USB 사용 기록 확인 방법, 회사 PC에서 USB 연결·파일 복사 흔적까지 확인할 수 있을까?

회사에서 사용하던 컴퓨터에 USB 메모리나 외장하드가 연결된 적이 있는지 확인해야 하는 상황이 있습니다.

특히 직원이 퇴사한 뒤 고객 명단이나 계약서, 영업자료가 외부로 유출된 것으로 의심된다면 USB 사용 기록은 중요한 분석 대상이 될 수 있습니다.

그렇다면 USB를 컴퓨터에서 분리한 뒤에도 연결 기록이 남아 있을까요? USB에 어떤 파일을 복사했는지도 확인할 수 있을까요?

결론부터 말씀드리면, Windows PC에는 USB 저장장치의 연결 및 사용과 관련된 디지털 흔적이 남을 수 있습니다. 다만 USB 연결 사실과 특정 파일의 복사·유출 사실은 구분해야 합니다.

USB 포렌식은 단순히 장치가 연결되었는지 확인하는 작업이 아닙니다. 레지스트리, 시스템 로그, 파일시스템 기록 등을 종합적으로 분석하여 실제로 확인되는 사실을 정리하는 과정입니다.

이번 글에서는 USB 사용 기록 확인 방법부터 USB 연결 시간, 파일 복사 흔적, 삭제된 기록의 분석 가능성까지 자세히 알아보겠습니다.

 

---

목차

1. USB 사용 기록이란?
2. USB를 분리해도 연결 기록이 남을까?
3. USB 연결 기록은 어디에 저장될까?
4. USB 연결 시간과 마지막 사용 시간 확인
5. USB에 복사한 파일도 확인할 수 있을까?
6. USB 사용 기록과 Windows 레지스트리
7. USBSTOR와 MountedDevices의 차이
8. MFT·LNK·Jump List 분석
9. USB 사용 기록을 삭제했다면?
10. 퇴사자 PC에서 USB 사용 기록이 중요한 이유
11. USB 사용 기록 포렌식 진행 과정
12. 법원 제출용 USB 포렌식 보고서
13. 자주 묻는 질문(FAQ)

---

1. USB 사용 기록이란?

USB 사용 기록은 컴퓨터에 USB 저장장치가 연결되거나 사용되는 과정에서 운영체제와 프로그램에 남을 수 있는 디지털 정보를 의미합니다.

Windows에서는 USB 장치가 인식되는 과정에서 장치 식별정보와 드라이버 설치 관련 정보 등이 기록될 수 있습니다.

이러한 기록은 사건과 PC 환경에 따라 다음과 같은 내용을 확인하는 데 활용됩니다.

• USB 저장장치 연결 이력
• USB 장치의 제조사·모델 관련 정보
• 장치 식별정보 및 일부 일련번호
• 연결 또는 장치 설치와 관련된 시간정보
• USB에 저장된 파일을 사용한 흔적

다만 모든 USB 장치에서 동일한 정보가 확보되는 것은 아닙니다.

Windows 버전과 설정, 장치 종류, 로그 보존 상태 등에 따라 확인 가능한 정보가 달라집니다.

2. USB를 분리해도 연결 기록이 남을까?

많이 궁금해하는 질문입니다.

USB를 컴퓨터에서 제거했다고 해서 관련 기록이 반드시 모두 사라지는 것은 아닙니다.

Windows는 과거에 인식한 저장장치 정보를 레지스트리 등에 보관할 수 있습니다.

따라서 USB가 현재 연결되어 있지 않더라도 과거 연결 흔적이 존재하는지 확인할 수 있습니다.

예를 들어 직원이 퇴사하기 전에 업무용 PC에 USB를 연결했다가 분리한 경우에도 관련 장치 정보가 남아 있을 가능성이 있습니다.

하지만 USB 연결 기록이 발견되었다는 사실만으로 회사 자료를 복사하거나 유출했다고 판단해서는 안 됩니다.

연결 기록은 어디까지나 저장장치 사용 여부를 검토하는 자료입니다.

3. USB 연결 기록은 어디에 저장될까?

Windows PC에서 USB 사용 기록을 분석할 때는 여러 시스템 영역을 확인합니다.

대표적인 분석 대상은 다음과 같습니다.

