PC포렌식이란? 삭제파일 복구부터 컴퓨터 사용기록·USB 흔적 분석까지 총정리

컴퓨터에서 중요한 파일이 사라졌거나 누군가 PC를 사용한 흔적을 확인해야 한다면 어떻게 해야 할까요?

회사에서 사용하던 컴퓨터의 자료가 갑자기 삭제되거나, 퇴사자가 고객 명단을 외부로 가져간 것으로 의심되는 상황이 발생하기도 합니다. 개인적으로는 중요한 계약서나 사진을 복구해야 하거나 법적 분쟁에 필요한 디지털 자료를 확보해야 할 수도 있죠.

이럴 때 활용하는 기술이 바로 PC포렌식입니다.

PC포렌식이란 컴퓨터와 저장장치에 남아 있는 디지털 데이터를 수집·보존·분석하여 파일 삭제, 프로그램 실행, USB 연결, 인터넷 사용 등과 관련된 사실관계를 확인하는 디지털포렌식 기술입니다.

단순히 삭제된 파일을 복구하는 것뿐 아니라 컴퓨터에서 어떤 활동이 있었는지 관련 기록을 분석하는 것이 핵심입니다.

이번 글에서는 PC포렌식으로 확인할 수 있는 내용과 분석 방법, 비용, 주의사항까지 알아보겠습니다.

 

---

목차

1. PC포렌식이란?
2. PC포렌식과 데이터복구의 차이
3. PC포렌식이 필요한 대표적인 상황
4. 삭제파일 복구는 어디까지 가능할까?
5. 컴퓨터 사용기록 분석 방법
6. USB 연결 기록과 파일 복사 흔적
7. 인터넷 사용기록과 프로그램 실행 흔적
8. MFT·LNK·Jump List 분석
9. HDD와 SSD 포렌식의 차이
10. 퇴사자 PC포렌식과 기업 자료 유출
11. PC포렌식 진행 절차
12. 법원 제출용 포렌식 보고서
13. PC포렌식 비용 결정 요소
14. 자주 묻는 질문(FAQ)

---

1. PC포렌식이란?

PC포렌식(PC Forensics)은 데스크톱과 노트북 등 컴퓨터에 저장된 디지털 정보를 분석하여 특정 사건과 관련된 기록을 확인하는 기술입니다.

주요 분석 대상은 다음과 같습니다.

• 데스크톱 및 노트북
• HDD와 SSD 저장장치
• USB 메모리 및 외장하드
• Windows 파일시스템
• 레지스트리와 시스템 로그
• 브라우저 및 프로그램 사용기록

PC포렌식은 컴퓨터에 남아 있는 객관적인 기록을 바탕으로 사실관계를 확인합니다.

다만 모든 사용자 행동이 기록되는 것은 아니며, 기록이 남아 있더라도 사용자의 의도까지 자동으로 확인할 수 있는 것은 아닙니다.

2. PC포렌식과 데이터복구의 차이는?

많은 분이 PC포렌식과 데이터복구를 같은 기술이라고 생각합니다.

하지만 두 기술은 목적에 차이가 있습니다.

데이터복구는 삭제되거나 손상된 파일을 다시 확보하는 데 중점을 둡니다.

반면 PC포렌식은 파일 복구뿐 아니라 파일의 생성·수정·삭제 관련 기록과 컴퓨터 사용 흔적까지 분석합니다.

예를 들어 삭제된 엑셀 파일을 다시 확보하는 것은 데이터복구에 해당할 수 있습니다.

반면 해당 파일이 언제 사용되었는지, USB 저장장치가 연결되었는지, 관련 프로그램이 실행되었는지를 분석하는 것은 PC포렌식의 영역입니다.

실제 사건에서는 두 기술을 함께 활용하기도 합니다.

3. PC포렌식이 필요한 대표적인 상황

PC포렌식은 개인과 기업의 다양한 문제에 활용됩니다.

대표적인 사례는 다음과 같습니다.

