컴퓨터포렌식이란? 삭제파일 복구부터 PC 사용기록·디지털 증거 분석까지

컴퓨터에서 중요한 파일이 삭제되었거나, 누군가 PC를 사용한 흔적을 확인해야 한다면 어떻게 해야 할까요?

회사에서 사용하던 컴퓨터의 자료가 사라졌거나, USB를 통한 정보 유출이 의심되는 경우가 있습니다. 개인적으로는 삭제된 문서나 사진을 복구해야 하거나, 민사소송에 필요한 디지털 증거를 확보해야 하는 상황도 발생합니다.

이럴 때 활용할 수 있는 기술이 바로 컴퓨터포렌식입니다.

컴퓨터포렌식(Computer Forensics)은 PC와 저장장치에 남아 있는 디지털 데이터를 수집·보존·분석하여 파일의 존재 여부, 사용기록, 삭제 흔적 등 사건과 관련된 사실관계를 확인하는 기술입니다.

일반적인 데이터복구와 달리 파일 자체뿐 아니라 파일이 생성·수정·삭제된 기록, 프로그램 실행 흔적, USB 연결 정보, 인터넷 사용기록 등도 분석 대상이 됩니다.

이번 글에서는 컴퓨터포렌식의 개념부터 삭제파일 복구 가능성, Windows 사용기록 분석, 기업포렌식, 법원 제출용 보고서까지 알아보겠습니다.

 

---

목차

1. 컴퓨터포렌식이란?
2. 컴퓨터포렌식과 데이터복구의 차이
3. 컴퓨터포렌식이 필요한 상황
4. 삭제된 파일도 복구할 수 있을까?
5. PC 사용기록은 어디에 남을까?
6. USB 연결 및 파일 복사 흔적 분석
7. 인터넷 방문기록과 프로그램 실행 흔적
8. MFT 분석이 중요한 이유
9. HDD와 SSD 포렌식의 차이
10. 퇴사자 PC와 기업포렌식
11. 컴퓨터포렌식 전 주의사항
12. 컴퓨터포렌식 진행 절차
13. 법원 제출용 포렌식 보고서
14. 컴퓨터포렌식 비용 결정 요소
15. 자주 묻는 질문(FAQ)

---

1. 컴퓨터포렌식이란?

컴퓨터포렌식은 컴퓨터에 저장된 디지털 정보를 분석하여 특정 사건과 관련된 기록을 확인하는 디지털포렌식 분야입니다.

분석 대상은 데스크톱, 노트북, HDD, SSD, USB 메모리, 외장하드 등 다양합니다.

Windows 운영체제에서는 파일시스템과 레지스트리, 이벤트 로그, 브라우저 기록 등을 분석할 수 있습니다.

중요한 것은 컴퓨터에 실제로 남아 있는 기록을 근거로 사실관계를 확인하는 것입니다.

포렌식은 사용자의 모든 행동을 완벽하게 재현하거나 의도를 자동으로 판단하는 기술은 아닙니다.

2. 컴퓨터포렌식과 데이터복구의 차이

컴퓨터포렌식과 데이터복구는 비슷해 보이지만 목적이 다릅니다.

데이터복구는 삭제되거나 손상된 파일을 다시 사용할 수 있도록 확보하는 데 중점을 둡니다.

반면 컴퓨터포렌식은 파일 복구뿐 아니라 파일의 생성·수정·삭제 관련 기록과 컴퓨터 사용 흔적 등을 종합적으로 분석합니다.

예를 들어 삭제된 계약서를 다시 확보하는 것은 데이터복구의 목적이 될 수 있습니다.

하지만 계약서가 언제 사용되었는지, 관련 프로그램이 실행되었는지, USB 저장장치가 연결되었는지 등을 분석하는 것은 컴퓨터포렌식의 영역입니다.

두 기술은 필요에 따라 함께 활용될 수 있습니다.

3. 컴퓨터포렌식이 필요한 상황

컴퓨터포렌식은 개인과 기업의 다양한 문제를 해결하는 데 활용됩니다.

대표적인 사례는 다음과 같습니다.

