모바일 포렌식 이미지 파일의 획득과 보관·폐기에 관한 연구 = A Study on the Acquisition, Retention and Disposal of Mobile Forensic Image Files

국문 초록 (Abstract)

최근 검찰의 디지털수사망(D-NET, Digital Forensic Investigation Network)에 등록된 ‘이미지 파일’에 대하여 법조계와 일부 언론에서 논란이 제기되고 있다. 특히 2024년 3월 일부 언론에서는 검찰이 임의제출 또는 압수한 스마트폰의 이미지 파일을 디지털수사망(D-NET) 서버에 불법적으로 보관하고 있다며 비판하였다. 뉴스버스, “[단독] 검찰, 휴대전화 통째 정보 당사자 몰래 불법 수집”, (2024. 3. 21.), <!-- Not Allowed Tag Filtered --><https:>//www.newsverse.kr/news/articleView.html?idxno=5054>.
이에 대검찰청은 ‘공판과정에서 원본성, 동일성 등 증거능력에 대한 다툼이 있을 때를 대비해 대검찰청 예규(디지털 증거의 수집·분석 및 관리 규정)에 따라 사후 검증용으로만 이미지 파일을 보관하는 것’이라며 반박하였다. 연합뉴스, “검찰, ‘영장범위 밖 압수물 보관’ 주장에 ”검증용…엄격 운영“”, (2024. 3. 23.), <!-- Not Allowed Tag Filtered --><https:>//www.yna.co.kr/view/AKR20240323048600004?input=1195m>
그러나 이러한 검찰의 주장에 대한 언론과 법조계의 태도는 회의적이다. 한겨레, “압수폰 정보 통째 보관 검찰 “재판 대비용”, 판사 “왜 필요?”“, (2024. 3. 25.), <!-- Not Allowed Tag Filtered --><https:>//www.hani.co.kr/arti/society/society_general/1133645.html> ; 김승규, 이경렬, “복제 압수된 모바일 이미지 파일의 보관 및 폐기에 관한 연구”, 「형사법의 신동향」, 제84권(2024), 189면; 조은별, “수사 기관에서의 이미지 파일 보관 필요성에 관한 고찰”, 「형사법의 신동향」, 제88권(2025), 154면.
사건과 무관한 개인정보가 포함된 이미지 파일이 폐기되지 않고 보관되는 것은 헌법 및 형사소송법에 위반된다는 것이다.
특히 스마트폰과 같은 모바일 기기는 개인이 일상 대부분의 시간을 함께하는 매체로서, 방대한 양의 사적 정보와 활동 이력이 저장되어있다. 그러나 기술적 한계로 인하여 모바일 전자정보는 형사소송법 제106조 제1항 및 제3항에 따라 현장에서 선별하지 않고, 매체 자체를 수사기관으로 반출하여 전부복제한 이미지 파일을 획득한 뒤, 이미지 파일에서 선별하는 방식으로 압수된다.
많은 선행연구 논문들을 통해 모바일 기기의 특수성과 현장 선별 압수의 어려움이 지적되고 개선방안이 연구되었으나 오늘날까지도 모바일 기기는 현장 선별 없이 매체를 반출하고 전부복제 이미징 후 선별을 하고 있다. 그리고 여전히 언론과 법조계 일각에서는 모바일 기기가 컴퓨터와 구조·보안체계 측면에서 어떻게 다른지, 그리고 왜 현장에서의 선별 압수가 불가능하여 전부복제 이미징이 불가피한지에 대한 이해가 충분하지 않은 것으로 보인다.
이에 본 연구는 모바일 포렌식에서 현장 선별이 기술적으로 곤란한 원인을 규명하고, 현재 시점의 기술로도 전부복제 이미징이 불가피한지를 실증적으로 검증하는 것을 목적으로 한다. 이를 위해 논란의 핵심인 ‘이미지 파일’의 개념과 기능을 분석하고, 현재 검찰의 모바일 포렌식 압수 절차를 살펴보면서 선별 압수의 기술적 한계와 전부복제 이미징의 필요성을 검토한다. 또한 수사기관의 주요 포렌식 도구에 내장된 ‘앱별 선별획득’ 기능 실험을 통해 데이터를 추출하고, 전부복제한 이미지파일과 선별 획득한 이미지파일의 획득 데이터의 범위 및 구조를 비교·분석하여 선별획득의 한계와 전부복제 이미지파일의 필요성을 평가하였다.
더하여 본 연구는 선별 후 모바일 이미지 파일의 법적 지위와 그 보관·폐기의 정당성에 관하여 헌법과 형사소송법적 쟁점을 중심으로 분석하였다. 이를 통해 이미지 파일이 선별 이후 어떠한 법적 지위를 가지는지, 그리고 그 보관 또는 폐기의 정당성이 헌법과 형사소송법상 어떤 한계를 지니는지를 분석하고, 이에 대한 법원과 검찰, 학계의 의견을 정리하였다.
아울러 본 연구에서는 영미법계·대륙법계 국가들의 법제·판례·지침을 비교법적으로 분석하여, 모바일 기기의 압수 방식과 이미지 파일의 보관·폐기 절차에 관한 국제적 규범과 실무 기준을 종합적으로 검토하였다. 특히 모바일 이미지 파일의 획득과 보관·폐기에 대한 각국의 법령, 판례, 지침, 실무를 종합 비교함으로써, 국내 실무의 제도적 공백을 보완할 객관적 기준과 시사점을 제시하였다. 모바일 이미지 파일의 획득과 보관·폐기에 관한 국제 비교법적 접근은 기존 모바일 포렌식 연구에서 다루어지지 않았던 영역으로, 모바일 포렌식의 국제적 규범을 국내 주요 논의와 비교·접목시켰다는 점에서 의의가 있다.
마지막으로 본 연구는 국내 법적 쟁점과 해외 사례 분석을 토대로, 이미지 파일 보관의 필요성과 증거능력 입증 요건을 가상의 공판 시나리오를 설정하여 기술적으로 검증하고, 이를 체계화한 ‘이미지 파일의 조건부 보관 모델’을 제시하였다. 공판 과정에서 이미지 파일의 보관 여부가 디지털 증거의 증거능력 인정에 미치는 영향을 분석한 결과, 동일성·원본성·진정성 및 진정성립에 관한 다툼이 발생하는 경우 선별이미지 파일만으로는 충분한 입증이 곤란하고, 보관된 전부복제 이미지 파일을 통해서만 재현·검증이 가능한 영역이 존재함을 확인하였다.
그러나 현행 수사기관의 예규와 실무에는 이미지 파일 보관의 필요성을 판단할 수 있는 구체적 기준과 절차가 마련되어 있지 않아, 보관 여부가 개별 사건마다 수사기관의 재량에 의존하고 있다는 한계가 드러났다. 이에 본 연구는 이미지 파일의 무제한적인 보관을 제한하되, 공판 단계의 재현·검증 필요성이 객관적으로 예측되는 경우에 한하여 예외적으로 보관을 허용하는 ‘이미지 파일의 조건부 보관 모델’을 제안하였다.
구체적으로, 기술적 측면에서는 ①삭제 데이터를 복구한 데이터의 압수 여부, ②암호화된 파일의 압수 여부, ③다중 사용자 계정의 존재, ④기기 초기화 흔적 등 데이터 위·변조 흔적의 유무를 핵심 판단 기준으로 설정하고, 이 중 하나라도 해당하는 경우에는 공판에서의 동일성·원본성·진정성 검증을 위해 이미지 파일 보관의 필요성이 인정될 수 있음을 제시하였다. 또한 법적 측면에서는 ①피압수자의 증거인멸 우려 정도와 ②압수·수색 과정에서 피압수자의 비협조 등을 판단 요소로 삼아, 이미지 파일 보관의 필요성을 사건별·상황별로 조건화하여 판단할 수 있는 기준을 ‘체크리스트’ 방식으로 수사기관에서 사용할 수 있도록 제안하였다.
이와 같은 이미지 파일의 기술적·법적 조건부 보관 모델은 수사기관의 무분별한 이미지 파일의 보관을 방지하면서도, 공판 단계에서 디지털 증거의 무결성·동일성·진정성을 입증할 수 있는 합리적 판단 기준을 마련한다는 점에서 의미가 있다. 이를 통해 본 연구가 실체적 진실의 발견과 적법절차의 조화를 실현하기 위한 구체적 기준으로 기능하기를 기대한다.