• 중요한 문서와 파일이 삭제된 경우
• 누군가 컴퓨터를 무단으로 사용한 것으로 의심되는 경우
• USB를 통한 회사 자료 유출이 의심되는 경우
• 퇴사자의 업무용 PC 사용기록을 확인해야 하는 경우
• 인터넷 방문기록이나 프로그램 실행 흔적을 분석해야 하는 경우
• 민사소송이나 형사사건과 관련된 디지털 자료가 필요한 경우

중요한 것은 의심되는 상황과 실제 확인된 기록을 구분하는 것입니다.

PC포렌식은 원하는 결론을 만들어내는 작업이 아니라 남아 있는 데이터를 분석하는 과정입니다.

 

4. 삭제파일 복구는 어디까지 가능할까?

PC에서 파일을 삭제했다고 해서 모든 데이터가 즉시 물리적으로 사라지는 것은 아닙니다.

HDD의 경우 삭제된 데이터가 덮어쓰기 되지 않았다면 일부 복구 가능성이 남아 있을 수 있습니다.

그러나 SSD는 상황이 다릅니다.

SSD에서는 TRIM 기능과 내부 저장관리 방식 때문에 삭제된 파일의 원본 복구가 어려운 경우가 많습니다.

또한 저장장치 초기화, 운영체제 재설치, 암호화 여부에 따라서도 복구 가능성이 달라집니다.

여기서 기억해야 할 점이 있습니다.

삭제파일 원본을 복구하는 것과 파일이 존재했던 흔적을 분석하는 것은 서로 다른 작업입니다.

파일 원본이 복구되지 않더라도 관련 파일명이나 시간정보 등이 남아 있는지 검토할 수 있습니다.

5. 컴퓨터 사용기록은 어떻게 분석할까?

Windows 컴퓨터에는 운영체제와 프로그램이 생성한 다양한 사용기록이 남을 수 있습니다.

대표적인 분석 대상은 다음과 같습니다.

Windows 이벤트 로그

시스템 동작과 일부 사용자 활동에 관련된 기록을 확인할 수 있습니다.

Windows 레지스트리

USB 장치 인식과 운영체제 설정, 일부 프로그램 사용 관련 정보를 분석할 수 있습니다.

Prefetch

특정 프로그램 실행과 관련된 흔적을 확인하는 데 활용됩니다.

LNK 파일

파일 접근 및 바로가기와 관련된 정보를 분석할 수 있습니다.

Jump List

프로그램에서 최근 사용한 파일과 관련된 기록을 검토할 수 있습니다.

이러한 자료를 함께 분석하면 컴퓨터 사용과 관련된 정황을 보다 체계적으로 파악할 수 있습니다.

다만 각 기록은 생성 조건과 보존 기간이 다르므로 해석에 주의해야 합니다.

6. USB 연결 기록과 파일 복사 흔적

PC포렌식에서 자주 분석하는 항목 중 하나가 USB 사용기록입니다.

Windows에서는 USB 메모리나 외장하드가 연결될 때 장치 식별정보와 관련 기록이 남을 수 있습니다.

대표적인 분석 대상은 다음과 같습니다.

• USBSTOR 레지스트리
• MountedDevices
• SetupAPI 로그
• USB 관련 이벤트 로그
• 파일 접근 관련 기록

이러한 자료를 분석하면 과거 USB 저장장치의 연결 흔적이나 관련 시간정보를 확인할 가능성이 있습니다.

하지만 USB가 연결되었다는 사실만으로 특정 파일이 복사되었다고 단정할 수는 없습니다.

Windows가 모든 파일 복사 행위를 완전하게 기록하는 것은 아니기 때문입니다.

실제 파일 복사 여부를 검토하려면 관련 파일 사용기록과 저장장치 정보 등을 종합적으로 분석해야 합니다.

 

7. 인터넷 사용기록과 프로그램 실행 흔적

PC포렌식에서는 인터넷 사용기록도 분석 대상이 됩니다.

브라우저에 남아 있는 방문기록, 다운로드 기록, 캐시 등의 데이터를 검토할 수 있습니다.

또한 Prefetch나 이벤트 로그 등을 통해 특정 프로그램의 실행 흔적을 확인할 수 있습니다.

예를 들어 회사 컴퓨터에서 클라우드 서비스에 접속한 기록이 발견될 수 있습니다.

