포렌식 복구 언제 데이터까지 복구될까?(+뜻 원리 카톡 기간 방법)

다양한 이슈들로 뉴스 통해 많이 소개되면서 휴대폰포렌식이라는 단어 한두 번 정도는 모두 들어보셨으리라 생각됩니다. 정말 중요한 정보가 들어있는데 삭제를 해버렸던가 분실, 혹은 휴대폰 기기 손상으로 인해서 복구를 하고자 하시는 분들이 계실겁니다.

 

포렌식 복구는 일반 복구 과정과는 진행 과정, 활용되는 방법 약간의 차이가 있습니다.포렌식은 민/형사 수사, 재판 등의 증거 자료로 활용되는 케이스가 많이 있습니다.

훼손이 심하거나 삭제된 지 오래되어 일반 과정으로는 되돌릴 수 없다고 판단했지만 꼭 필요한 정보라 어떤 식으로든 이를 되찾고자 함입니다.

이번 시간에는 포렌식 복구에 대한 원리와 언제의 데이터 까지 복구되는지 자세히 알아보겠습니다.

본적인 교과서 개념으로 말씀드리면, 과학적 수사 기법을 토대로 법원에 제출할 자료 수집 및 분석 등 한 사건이 종결 날 때까지의 모든 행동과 절차를 의미합니다. 포렌식으로 인정을 받기 위해서는 "법원에서의 인증"을 받아야 합니다

하지만 그 구분은 매우 어렵습니다. 대부분의 사람들이 기초 지식도 모르기 때문입니다. 일반 복구 업체 또한 모르는 곳이 90% 이상이라 해도 과언이 아닐 정도. 하지만 디지털 포렌식 전문 변호사 or 그 분야에 대해 알고 계신 분들과 상담 절차를 거치면, 대부분 자연스레 디지털 포렌식 전문가를 만날 수 있습니다.

결과적으로 포렌식을 쉽게 정리하여 말씀드리면, 포렌식 프로그램으로 정리한 자료를 보고서 형태로 만들어, 그것을 법원에 제출하고 증거로서의 가치를 충분히 가지는 것을 뜻합니다.

 

일반 복구가 데이터를 살리는 방법이라면 포렌식은 이것과 함께, 언제 어떤 방식으로 삭제된 것인지 등도 파악할 수 있어 고의성 여부에 대한 입증 자료로 활용되기도 합니다.

 

 

디지털 포렌식 이란 디지털 증거물을 분석하여 수사에 활용하는 과학수사 기법의 총칭입니다.
마치 부검하듯이 디지털 기록매체에 복원 프로그램을 사용하고, 암호 등 보안을 해제하고,  메타데이터까지 활용하거나 하드디스크 내부에 삭제로그를 저장하는 스왑파일(스왑폴더라고 하기도 한다)에서 삭제로그를 복원해 디지털 기기의 사용자나 이를 통해 오간 정보를 추적, 조사합니다. 원본의 손상을 봉쇄하기 위해 이미지를 뜨는 것이 일반적이라고 합니다.
 

컴퓨터나 스마트폰 등 각종 전자기기에서 사용자가 파일을 삭제하면 그 즉시 파일이 사라지게 됩니다.

하지만 그 사라진 파일은 우리 눈에만 보이지 않게 사라졌을뿐이지 모든 전자기기는 휴지통으로 우선적으로 파일을 넘기게 됩니다.

 

그럼 휴지통에서 지우면 사라지는 것인가? 하지만, 그 또한 휴지통에서 지우더라도 실제로는 파일 경로만 지워진 것이지 실제 파일 내용은 아직 컴퓨터,스마트폰 내부에 남아있습니다.

 

완전히 삭제되는 시점은 기기의 용량이 완전히 꽉 찬 상태에서 새로운 파일이 추가된다면 이때 옛날 자료부터 지워가면서 새로운 파일을 추가하는 것입니다.

 

경.검찰에서 수사 과정에서 포렌식을 통해 증거자료를 수집한다면 컴퓨터와 전자기기의 모든 자료를 수집하게 됩니다.

