기술적으로는 다양한 방법이 존재한다

포렌식 전문가 입장에서 보면, 아이폰에서 데이터를 추출하는 방법은 이론적으로 여러 가지입니다.

가장 강력한 것은 이스라엘 기업 셀레브라이트(Cellebrite)나 미국의 그레이키(GrayKey) 같은 전문 장비를 이용해 아이폰 파일 시스템 깊숙이 접근하는 방식입니다. 일반 백업으로는 꺼낼 수 없는 앱 캐시, 시스템 기록, 삭제 후 아직 덮어쓰이지 않은 파일 조각까지 추출할 수 있습니다. FBI, CIA 등 미국 수사기관이 주로 사용하는 방식이며, 한국 경찰청과 검찰도 셀레브라이트 장비를 공식 도입하고 있습니다.

또 아이클라우드(iCloud)에 백업된 데이터를 법원 영장으로 애플 본사에 요청하는 방법, 같은 Apple ID로 연결된 맥북·아이패드를 함께 압수해 동기화 데이터를 확보하는 방법도 있습니다.

하지만 실제 한국 수사 현장에서 가장 많이 쓰이는 방법은 이것들이 아닙니다.

현실: 한국 수사기관의 주된 방법은 ‘백업 추출’

현장에서 수사를 지켜보다 보면 의외로 단순한 방법이 가장 많이 쓰인다는 것을 알게 됩니다.

수사관이 피의자에게 직접 아이폰 잠금을 해제해달라고 요청한 뒤, 컴퓨터에 연결해 iTunes 또는 Finder 백업 기능으로 데이터를 통째로 복사하는 방식입니다.

(물론 수사관이 수동으로 아이폰 백업파일을 복사해서 수집하지는 않습니다. 디지털 포렌식 툴이 증거를 획득할 때 백업 파일을 이용한다는 뜻입니다.)

의뢰인들과 상담하다 보면 “수사관이 아이폰을 컴퓨터에 꽂더니 뭔가를 했어요”라는 말을 자주 듣는데, 바로 이 과정입니다. 마치 이사할 때 짐을 박스에 담아 옮기듯, 아이폰 안의 데이터를 통째로 복사해서 분석하는 것이죠.

셀레브라이트 같은 고가 장비는 있지만, 실제로는 피의자가 잠금을 해제해주는 경우 굳이 그 장비를 쓸 필요 없이 백업 방식으로 충분히 데이터를 확보할 수 있기 때문입니다.

(또한 현재 수사기관이 일반적으로사용하는 모바일 디지털 포렌식 툴 – MD 시리즈 등 -이 백업파일 획득 방식을 주로 이용하는데, 이들 툴이 인터페이스가 편리하고 한국앱에 최적화되어 있어 전자정보 탐색에 유리하기도 합니다.)

그렇다면 백업으로 무엇을 볼 수 있나?

백업을 통해 확보할 수 있는 데이터는 생각보다 제한적입니다.

비교적 확보 가능한 것: 문자메시지(SMS/MMS), 사진과 동영상, 연락처·통화 기록, 이메일·메모·캘린더

카카오톡 대화 내역 — 백업 파일 안에 포함은 되지만, 카카오톡이 자체 암호화를 적용하고 있어 전용 분석 툴 없이는 내용을 바로 읽을 수 없습니다. 파일을 꺼내는 것과 내용을 보는 것은 별개의 문제입니다.

텔레그램 비밀채팅, Signal — 처음부터 백업 파일에 대화 내용을 저장하지 않도록 설계되어 있습니다.

이미 삭제한 메시지와 사진 — 백업에는 현재 남아있는 데이터만 담기기 때문에 삭제된 내용은 포함되지 않습니다.

결국 백업 방식은 “지금 아이폰에 남아있는 데이터”를 복사하는 것에 가깝습니다.

잠금을 풀어줬어도 포렌식이 막히는 경우가 있다

피의자가 잠금 해제에는 동의했더라도, 수사관이 컴퓨터에 연결하는 순간 “이 컴퓨터를 신뢰하겠습니까?”라는 팝업이 뜹니다. 이때 동의하지 않으면 백업 자체가 불가능합니다.