하지만 클라우드 서비스에 접속했다는 사실만으로 회사 자료를 업로드했다고 판단할 수는 없습니다.

실제 파일 전송 여부를 확인하려면 관련 서비스 로그 등 추가 자료가 필요할 수 있습니다.

8. MFT·LNK·Jump List 분석이 중요한 이유

PC포렌식에서는 하나의 기록보다 여러 디지털 흔적을 함께 분석하는 것이 중요합니다.

대표적인 분석 자료가 MFT, LNK, Jump List입니다.

**MFT(Master File Table)**는 NTFS 파일시스템에서 파일과 폴더의 메타데이터를 관리하는 구조입니다.

파일명, 크기, 시간정보 등을 분석하는 데 활용됩니다.

LNK 파일은 Windows 바로가기 파일로, 특정 파일이나 저장장치 접근과 관련된 정보를 포함할 수 있습니다.

Jump List는 프로그램에서 최근 사용한 파일과 관련된 기록을 제공할 수 있습니다.

이러한 정보를 종합하면 특정 파일이 사용된 정황과 관련 시간정보를 검토하는 데 도움이 됩니다.

다만 기록이 존재한다는 사실만으로 사용자의 구체적인 행동이나 의도를 확정할 수는 없습니다.

9. HDD와 SSD 포렌식은 무엇이 다를까?

PC포렌식에서는 저장장치 종류가 분석 결과에 영향을 줄 수 있습니다.

HDD는 삭제된 데이터가 덮어쓰기 되지 않았다면 일부 복구 가능성이 남아 있을 수 있습니다.

반면 SSD는 TRIM과 내부 데이터 관리 기능으로 인해 삭제된 파일의 원본 복구가 어려운 경우가 많습니다.

그렇다고 SSD에서 PC포렌식 자체가 불가능한 것은 아닙니다.

삭제파일 원본 복구가 어렵더라도 레지스트리, 시스템 로그, 파일시스템 메타데이터 등 관련 기록이 남아 있다면 분석을 검토할 수 있습니다.

10. 퇴사자 PC포렌식과 기업 자료 유출 분석

기업에서는 퇴사자가 사용하던 업무용 PC의 자료 삭제나 내부정보 유출이 문제가 되는 경우가 있습니다.

예를 들어 퇴사 직전에 중요한 문서에 접근한 기록과 USB 저장장치 연결 흔적이 발견될 수 있습니다.

이러한 기록을 시간순으로 정리하는 작업을 **타임라인 분석(Timeline Analysis)**이라고 합니다.

타임라인 분석은 사건의 흐름을 파악하는 데 도움이 됩니다.

하지만 파일 접근 시간과 USB 연결 시간이 비슷하다는 이유만으로 자료 유출이 증명되는 것은 아닙니다.

또한 회사 소유 PC라도 개인정보나 사적 자료가 포함될 수 있으므로 적법한 접근 권한과 분석 범위를 먼저 확인해야 합니다.

11. PC포렌식은 어떤 절차로 진행될까?

일반적인 PC포렌식 진행 과정은 다음과 같습니다.

① 사건 내용 및 분석 목적 확인

분석 대상과 필요한 기록, 적법한 접근 권한을 확인합니다.

② 원본 PC 보존

불필요한 사용을 줄이고 데이터 변경 가능성을 최소화합니다.

③ 포렌식 이미지 확보

상황에 따라 저장장치의 분석용 이미지 또는 복제본을 확보합니다.

④ 디지털 흔적 분석

파일시스템, USB 연결 기록, 프로그램 실행 및 인터넷 사용기록 등을 분석합니다.

⑤ 타임라인 구성

사건과 관련된 기록을 시간순으로 정리합니다.

⑥ 포렌식 보고서 작성

확인된 사실과 분석 방법, 결과 및 한계사항을 객관적으로 정리합니다.

 

12. 법원 제출용 PC포렌식 보고서

PC포렌식 결과는 민사소송이나 형사사건 등에서 디지털 자료로 활용될 수 있습니다.

법적 분쟁을 대비한다면 원본 보존과 데이터 확보 과정의 기록이 중요합니다.