언제.어디서 저장장치를 연결했나, 사이트 접속기록, 다운로드내역, 파일 옮긴내역 등 다양한 자료들을 통해 증거자료를 수집합니다.

이를 확인하는 핵심은 레지트스리입니다. 컴퓨터를 다루다보면 종종 레지스트리 파일을 보기도 하는데요, 이러한 레지스트리에는 수많은 컴퓨터의 자료가 담겨있습니다.

 

또한, 레지스트리의 내용은 일반인들은 해석하기 힘들고 어떤 자료에 본인이 찾고자하는 자료가 담겨있는지 찾기 어려워 조작이 힘들기도합니다.

그리고 각종 캐쉬와 임시파일 및 로그데이터들은 자동적으로 전자기기를 사용하면 생기는 자료들이기 떄문에 자체적으로 백업하는 로그들이 포렌식 복구에 핵심적인 역할을 한다고 볼 수 있습니다.

디지털 포렌식은 전문 자격증을 요한다고 합니다. 증거, 감정을 요하니 공식 감정인이 있는지도 필수입니다.
자격증 or 각종 증빙 서류 여부를반드시!! 확인 후, 이용하길 권장 드립니다.

복구는 데이터 형태나, 기기의 상태, 데이터의 양등 여러 요소를 고려해서 비용이 책정 되는데요 그리고 분야에 따라서 다르며 제출 용도에 따라서도 다릅니다. 주로 확인서 증거감정서가 추가적으로 비용이 발생을 합니다.

모바일은 적게는 몇만원 부터 많게는 증거 감정서 포함 수백만원까지 갈수 있습니다.

보통 5시간 부터 15시간 이상 하루정도면 복구가 가능하다고 합니다.
 

될수 있을 가능성이 높습니다.

카카오톡은 종단간 암호를 쓰기도 하며 포렌식 검사가 가능한 점이 있습니다.

하지만 최근 애플리케이션 보안정책이 강화 됨에 설계의 문제로 인해 회사 마다 다를 수 있습니다.

1. 기존폰의 카카오톡 어플은 삭제하지 마세요

​

​새로운 핸드폰의 카카오톡에서 기존 핸드폰 대화 내용이 안 보인다거나 핸드폰이나 각종 프로그램 오류로 카카오톡이 정상 실행이 안되면별다른 주의 없이 카카오톡 어플을 삭제하고 다시 설치를 하시는 경우가 많은데

어떠한 경우에도 카카오톡 어플은 절대로 삭제하시면 안 됩니다.카카오톡은 구조상 어플 자체를 삭제하시면 카카오톡 자체 초기화가 진행되면서카톡 대화 내용 복구 및 기간 만료된 사진 동영상 복구율이 현저하게 떨어지게 되니 유의 바라며,재 로그인을 하셔도 기존의 카톡 대화방이나 사진, 동영상 등첨부 파일이 다시 보이는 경우는 없습니다.

 

오히려 기존 또는 새로운 핸드폰의 카카오톡 내용과 사진, 동영상만 삭제가 추가로

이뤄지니 참고 바라며,간혹 어떨 때는 카카오톡을 사용하는 스마트폰을 공장 초기화하고 오시는 경우도 있는데 공장 초기화 시에는 카톡 대화 내용 복구 및 기간 만료된 사진 동영상 복구 가능성이 매우 떨어지게 됩니다.

스마트폰에 이상이 있거나, 삭제한 자료 중에 카카오톡 대화 내용이나 기간 만료로 안 보이는 사진 동영상 복구가 필요한 경우라면,스마트폰에 아무런 영향도 안 주는 게 최선인 점을 유의하시는 게 좋습니다.

 

2. 기기 변경 후 기존폰 카카오톡 로그인 금지

​​지금 사용 중인 핸드폰에 중요한 카카오톡 내용과 사진 동영상 첨부파일이 있고신규로 장만한 핸드폰에서 카카오톡을 로그인하고 사용할 때는기존 핸드폰에서 카카오톡 자체 백업 복원 기능을 이용해 신규 핸드폰에 중요 대화 내용을 옮겨놓고,새로운 핸드폰에 카카오톡 설치 후 로그인을 하셔야 합니다.

