(이미지제공=파주 포렌식 데이터복구 기술원)
스마트폰 포렌식 문의에서 많은 관심을 받는 분야 중 하나가 삭제된 카카오톡이나 사진·동영상 복구다. 다만 지웠다고 해서 모두 되살아나는 것은 아니며, 기기 상태에 따라 결과가 크게 달라진다.
■ 무엇이 복구 여부를 가르나
복구 가능 여부는 스마트폰 기종과 운영체제, 앱 버전, 삭제 방법, 삭제 이후 사용량, 백업 여부, 암호화 및 보안 구조 등에 따라 달라질 수 있다. 최근 스마트폰은 사용자 데이터를 암호화해 저장하기 때문에 과거 저장장치처럼 단순히 삭제 영역을 검색한다고 모든 파일을 복구할 수 있는 구조는 아니다.
특히 공장초기화가 정상적으로 진행된 최신 스마트폰에서는 암호화 구조의 영향으로 초기화 이전 사용자 데이터를 직접 복구하는 것이 매우 어려울 수 있다. 그래서 같은 ‘삭제’라도 언제 어떤 방식으로 지워졌는지, 이후 기기를 얼마나 사용했는지가 함께 검토된다.
■ 복구인가, 분석인가
일반적인 데이터복구는 삭제되거나 정상적으로 접근할 수 없게 된 사진, 동영상, 문서 등의 데이터를 다시 확보하는 데 목적이 있다. 반면 디지털 포렌식은 확보 가능한 디지털 데이터를 분석해 언제, 어떤 정보가 생성·변경됐는지 등 객관적인 흔적을 확인하는 데 초점을 맞춘다.
카카오톡 대화가 사라진 경우를 예로 들면, 단순 복구에서는 해당 데이터를 다시 확보할 수 있는지를 확인하지만 포렌식 분석에서는 필요에 따라 확보 가능한 메시지와 파일, 날짜·시간 등 관련 정보를 함께 검토할 수 있다. 일산 포렌식을 알아보고 있다면 먼저 ‘삭제 파일 복구’가 목적인지, ‘디지털 증거 분석’이 필요한지를 구분하는 것이 좋다.
■ 업체 설명에서 볼 것
포렌식 업체를 선택할 때는 ‘무조건 복구’, ‘100% 복구 가능’이라는 설명보다 현재 기기의 상태와 데이터 종류를 먼저 확인하고 복구 가능성과 한계를 함께 설명하는지 살펴보는 것이 중요하다. 디지털 포렌식은 프로그램 하나를 실행해 결과를 얻는 작업으로 보기 어렵고, 스마트폰과 저장장치의 종류·운영체제·암호화 방식·고장 상태에 따라 데이터 확보와 분석 방법이 달라질 수 있기 때문이다.
분석 목적을 먼저 확인하는지, 원본 보존 절차를 중요하게 다루는지, 분석 결과를 어떤 형태로 제공하는지도 함께 확인해 볼 만하다.
■ 지워진 것을 확인했다면
삭제된 데이터라면 추가 사용을 최소화하는 것이 기본적인 대응 방법이다. 무작정 여러 복구 프로그램을 사용하는 것보다 먼저 저장장치의 상태를 확인하는 것이 중요하다.
파주 포렌식 데이터복구 기술원(대표번호 1577-6254)은 스마트폰을 비롯해 각종 디지털 저장장치에서 확보 가능한 데이터를 분석하고, 데이터복구 및 디지털 포렌식 관련 업무를 진행하고 있다. 결국 중요한 것은 남아 있는 데이터를 최대한 보존하고 확보 가능한 정보를 객관적으로 확인하는 일이다.
■ 고장폰과 블랙박스도 대상
문의 대상은 삭제된 파일에만 한정되지 않는다. 화면이 나오지 않거나 전원이 켜지지 않는 고장 스마트폰의 데이터복구도 포함될 수 있는데, 전원이 켜지지 않는 것과 데이터가 삭제된 것은 서로 다른 문제이므로 고장 원인을 먼저 확인해야 한다.
최신 스마트폰은 저장된 사용자 데이터가 암호화돼 있어 단순히 메모리 칩만 분리한다고 사진과 동영상이 바로 나타나지 않는다. 경우에 따라 원래 메인보드에서 데이터에 접근할 수 있도록 필요한 기능을 복원한 뒤 데이터를 확보해야 할 수도 있어, 데이터가 중요하다면 원래 메인보드를 보존하는 것이 중요하다.
자동차 블랙박스 역시 대표적인 분석 대상이다. 파일 정보가 삭제됐더라도 실제 영상 데이터가 남아 있다면 복구 가능성을 확인할 수 있지만, 순환녹화 과정에서 기존 영상이 새 영상으로 실제 덮어쓰기됐다면 일반적인 데이터복구로 되돌리기는 어렵다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