보고서에는 분석 대상, 확보 방법, 분석 절차, 확인된 기록과 시간정보 등을 정리할 수 있습니다.

특히 확인된 사실과 분석자의 추정을 구분하는 것이 중요합니다.

또한 자료 확보의 적법성과 개인정보 보호 문제도 고려해야 합니다.

포렌식 보고서가 작성되었다는 이유만으로 법원에서 자동으로 증거로 인정되는 것은 아닙니다.

13. PC포렌식 비용은 어떻게 결정될까?

PC포렌식 비용은 분석 목적과 대상 장비, 데이터 상태 등에 따라 달라집니다.

주요 고려 요소는 다음과 같습니다.

• 분석할 PC와 저장장치 수량
• HDD·SSD 용량 및 상태
• 삭제파일 복구 필요 여부
• USB 및 PC 사용기록 분석 범위
• 분석 대상 기간과 데이터 양
• 암호화 및 저장장치 손상 여부
• 포렌식 보고서 작성 범위

예를 들어 USB 연결 기록만 확인하는 작업과 여러 대의 컴퓨터에서 회사 자료 유출 흔적을 분석하는 작업은 필요한 시간과 범위가 다릅니다.

따라서 정확한 비용은 분석 목적과 장비 상태를 확인한 뒤 산정하는 것이 합리적입니다.

---

14. PC포렌식 자주 묻는 질문(FAQ)

Q1. PC포렌식으로 삭제된 파일을 복구할 수 있나요?

저장장치 종류와 삭제 방식, 이후 사용 상태에 따라 일부 복구가 가능한 경우가 있습니다. 하지만 모든 삭제파일을 복구할 수 있는 것은 아닙니다.

Q2. 컴퓨터 사용기록을 확인할 수 있나요?

Windows 이벤트 로그, 레지스트리, Prefetch, LNK, Jump List 등 관련 기록을 분석할 수 있습니다. 다만 모든 사용자 행동이 기록되는 것은 아닙니다.

Q3. USB에 파일을 복사한 기록도 확인할 수 있나요?

USB 연결 흔적을 확인할 수 있는 경우가 있습니다. 하지만 연결 기록만으로 특정 파일의 복사 여부를 단정할 수는 없습니다.

Q4. 컴퓨터를 초기화한 뒤에도 PC포렌식이 가능한가요?

초기화 방식과 저장장치 종류, 암호화 및 데이터 보존 상태에 따라 달라집니다. 특히 SSD에서는 기존 파일의 원본 복구가 매우 어려울 수 있습니다.

Q5. PC포렌식 결과를 법원에 제출할 수 있나요?

사건과 관련된 디지털 자료와 분석 보고서를 제출 자료로 검토할 수 있습니다. 다만 확보 과정의 적법성, 신뢰성, 사건과의 관련성 등을 함께 고려해야 합니다.

 

---

마무리｜PC포렌식은 컴퓨터에 남아 있는 기록을 확인하는 기술입니다

PC포렌식은 컴퓨터와 저장장치에 남아 있는 디지털 데이터를 분석하여 파일 삭제, USB 사용, 프로그램 실행, 인터넷 방문 등 사건과 관련된 사실관계를 확인하는 기술입니다.

특히 퇴사자 PC 조사, 기업 내부자료 유출, 민사소송 증거 확보 등에서는 원본 보존과 객관적인 분석이 중요합니다.

하지만 삭제된 파일을 반드시 복구할 수 있는 것은 아니며, USB 연결 기록이나 프로그램 실행 흔적만으로 특정 행위를 단정할 수도 없습니다.

중요한 것은 여러 디지털 기록을 종합적으로 분석하고 확인된 사실과 추정을 명확하게 구분하는 것입니다.

PC에서 중요한 자료가 삭제되었거나 디지털 증거 확보가 필요한 상황이라면 컴퓨터를 초기화하거나 불필요하게 사용하기 전에 원본을 보존하는 것이 우선입니다.

PC포렌식의 목적은 원하는 결론을 만드는 것이 아니라 실제로 남아 있는 디지털 기록을 통해 당시 상황을 객관적으로 확인하는 것입니다.

 

파주포렌식데이터복구기술원 경기 파주시 금바위로 42