만약, 이런 과정 없이 신규 핸드폰에서 카카오톡을 로그인하시면 기존폰에서 카톡 대화 내용 복구 및 기간 만료된 사진 동영상 복구를 하지 않는 이상, 다시는 기존 삭제된 카카오톡 대화와 사진 동영상 등을 보기는 힘들다고 보셔야 합니다.

 

그런데, 카카오톡 자체 백업 복원 기능을 이용해도기존 핸드폰의 카카오톡 대화 내용은 신규 핸드폰에 옮겨지나 카카오톡으로 주고 받은 사진, 동영상은 안 옮겨지기 때문에 주의가 필요합니다.

정상적인 카카오톡 백업 복원을 하고 카카오톡 대화 내용을 볼 수 있다고 해도 카카오톡으로 주고 받은 첨부파일은 기간 만료 사진 동영상이라는 메시지만 보이게 됩니다.

 

그래서, 신규로 구매한 핸드폰에서 카카오톡을 로그인하고 사용할 때는 대화 내용과 별도로 사진, 동영상, 문서, 음성 등의 중요한 카카오톡 첨부파일은 별도로 백업을 받아놔야 합니다.

카카오톡 자체 백업 복구 과정 없이, 신규폰에서 카카오톡을 이미 로그인 후 사용했다면기존 폰의 카카오톡 대화가 신규 폰에는 안 보이게 됩니다.

이런 경우, 당황하셔서 기존 폰에서 카카오톡 기존 내용이 나올까... 하고 기존폰 카카오톡 로그인을 다시 하시는 경우가 많은데,이런 경우 기존 폰의 카카오톡 자료는 당연히 안 보이면서, 신규폰에서 사용하고 저장했던 카카오톡 자료만 다시 삭제되니 주의를 하시는 게 필요합니다.

 

3. 삭제된 자료를 보존하기 위해 핸드폰 전원은 꺼 주세요​

핸드폰에서 카카오톡이나 문자메시지, 통화기록, 사진, 음성 녹음 파일도 마찬가진데어떤 자료든지 삭제를 하게 되면 우리에게는 안 보이게 되지만,삭제 후에도 일정 시간 동안은 삭제된 자료가 스마트폰 내장 메모리에 일부 남아있게 됩니다.

그래서 카카오톡 포렌식 방식으로 카카오톡이나 문자, 사진, 음성파일 등어떤 데이터든지 복구를 생각하실 거라면, 핸드폰 내장 메모리에서삭제된 카카오톡 중요 데이터를 추가 훼손 없게 잘 보존하는 게 제일 중요합니다.

 

(핸드폰 꺼 두기 힘들 때는 비행기 모드로 전환)

삭제된 데이터를 핸드폰 내장 메모리에서 보존하는 가장 좋은 방법은 아주 쉽지만 쉽게 하기 어려운 일입니다.

전원은 꺼 주셔야 하는 건데 대부분 안끄시기에 어렵습니다.

핸드폰 전원을 계속 켜 두시면 아무런 조작을 안 하더라도 자동 업데이트나 새로운 신규 데이터 유입으로 메모리 상의 삭제된 자료가 차츰 복구 불가능하게 진행이 이뤄지며,시간이 지날수록 카카오톡이나 문자, 사진, 음성 통화 녹음 등의삭제된 자료 복구 가능성은 점점 떨어지니 유의 바라겠습니다.

 

핸드폰 전원을 끄는게, 회사 업무나 중요한 일로 스마트폰을 계속 사용해야 한다면,통신사에 연락해서 빨리 다른 임시로 사용할 대체 핸드폰을 준비해 주신다거나힘들더라도 카톡 대화 내용 복구 및 기간 만료된 사진 동영상 복구가 필요한 핸드폰의 전원은 빠른 시간안에 꺼 주시는게 포렌식 복구 결과 측면에서는 유리합니다.

​