분석 대상확인 가능한 정보

USBSTOR	USB 대용량 저장장치 관련 등록 정보
USB 관련 레지스트리	USB 장치 식별 및 인식 정보
MountedDevices	볼륨과 드라이브 문자 매핑 관련 정보
SetupAPI 로그	장치 설치 및 구성 관련 기록
Windows 이벤트 로그	기록이 남아 있는 경우 장치 연결 관련 이벤트
LNK 파일	파일 접근 및 저장장치 관련 흔적
Jump List	프로그램에서 사용한 파일 관련 기록
MFT	NTFS 파일시스템의 파일 메타데이터

각 기록은 서로 다른 정보를 제공합니다.

따라서 하나의 기록만 확인하기보다 여러 데이터를 비교하는 것이 좋습니다.

 

4. USB 연결 시간과 마지막 사용 시간도 확인할 수 있을까?

USB 사용 기록을 분석할 때 중요한 항목 중 하나가 시간정보입니다.

예를 들어 특정 USB 장치가 처음 인식된 시점이나 장치 설치와 관련된 시간을 확인할 수 있는 경우가 있습니다.

또한 Windows 버전과 기록 상태에 따라 연결 또는 제거와 관련된 일부 시간정보가 남을 수 있습니다.

하지만 여기서 주의할 점이 있습니다.

레지스트리에 표시되는 마지막 수정 시간이 반드시 USB를 마지막으로 연결한 시간은 아닙니다.

장치 등록, 설정 변경, 시스템 동작 등 다양한 이유로 시간이 변경될 수 있기 때문입니다.

따라서 정확한 분석을 위해서는 여러 시스템 기록을 함께 비교해야 합니다.

5. USB에 복사한 파일도 확인할 수 있을까?

“USB에 어떤 파일을 복사했는지 알 수 있나요?”

기업 내부자료 유출 조사에서 자주 등장하는 질문입니다.

하지만 Windows는 일반적으로 모든 파일 복사 행위를 완전한 기록으로 저장하지 않습니다.

따라서 USB 연결 기록만으로 특정 파일이 USB로 복사되었다고 확인할 수는 없습니다.

다만 다음과 같은 기록을 종합적으로 분석할 수 있습니다.

• 특정 파일의 접근 및 사용 흔적
• USB 저장장치 연결 관련 시간정보
• 파일 및 폴더 메타데이터
• 최근 사용 파일 기록
• 파일 탐색기와 프로그램 사용 흔적
• 적법하게 확보된 USB 원본의 파일 정보

예를 들어 회사 문서가 사용된 시간과 USB 연결 관련 시간이 가까운 경우 관련성을 검토할 수 있습니다.

그러나 시간이 일치한다는 이유만으로 실제 파일 복사가 이루어졌다고 단정할 수는 없습니다.

USB 원본이나 별도의 파일 작업 로그가 확보된다면 추가 분석에 도움이 될 수 있습니다.

6. USB 사용 기록과 Windows 레지스트리

Windows 레지스트리는 USB 포렌식에서 중요한 분석 자료입니다.

레지스트리에는 컴퓨터가 인식한 장치와 관련된 다양한 설정 및 식별정보가 기록될 수 있습니다.

대표적인 경로는 다음과 같습니다.

SYSTEM\CurrentControlSet\Enum\USBSTOR

이 영역에는 USB 대용량 저장장치의 장치 정보가 남을 수 있습니다.

다만 포렌식 이미지에서 오프라인 레지스트리 하이브를 분석할 때는 CurrentControlSet이라는 경로가 그대로 존재하지 않을 수 있습니다.

이 경우 SYSTEM 하이브의 ControlSet과 Select 정보를 확인하여 적절한 경로를 해석해야 합니다.

또한 USBSTOR에 기록된 정보만으로 특정 파일의 복사 여부까지 알 수 있는 것은 아닙니다.

7. USBSTOR와 MountedDevices는 어떤 차이가 있을까?

두 영역은 USB 포렌식에서 자주 확인하지만 역할이 다릅니다.

USBSTOR는 USB 대용량 저장장치의 장치 등록 및 식별과 관련된 정보를 제공합니다.

반면 MountedDevices는 Windows가 인식한 볼륨과 드라이브 문자 등의 매핑 정보를 확인하는 데 활용됩니다.