• 삭제된 문서와 파일의 복구 가능성 확인
• PC 사용기록 및 프로그램 실행 흔적 분석
• USB 저장장치 연결 기록 확인
• 회사 내부자료 삭제 및 유출 의심 조사
• 퇴사자 PC 사용기록 분석
• 인터넷 방문기록과 다운로드 흔적 확인
• 민사소송 및 형사사건 관련 디지털 자료 분석
• 파일의 생성·수정·삭제 관련 시간정보 확인

다만 분석 가능한 범위는 컴퓨터 상태와 데이터 보존 여부에 따라 달라집니다.

 

4. 삭제된 파일도 컴퓨터포렌식으로 복구할 수 있을까?

컴퓨터에서 파일을 삭제했다고 해서 모든 데이터가 즉시 물리적으로 사라지는 것은 아닙니다.

HDD의 경우 삭제된 데이터가 덮어쓰기 되지 않았다면 일부 복구 가능성이 남아 있을 수 있습니다.

그러나 SSD는 TRIM과 내부 저장관리 기능으로 인해 삭제된 파일의 원본 복구가 어려운 경우가 많습니다.

또한 운영체제 재설치나 저장장치 초기화, 암호화 상태 등에 따라서도 결과가 달라집니다.

여기서 중요한 점은 삭제파일 복구와 삭제 흔적 분석은 서로 다른 작업이라는 것입니다.

파일 원본이 복구되지 않더라도 파일명, 경로, 시간정보 등 관련 메타데이터가 남아 있는지 검토할 수 있습니다.

5. PC 사용기록은 어디에 남을까?

Windows 컴퓨터에는 여러 종류의 사용 흔적이 남을 수 있습니다.

대표적인 분석 대상은 다음과 같습니다.

• Windows 이벤트 로그: 시스템 및 일부 사용자 활동 관련 기록
• 레지스트리: 운영체제와 장치 설정 관련 정보
• Prefetch: 특정 프로그램 실행과 관련된 흔적
• LNK 파일: 파일 접근 및 바로가기 관련 정보
• Jump List: 프로그램에서 최근 사용한 파일 관련 기록
• 브라우저 기록: 웹사이트 방문 및 일부 다운로드 정보
• 파일시스템 메타데이터: 파일과 폴더의 속성 및 시간정보

이러한 기록을 함께 분석하면 특정 기간 동안 컴퓨터에서 발생한 활동을 보다 체계적으로 검토할 수 있습니다.

다만 모든 사용기록이 항상 남는 것은 아닙니다.

6. USB 연결 및 파일 복사 흔적 분석

컴퓨터포렌식에서 자주 확인하는 항목 중 하나가 USB 사용 기록입니다.

Windows에서는 USB 저장장치가 연결되는 과정에서 장치 식별정보와 관련 기록이 남을 수 있습니다.

대표적으로 USBSTOR, MountedDevices, SetupAPI 로그 등이 분석 대상이 됩니다.

이를 통해 과거 USB 저장장치의 연결 흔적이나 관련 시간정보를 검토할 수 있습니다.

하지만 USB가 연결되었다는 사실만으로 특정 파일이 복사되었다고 단정할 수는 없습니다.

Windows는 모든 파일 복사 행위를 완전하게 기록하지 않기 때문입니다.

따라서 파일 접근 기록과 USB 사용 흔적, 파일시스템 정보 등을 종합적으로 분석해야 합니다.

7. 인터넷 방문기록과 프로그램 실행 흔적

컴퓨터포렌식에서는 인터넷 사용기록도 중요한 분석 대상이 될 수 있습니다.

브라우저에 남아 있는 방문기록, 다운로드 기록, 캐시 등 관련 데이터를 검토할 수 있습니다.

또한 Prefetch와 이벤트 로그 등으로 특정 프로그램의 실행 흔적을 확인할 가능성이 있습니다.

하지만 브라우저 방문기록이 있다고 해서 특정 파일을 다운로드하거나 업로드했다고 자동으로 판단할 수는 없습니다.

프로그램 실행 흔적 역시 실제 사용 목적까지 증명하는 것은 아닙니다.

따라서 확인된 기록과 추정을 구분해야 합니다.

 

8. 컴퓨터포렌식에서 MFT 분석이 중요한 이유

Windows의 NTFS 파일시스템에서는 **MFT(Master File Table)**가 중요한 분석 대상입니다.

MFT는 파일과 폴더의 이름, 크기, 시간정보 등 메타데이터를 관리하는 구조입니다.

