디지털 증거는 디지털 형태로 저장되거나 전송되어 증거로서 가치를 가지는 정보이다.[3][7] 물리적 증거와 달리 눈에 보이지 않으며, 전자 장치에 저장된 문서·이미지·영상·음향이나 네트워크를 통해 교환되는 패킷 등이 여기에 포함된다.[3]
1. 개요
2. 디지털 증거의 유형과 특성
디지털 증거에는 문서와 이메일처럼 사람이 작성한 데이터, 접속 로그와 시스템 기록처럼 기계가 자동으로 남긴 데이터가 있다.[7] 사람의 작성물이 담은 내용은 그 주장의 진위를 살펴야 하고, 자동 기록은 기록을 생성한 시스템이 제대로 작동했는지가 검토 대상이 될 수 있다.[7]
디지털 정보는 특정 물리적 매체에만 묶이지 않는 매체독립성과 무체정보성을 가지며, 많은 양이 작은 저장 공간에 담길 수 있다.[1][2] 복제와 변조가 쉽고, 눈에 보이거나 바로 읽을 수 없는 경우가 있으며, 삭제되거나 손상될 수 있어 취급 단계마다 주의가 필요하다.[2]
저장매체에는 문서, 이미지, 영상, 음향과 같은 파일뿐 아니라 파일 시스템 정보나 삭제된 데이터의 흔적이 남을 수 있다.[3][4] 네트워크나 온라인 기록에는 패킷, 서버 접속 로그, IP 관련 기록 등이 포함될 수 있으며, 구체적으로 확인 가능한 정보는 기록의 종류와 남아 있는 데이터에 따라 달라진다.[3][6]
3. 디지털 포렌식과 데이터 수집
디지털 포렌식은 수사에서 디지털 기기의 정보를 분석해 증거를 찾거나 수사 단서를 얻는 데 활용된다.[2] 여러 사건에서 결정적 증거나 수사의 실마리를 발견한 사례가 보고되었으며, 디지털 기기 사용이 일상화된 환경에서 그 중요성이 커지고 있다.[2]
디지털 포렌식 이미징은 저장매체의 데이터를 비트 단위로 복제해 이미지 파일을 만드는 과정이다.[4] 일반 파일 복사가 눈에 보이는 파일과 폴더를 옮기는 데 그칠 수 있는 반면, 이미징은 삭제된 파일의 흔적과 파일 시스템·파티션 정보, 데이터가 저장되지 않은 공간까지 복제할 수 있다.[4]
이런 복제 범위 때문에 삭제된 메시지나 사진의 흔적을 분석할 가능성이 생기지만, 삭제된 데이터가 언제나 복구되는 것은 아니다.[4][6] 복구 가능성은 남아 있는 데이터와 기기·운영체제 등의 조건에 따라 제한될 수 있다.[6]
4. 저장매체별 분석 대상과 확인 정보
메시지나 SNS 기록에서는 대화 내용과 연락 시점별 기록을 살펴볼 수 있다.[4] 휴대전화 분석 대상에는 문자메시지, 메신저 대화, 통화 기록, 주소록과 일정 등이 포함될 수 있다.[6]
사진·영상 파일이나 그 썸네일, 메타데이터에서는 파일의 존재 여부와 촬영 시각·장소, 전송 또는 유포 정황 등을 확인할 수 있다.[4] 브라우저의 방문 기록과 캐시, 쿠키에서는 사이트 접속 여부와 검색 기록, 시간대별 활동 내역을 살펴볼 수 있다.[4]
GPS 로그, 기지국 접속 기록, Wi-Fi 접속 기록은 특정 시간대의 동선이나 현장 방문 여부를 검토하는 데 쓰일 수 있다.[4] 컴퓨터와 저장매체에서는 삭제된 문서·사진·영상, 이메일 송수신 내역, 파일 생성·수정·삭제 시점 등을 분석할 수 있으며, 실제 확인 범위는 남아 있는 기록에 좌우된다.[6]