여기서 더 중요한 변화가 있습니다. 애플은 iOS 17.3부터 “도난 기기 보호(Stolen Device Protection)” 기능을 도입했고, iOS 18에서 더욱 강화했습니다. 이 기능이 활성화된 상태에서는 컴퓨터를 신뢰 처리할 때 비밀번호만으로는 부족하고, 반드시 Face ID 또는 Touch ID 생체인증이 필요합니다.

세계 최대 모바일 포렌식 기업인 셀레브라이트와 포렌식 보안 전문기관 ElcomSoft 모두 이 변화가 “디지털 포렌식에 심각한 문제를 초래한다”고 공식 인정한 내용입니다.

현장에서는 이런 상황이 벌어집니다. 피의자가 비밀번호는 알려줬지만 얼굴 인식을 거부하면, 컴퓨터에 연결해도 Face ID 인증 요구 팝업이 발생하고, 생체인증 없이는 iTunes 백업 기반 포렌식이 전면 차단됩니다.

게다가 수사기관 사무실처럼 낯선 장소에서는 설정 변경 시 1시간 보안 지연과 Face ID 인증 2회가 요구됩니다. 1시간을 기다려도 얼굴을 들이밀지 않으면 해결이 안 됩니다. 이것도 현행법상 강제할 법적 근거가 없습니다.

잠금 해제 자체를 거부하면 어떻게 되나?

현재 한국법상 수사기관이 피의자에게 아이폰 잠금 해제를 강제할 수 있는 법적 근거는 없습니다. 묵비권과 마찬가지로 자신에게 불리한 진술을 강요받지 않을 권리의 연장선으로 볼 수 있어, 거부하더라도 이를 이유로 처벌하거나 불이익을 주기 어렵습니다.

수사기관은 그 경우 다른 경로를 활용합니다. iCloud 백업의 경우 법원 영장으로 애플에 요청하지만, ‘고급 데이터 보호’ 활성화 시 애플도 복호화가 불가합니다. 맥북·아이패드 등 동일 계정 기기를 함께 압수하거나, 통신사에서 통화 기록·문자 발신 기록·기지국 위치 정보를 직접 확보하는 방법도 씁니다.

iOS 18부터는 아이폰이 72시간 이상 잠겨 있으면 자동 재부팅되어 전문 장비로도 접근이 막힙니다. 결국 지금 이 시점에서 수사기관이 쓸 수 있는 가장 확실한 방법은 여전히 피의자의 직접 협조입니다.

포렌식 증거, 항상 믿을 수 있는 건 아니다

직접 포렌식 감정에 참여해보면, 수사기관이 제출한 포렌식 자료에도 허점이 적지 않습니다.

적법한 압수수색 영장 없이 얻은 데이터는 위법하게 수집된 증거로 재판에서 배제됩니다(형사소송법 제308조의2). 포렌식 과정에서 데이터가 조작되거나 변형되지 않았다는 것을 수학적으로 증명하는 해시값 검증 절차도 필수입니다.

특히 백업 방식으로 추출한 경우 백업 시점 이후 삭제된 내용은 포함되지 않는다는 점, 카카오톡처럼 앱 자체 암호화가 있는 경우 파일 확보와 내용 열람은 별개라는 점은 변호인이 반드시 따져봐야 할 부분입니다. 어떤 방식으로 포렌식이 이루어졌는지에 따라 증거의 신뢰성이 달라질 수 있습니다.

법무법인 더프라임의 디지털 포렌식 대응

더프라임은 디지털 포렌식 전문 자격을 보유한 변호사 등이 직접 사건에 참여합니다. 수사기관의 포렌식 절차가 적법했는지, 데이터 추출 방식과 분석 과정에 문제는 없는지를 전문가의 시각으로 직접 검토합니다.

아이폰 포렌식 결과가 핵심 증거로 제출된 형사사건이라면, 지금 바로 상담하시기 바랍니다. 더프라임 성공사례를 통해 다양한 디지털 증거 관련 형사 대응 경험을 확인하실 수 있습니다.

법무법인 더프라임(☎ 1555-5112)
서울 강남구 봉은사로 207 10층 / 대구 수성구 청수로 133 4층