컴퓨터포렌식에서는 MFT를 분석하여 파일의 존재 여부와 관련 시간정보 등을 확인할 수 있습니다.

파일이 삭제된 뒤에도 관련 MFT 레코드가 남아 있다면 일부 메타데이터를 확보할 가능성이 있습니다.

다만 MFT에 기록이 남아 있다고 해서 파일 원본을 반드시 복구할 수 있는 것은 아닙니다.

또한 파일 시간정보는 복사나 이동, 프로그램 동작 등으로 변경될 수 있으므로 다른 기록과 함께 해석해야 합니다.

9. HDD와 SSD 포렌식의 차이

컴퓨터에 장착된 저장장치 종류는 포렌식 결과에 영향을 줄 수 있습니다.

HDD는 삭제된 데이터가 덮어쓰기 되지 않았다면 일부 복구 가능성이 남아 있을 수 있습니다.

반면 SSD는 TRIM과 내부 데이터 관리 방식 때문에 삭제된 파일의 원본을 확보하기 어려운 경우가 많습니다.

따라서 HDD에서 가능했던 복구 방법이 SSD에서도 동일하게 적용된다고 생각해서는 안 됩니다.

저장장치 상태, 파일시스템, 암호화 여부 등을 함께 확인해야 합니다.

10. 퇴사자 PC와 기업포렌식

기업에서는 퇴사자가 사용하던 PC의 자료 삭제나 내부정보 유출이 문제가 되는 경우가 있습니다.

예를 들어 퇴사 직전에 중요 문서에 접근한 흔적과 USB 저장장치 연결 기록이 발견될 수 있습니다.

이러한 자료를 시간순으로 정리하는 작업을 **타임라인 분석(Timeline Analysis)**이라고 합니다.

타임라인 분석은 사건의 흐름을 파악하는 데 도움이 되지만, 기록 사이의 시간적 관계만으로 자료 유출이나 위법행위를 확정할 수는 없습니다.

또한 회사 소유 PC라도 개인정보나 사적 자료가 포함될 수 있으므로 적법한 분석 권한과 범위를 먼저 확인해야 합니다.

11. 컴퓨터포렌식 전 주의해야 할 사항

중요한 파일이 삭제되었거나 증거자료 확보가 필요한 상황이라면 컴퓨터를 불필요하게 사용하지 않는 것이 좋습니다.

PC를 계속 사용하면 새로운 로그와 임시파일이 생성되고 기존 데이터가 변경될 수 있습니다.

복구 프로그램을 원본 저장장치에 설치하는 행동 역시 추가적인 데이터 변경을 일으킬 수 있습니다.

따라서 원본 보존이 중요한 사건이라면 가능한 한 현재 상태를 유지하고 전문적인 방법으로 데이터를 확보하는 것이 좋습니다.

다만 전원이 켜져 있는 컴퓨터는 암호화와 휘발성 데이터 문제를 고려해야 하므로 무조건 전원을 끄는 것이 정답은 아닙니다.

12. 컴퓨터포렌식은 어떤 절차로 진행될까?

일반적인 컴퓨터포렌식 절차는 다음과 같습니다.

① 분석 목적과 권한 확인

사건 내용, 분석 대상, 기간 및 적법한 접근 권한을 확인합니다.

② 원본 컴퓨터 및 저장장치 보존

불필요한 데이터 변경을 최소화하고 원본 상태를 기록합니다.

③ 포렌식 데이터 확보

상황에 따라 디스크 이미지 또는 분석용 복제본을 확보합니다.

④ 디지털 흔적 분석

파일시스템, USB, 프로그램 실행, 브라우저 및 시스템 기록 등을 분석합니다.

⑤ 타임라인 구성

사건과 관련된 디지털 기록을 시간순으로 정리합니다.

⑥ 분석 결과 보고서 작성

확인된 사실과 분석 방법, 결과 및 한계사항을 객관적으로 정리합니다.

 

13. 법원 제출용 컴퓨터포렌식 보고서

컴퓨터포렌식 결과는 민사소송이나 형사사건 등에서 디지털 자료로 활용될 수 있습니다.

법적 분쟁을 대비한다면 원본 보존과 데이터 확보 과정의 기록이 중요합니다.

보고서에는 분석 대상, 확보 방법, 분석 도구와 절차, 관련 기록 및 시간정보 등을 정리할 수 있습니다.