예를 들어 특정 볼륨이 과거에 어떤 드라이브 문자와 연결되었는지 분석할 때 참고할 수 있습니다.

다만 MountedDevices에 기록된 볼륨이 모두 USB 장치인 것은 아닙니다.

내장 저장장치와 다른 볼륨도 관련될 수 있으므로 다른 장치 기록과 함께 분석해야 합니다.

 

8. MFT·LNK·Jump List 분석이 중요한 이유

USB 사용 기록을 분석할 때 레지스트리만으로 충분하지 않은 경우가 많습니다.

이때 파일시스템과 사용자 활동 관련 아티팩트를 함께 확인합니다.

MFT 분석

MFT(Master File Table)는 Windows NTFS 파일시스템에서 파일과 폴더의 메타데이터를 관리하는 핵심 구조입니다.

파일명, 크기, 시간정보 등 관련 데이터를 분석할 수 있습니다.

다만 MFT만으로 모든 파일 복사 행위를 확인할 수는 없습니다.

LNK 파일 분석

LNK 파일은 Windows 바로가기 파일입니다.

특정 파일이나 저장장치에 접근한 흔적을 분석하는 데 도움이 될 수 있습니다.

Jump List 분석

Jump List에는 프로그램에서 최근 사용한 파일 등과 관련된 정보가 남을 수 있습니다.

이러한 자료를 USB 장치 정보와 비교하면 관련 파일 사용 정황을 보다 체계적으로 검토할 수 있습니다.

하지만 개별 흔적의 존재만으로 파일 유출을 확정해서는 안 됩니다.

9. USB 사용 기록을 삭제했다면 복구할 수 있을까?

USB 사용 기록을 삭제하거나 Windows를 재설치한 경우에도 관련 흔적이 남아 있는지 검토할 수 있습니다.

다만 모든 기록을 복구할 수 있는 것은 아닙니다.

레지스트리 데이터가 변경되었거나 로그가 덮어쓰기 되었을 수 있으며, 운영체제 재설치나 저장장치 초기화로 기존 기록을 확보하기 어려울 수도 있습니다.

특히 SSD의 TRIM 및 암호화 상태에 따라 삭제된 데이터의 원본 복구가 제한될 수 있습니다.

따라서 USB 사용 기록 삭제 여부와 복구 가능성은 실제 PC 상태를 확인해야 판단할 수 있습니다.

10. 퇴사자 PC에서 USB 사용 기록이 중요한 이유

퇴사자 PC 포렌식에서는 회사 자료 반출 여부가 중요한 쟁점이 될 수 있습니다.

예를 들어 퇴사 직전에 고객 명단이나 영업자료에 접근한 흔적이 발견되고, 같은 기간에 USB 저장장치 연결 기록이 확인되는 경우가 있습니다.

이때 USB 사용 기록은 사건의 시간적 흐름을 이해하는 데 도움이 될 수 있습니다.

하지만 이러한 기록만으로 직원이 실제로 회사 자료를 반출했다고 결론 내릴 수는 없습니다.

정상적인 업무 목적으로 USB를 사용했을 가능성도 고려해야 합니다.

따라서 USB 연결 기록, 파일 사용 흔적, 관련 시스템 기록을 종합적으로 분석하고 확인된 사실과 추정을 구분해야 합니다.

11. USB 사용 기록 포렌식은 어떻게 진행할까?

USB 포렌식은 일반적으로 다음과 같은 절차로 진행됩니다.

① 분석 목적 및 권한 확인

USB 사용 기록을 확인해야 하는 이유와 분석 대상 PC, 기간, 적법한 분석 권한을 확인합니다.

② 원본 PC 및 저장장치 보존

불필요한 PC 사용을 줄이고 원본 데이터의 변경 가능성을 최소화합니다.

③ 포렌식 이미지 확보

상황에 따라 원본 저장장치의 분석용 이미지나 복제본을 확보합니다.

④ USB 관련 시스템 기록 분석

USBSTOR, MountedDevices, SetupAPI 로그, 이벤트 로그 등을 확인합니다.

⑤ 파일 사용 흔적 분석

MFT, LNK, Jump List 등 관련 자료를 함께 검토합니다.

