요. 전부 지워졌어요. 그런데, 무언가 있었어요. 확실해요.”

기억은 남아 있었지만, 기록은 없었다.
누군가 일부러 삭제한 메시지, 통화 기록, 사진. 그리고 그 속에 담긴 진실.
의뢰인은 두려움 반, 기대 반으로 마지막 희망을 걸었다.
그녀의 질문은 단 하나였다.

“삭제된 기록도… 다시 찾을 수 있나요?”

 

---

📂 서사 – 삭제됐다고 끝난 건 아니다

이 사건은 단순한 복구 작업이 아니었다.
스마트폰은 이미 공장 초기화된 상태였고, 모든 앱은 재설치되어 있었다.

하지만 우리는 알았다.
낸드(NAND) 메모리는 흔적을 완전히 지우지 않는다.
그리고 **파일 시스템 아티팩트(file system artifacts)**는 거짓말을 하지 않는다.

---

🔍 분석 – 복구의 실마리, 기술은 거짓을 모른다

우선, 메모리 덤프를 추출했다.
이 장치는 eMMC 방식의 낸드 플래시 메모리를 탑재하고 있었고, 루트 권한 확보 후 직접 접근이 가능했다.

분석의 핵심은 다음 두 가지 기술이었다:

---

1. 낸드 메모리 데이터베이스 카빙

삭제된 SQLite 데이터베이스 파일은 종종 파편화된 형태로 남아있다.
우리는 해당 기기의 /data/data/ 경로 아래 있었던 메신저 앱의 캐시와 DB 백업 파일 일부를 hex 덤프를 통해 분석했다.

놀랍게도, 복원된 문자열 중에는 특정 번호와의 대화 일부가 저장된 흔적이 있었다.
메타데이터까지 조합한 결과, 삭제되었던 날짜와 시간, 메시지 내용 일부가 복원되었다.

---

2. 파일 시스템 아티팩트 분석

스마트폰은 파일을 삭제하더라도 실제 데이터는 일정 시간 동안 물리 저장소에 남겨둔다.
우리는 F2FS(Flash-Friendly File System)의 로그 블록을 분석해, 삭제된 이미지 파일의 파일 이름과 경로를 복구했다.

이중, 한 장의 사진이 결정적인 증거가 되었다.
해당 이미지는 특정 카페에서 촬영된 것이었고, 찍힌 시간은 피해자의 주장과 정확히 일치했다.

 

---

🧩 복원 결과 – 삭제된 기록 복구가 바꾼 사건의 흐름

의뢰인이 받은 메시지에는 협박에 가까운 문장이 포함되어 있었다.
그리고 해당 이미지는 의심받던 사람과의 만남을 명확히 입증하는 물증이 되었다.

이 모든 것은 공장 초기화된 스마트폰에서 삭제된 기록 복구를 통해 얻어진 결과다.

삭제됐다고 해서 사라진 것이 아니다.
기록은 지워질 수 있어도, 흔적은 남는다.

---

📚 정보 정리 – 삭제된 기록 복구란 무엇인가?

삭제된 기록 복구(deleted data recovery) 는,
기기에서 지워졌다고 판단된 데이터(문자, 사진, 앱 로그 등)를
메모리 저장 구조와 파일 시스템의 잔여 데이터를 기반으로 분석·복원하는 기술입니다.

🔧 주요 기술

복구 기술설명

낸드 메모리 데이터베이스 카빙	SQLite, Realm 등 앱 DB의 파편 복구
파일 시스템 아티팩트 분석	삭제된 파일의 이름, 경로, 시간 복원
메타데이터 추적	파일 생성 시간, 위치정보 등 디지털 흔적 분석
미사용 영역 스캐닝	Unallocated 영역에서 잔류 데이터 추출

 

🧠 활용 분야

• 디지털 범죄 수사
• 법적 증거 수집
• 기업 내 보안 감사
• 사생활 보호 및 피해 구제

---

 

🧭 마무리 – 데이터는 사라져도, 진실은 남는다

그녀는 결국, 복원된 데이터를 근거로 사건을 재구성했고,
가해자의 거짓말을 입증하는 데 성공했다.

스마트폰은 무너졌지만, 데이터는 복원되었다.
사라진 줄 알았던 기록은, 진실을 되살리는 열쇠였다.

삭제된 기록 복구는 단순한 기술이 아니다.
그건 기억의 재구성이며,
때로는 정의를 위한 마지막 수단이다.

---

📌 전문가 조언 – 데이터가 삭제된 후 꼭 기억해야 할 3가지

1. 추가 조작 금지: 전원을 끄고, 초기화나 앱 재설치는 피하세요.
2. 전문가 상담: 가능한 한 빨리 포렌식 전문가와 상담하세요.
3. 기기 보존: 외부 충격이나 열, 습도에 주의하며 기기를 그대로 보관하세요.