디지털포렌식 이미징은 하드디스크·스마트폰 메모리 등 저장매체의 모든 데이터를 비트 단위(bit-for-bit)로 복제하여 원본과 동일한 이미지 파일을 만드는 절차입니다. 일반 파일 복사와 달리 삭제된 파일의 흔적, 파일 시스템 정보, 빈 공간까지 그대로 복제하므로 삭제 데이터의 복원이 가능해지며, 원본과 사본의 해시값 비교로 무결성이 수학적으로 증명됩니다. 성범죄 수사에서 디지털 증거능력의 출발점이 되는 단계입니다.
불법촬영, 통신매체이용음란, 온라인 그루밍처럼 스마트폰·PC를 매개로 한 성범죄에서 이미징은 사건의 실체를 좌우합니다. 메시지나 촬영물을 삭제했더라도 이미징으로 저장매체 전체를 복제하면 삭제된 데이터 영역에 접근해 파일의 존재 여부, 촬영 시간과 장소, 전송·유포 정황까지 복원될 가능성이 있기 때문입니다.
동시에 이미징은 방어의 관문이기도 합니다. 대법원은 전자정보 압수·수색에서 영장에 기재된 혐의사실과 관련된 정보만 선별해야 하고, 그 탐색·복제·출력 과정에서 피압수자 또는 실질적 피압수자의 참여권을 보장해야 한다는 법리를 발전시켜 왔습니다. 이러한 절차가 지켜지지 않은 채 취득한 증거는 위법수집증거로서 증거능력이 부정될 수 있습니다. 즉 수사기관이 아무리 결정적인 파일을 복원했더라도, 이미징 과정의 절차가 위법하면 그 증거는 법정에서 힘을 잃을 수 있습니다. 피의자에게는 절차 하자를 다투는 탄핵 지점이 되고, 결백을 다투는 쪽에는 알리바이 검증용 위치 정보·접속 기록을 확보하는 통로가 됩니다.
일반 복사는 눈에 보이는 파일·폴더만 옮기고, 그 과정에서 생성·수정 일시 같은 메타데이터가 변경될 수 있습니다. 반면 포렌식 이미징은 활성 데이터는 물론 삭제 파일의 흔적, 파티션 정보, 미할당 영역(Unallocated Space)까지 저장매체의 모든 물리적 영역을 복제합니다. 작업 전에는 쓰기 방지(Write-blocking) 장치로 원본에 새 데이터가 기록되는 것을 차단하고, 작업 전후로 해시값을 비교하여 "복제 과정에서 아무것도 바뀌지 않았음"을 증명합니다. 이후 압수부터 법정 제출까지의 관리 이력을 기록하는 연계보관성(Chain of Custody) 문서화가 이어집니다.
기술적 요건(무결성·원본성)과 법적 요건(적법절차)이 모두 충족되어야 합니다. 실무에서 자주 다투어지는 지점은 세 가지입니다. 첫째, 영장주의 — 영장에 기재된 혐의와 관련된 정보만 탐색해야 하고, 별건 정보를 압수하려면 원칙적으로 별도 영장이 필요합니다. 둘째, 참여권 — 대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결은 제3자가 피의자 소유·관리의 저장매체를 임의제출한 경우에도 실질적 피압수자인 피의자에게 참여권 보장과 압수 목록 교부가 필요하다고 판시했습니다. 셋째, 압수 목록 교부 — 압수 완료 후 파일 목록을 피압수자에게 교부해야 합니다. 이 법리는 대법원 2022도7453 전원합의체 판결 등에서 지금도 계속 형성·발전 중입니다.
이미징으로 만들어진 사본은 분석 단계에서 키워드 검색, 파일 복원, 메타데이터 분석 등 다양한 기법으로 탐색됩니다. 이 과정에서 주요 쟁점이 되는 것은 탐색의 범위입니다. 압수·수색 영장은 혐의 사실과 관련된 정보에 한정하여 발부되므로, 영장에 기재된 범위를 넘어 사생활 영역의 파일까지 열람하는 것은 위법한 별건 압수에 해당할 수 있습니다. 실무에서는 수사관이 이미징 사본 전체를 키워드로 검색하면서 혐의와 무관한 사적 사진이나 대화를 열람하는 경우가 문제되며, 이러한 과잉 탐색은 방어 측이 증거 배제를 주장하는 근거가 됩니다. 분석 과정의 적정성을 다투기 위해서는 수사기관의 검색 키워드, 열람 파일 목록, 분석 일지를 열람·등사하여 영장 범위와 대조하는 작업이 필요합니다.
Q. 이미징과 일반 파일 복사의 가장 큰 차이는 무엇인가요? 복제 범위와 무결성 보존입니다. 일반 복사는 보이는 파일만 옮기며 메타데이터를 변경시킬 수 있지만, 이미징은 삭제 흔적과 빈 공간까지 비트 단위로 복제하고 해시값으로 원본과의 동일성을 증명해 증거능력의 기초를 만듭니다.
Q. 수사기관이 스마트폰을 이미징할 때 반드시 참여해야 하나요? 참여 의무는 없지만 형사소송법상 참여할 권리가 보장됩니다. 참여하면 영장 범위를 넘는 사적 정보 탐색 여부를 확인하고, 절차적 위법을 다툴 근거를 마련할 수 있으므로 변호인과 함께 참여 여부를 결정하는 것이 좋습니다.
Q. 공장 초기화를 하면 기록이 완전히 사라지나요? 최신 기기는 암호화가 적용되어 초기화 후 복구 가능성이 크게 낮아지는 경우가 많습니다. 다만 기기 종류, 운영체제, 초기화 방식에 따라 상황이 달라질 수 있고, 칩오프 등 전문 기법으로 일부 흔적이 확인될 가능성을 완전히 배제하기는 어렵습니다. 다만 수사나 압수수색이 예상되는 상황에서 임의로 초기화·삭제를 하는 행위는 증거인멸 시도로 의심될 수 있어 방어 전략상 매우 위험하므로, 기기 제출·비밀번호 제공·포렌식 참여 여부는 변호인과 먼저 검토하는 것이 안전합니다.
Q. 위법하게 이미징된 증거는 재판에서 전혀 사용할 수 없나요? 원칙적으로 형사소송법 제308조의2에 따라 증거능력이 부정되고, 이를 단서로 얻은 2차 증거도 배제될 수 있습니다. 다만 위법의 정도와 여러 사정을 종합해 예외를 인정한 판례도 있어, 구체적 사건에서는 변호인의 검토가 필요합니다.
Q. 이미징 과정에서 변호인이 구체적으로 확인해야 할 사항은 무엇인가요? 변호인은 이미징 현장에서 쓰기 방지 장치의 사용 여부, 이미징 전후 해시값 기록과 대조 결과, 사용된 포렌식 도구의 종류와 버전, 이미징 작업 시작·종료 시각을 확인하는 것이 중요합니다. 이 중 하나라도 기록이 누락되거나 부실하면 이후 공판에서 증거의 무결성을 다투는 구체적 근거가 되며, 참여 시 확인한 사항을 별도로 기록해 두면 방어 자료로 활용할 수 있습니다.