⑥ 타임라인 분석

USB 연결 관련 기록과 파일 사용 흔적을 시간순으로 정리합니다.

⑦ 포렌식 보고서 작성

확인된 사실과 분석의 한계, 추가 확인이 필요한 사항을 객관적으로 정리합니다.

 

12. USB 사용 기록을 법원에 제출할 수 있을까?

USB 사용 기록은 사건과 관련된 디지털 자료로 검토될 수 있습니다.

특히 영업비밀 유출, 내부자료 반출, 퇴사자 관련 민사소송 등에서 사실관계를 확인하기 위한 자료가 될 수 있습니다.

다만 USB 연결 기록이 있다는 사실만으로 자료 유출이나 위법행위가 증명되는 것은 아닙니다.

법적 분쟁에 활용할 예정이라면 다음 사항이 중요합니다.

• 원본 PC 및 데이터의 적절한 보존
• 분석 대상과 확보 과정의 기록
• 데이터 동일성 확인
• 관련 시간정보의 객관적인 해석
• 확인된 사실과 추정의 구분
• 적법한 자료 확보 및 개인정보 보호

회사 소유 PC라고 하더라도 분석 권한과 개인정보 문제를 검토해야 합니다.

실제 법원 제출 방법과 증거가치는 사건에 따라 달라질 수 있으므로 법률전문가와 함께 검토하는 것이 좋습니다.

---

13. USB 사용 기록 자주 묻는 질문(FAQ)

Q1. USB를 컴퓨터에서 제거해도 사용 기록이 남나요?

네. Windows 레지스트리와 시스템 기록 등에 과거 USB 연결 흔적이 남을 수 있습니다. 다만 PC 상태에 따라 확인 가능한 범위는 다릅니다.

Q2. USB를 마지막으로 연결한 날짜를 알 수 있나요?

일부 시스템 기록을 통해 연결 관련 시간정보를 확인할 수 있습니다. 하지만 모든 PC에서 정확한 마지막 연결 시간을 확인할 수 있는 것은 아닙니다.

Q3. USB에 복사한 파일 목록을 확인할 수 있나요?

USB 연결 기록만으로 복사한 파일 목록을 모두 확인할 수는 없습니다. 파일 사용 흔적과 USB 원본, 관련 로그 등 추가 자료를 함께 분석해야 합니다.

Q4. USB 사용 기록을 삭제하면 포렌식으로도 확인할 수 없나요?

삭제 후에도 다른 관련 흔적이 남아 있는지 검토할 수 있습니다. 다만 모든 삭제 기록이 복구되는 것은 아닙니다.

Q5. USB 사용 기록을 법원 증거로 활용할 수 있나요?

사건과 관련된 자료로 검토할 수 있습니다. 다만 적법한 확보 과정과 신뢰성, 사건과의 관련성 등을 함께 고려해야 합니다.

 

---

마무리｜USB 사용 기록, 연결 사실과 자료 유출은 구분해야 합니다

USB 사용 기록 확인은 회사 PC에서 USB 저장장치가 사용되었는지, 관련 시간정보와 파일 사용 흔적이 존재하는지 분석하는 디지털포렌식 작업입니다.

Windows 레지스트리의 USBSTOR, MountedDevices, SetupAPI 로그, 이벤트 로그와 함께 MFT, LNK, Jump List 등을 분석하면 사건과 관련된 디지털 흔적을 종합적으로 검토할 수 있습니다.

특히 퇴사자 PC나 회사 자료 유출 의심 사건에서는 USB 연결 기록이 중요한 분석 자료가 될 수 있습니다.

하지만 반드시 기억해야 할 점이 있습니다.

USB가 연결되었다는 사실과 특정 회사 파일이 USB로 복사되었다는 사실은 다릅니다.

USB 포렌식은 의심을 사실처럼 만드는 기술이 아닙니다. 컴퓨터에 실제로 남아 있는 기록을 분석하여 당시 상황을 객관적으로 확인하는 과정입니다.

회사 자료 유출이나 내부정보 반출이 의심된다면 PC를 초기화하거나 재사용하기 전에 원본을 보존하고, 적법한 범위에서 USB 사용 기록 분석을 검토하는 것이 좋습니다.

 

파주포렌식데이터복구기술원 경기 파주시 금바위로 42