특히 실제로 확인된 사실과 분석자의 추정을 명확하게 구분해야 합니다.

또한 자료 확보의 적법성과 개인정보 보호 문제도 고려해야 합니다.

포렌식 보고서가 작성되었다는 이유만으로 법원에서 자동으로 증거로 인정되는 것은 아니므로 사건별로 법률전문가의 검토가 필요할 수 있습니다.

14. 컴퓨터포렌식 비용은 어떻게 결정될까?

컴퓨터포렌식 비용은 분석 목적과 대상 장비, 데이터 상태 등에 따라 달라집니다.

대표적인 고려 요소는 다음과 같습니다.

• 분석할 컴퓨터와 저장장치 수량
• HDD·SSD 용량 및 상태
• 삭제파일 복구 필요 여부
• USB 및 PC 사용기록 분석 범위
• 분석해야 할 기간과 데이터 양
• 암호화 및 저장장치 손상 여부
• 법원 제출용 보고서 작성 범위

예를 들어 USB 연결 기록만 확인하는 작업과 여러 대의 PC에서 자료 유출 흔적을 분석하는 작업은 필요한 시간과 범위가 다릅니다.

따라서 정확한 비용은 분석 목적과 장비 상태를 확인한 뒤 산정하는 것이 합리적입니다.

---

15. 컴퓨터포렌식 자주 묻는 질문(FAQ)

Q1. 컴퓨터포렌식으로 삭제된 파일을 복구할 수 있나요?

저장장치 종류와 삭제 방식, 이후 사용 상태 등에 따라 일부 복구가 가능한 경우가 있습니다. 하지만 모든 삭제파일을 복구할 수 있는 것은 아닙니다.

Q2. 컴퓨터 사용기록을 확인할 수 있나요?

Windows 이벤트 로그, 레지스트리, Prefetch, LNK 파일, Jump List 등 관련 기록을 분석할 수 있습니다. 다만 모든 사용자 행동이 기록되는 것은 아닙니다.

Q3. USB에 파일을 복사한 기록도 확인할 수 있나요?

USB 연결 흔적을 확인할 수 있는 경우가 있습니다. 하지만 연결 기록만으로 특정 파일의 복사 여부를 단정할 수는 없습니다.

Q4. 컴퓨터를 초기화한 뒤에도 포렌식이 가능한가요?

초기화 방식과 저장장치 종류, 암호화 및 데이터 보존 상태에 따라 달라집니다. 특히 SSD에서는 기존 파일의 원본 복구가 매우 어려울 수 있습니다.

Q5. 컴퓨터포렌식 결과를 법원에 제출할 수 있나요?

사건과 관련된 디지털 자료와 분석 보고서를 제출 자료로 검토할 수 있습니다. 다만 확보 과정의 적법성, 신뢰성, 사건과의 관련성 등을 함께 고려해야 합니다.

 

---

마무리｜컴퓨터포렌식, 삭제파일 복구보다 중요한 것은 객관적인 디지털 기록입니다

컴퓨터포렌식은 PC와 저장장치에 남아 있는 디지털 데이터를 분석하여 파일 삭제, USB 사용, 프로그램 실행, 인터넷 방문기록 등 사건과 관련된 사실관계를 확인하는 기술입니다.

특히 퇴사자 PC 조사, 기업 내부자료 유출, 민사소송 증거 확보 등에서는 원본 보존과 객관적인 분석이 중요합니다.

하지만 삭제파일이 반드시 복구되는 것은 아니며, USB 연결 기록이나 프로그램 실행 흔적만으로 특정 행위를 단정할 수도 없습니다.

실제로 확인된 기록과 추정을 구분하고 여러 디지털 흔적을 종합적으로 분석해야 합니다.

컴퓨터에 중요한 자료가 삭제되었거나 디지털 증거 확보가 필요한 상황이라면 PC를 초기화하거나 불필요하게 사용하기 전에 원본 상태를 보존하는 것이 우선입니다.

컴퓨터포렌식의 목적은 원하는 결론을 만들어내는 것이 아니라 실제로 남아 있는 데이터를 통해 당시 상황을 객관적으로 확인하는 것입니다.

 

파주포렌식데이터복구기술원 경기 파주시 금바위로 42