주요어 : 모바일 포렌식, 이미지 파일, 이미징, 선별획득, 이미지 파일의 보관, 이미지파일의 폐기

다국어 초록 (Multilingual Abstract)

Recent controversies have arisen in Korea concerning the storage of “image files” registered in the Prosecutors’ Digital Forensic Investigation Network (D-NET). In March 2024, several media outlets criticized the prosecution for allegedly storing forensic images of smartphones—either voluntarily submitted or seized—on D-NET servers without legal authorization. In response, the Supreme Prosecutors’ Office asserted that such image files are retained strictly for post hoc verification purposes, in accordance with internal regulations, to address potential disputes over evidentiary admissibility, including authenticity and integrity, during trial proceedings. Despite this explanation, skepticism persists within the media and legal community, with critics arguing that the retention of image files containing personal data unrelated to the alleged offense violates constitutional principles and the Criminal Procedure Act.

Smartphones and other mobile devices function as intimate personal media that store extensive records of individuals’ private lives and daily activities. Owing to technical constraints, however, mobile electronic data cannot be selectively seized on site under Articles 106(1) and 106(3) of the Criminal Procedure Act. Instead, investigative authorities take possession of the physical device, acquire a forensic image, and subsequently perform data selection and analysis from that image file.

Although numerous prior studies have highlighted the distinctive characteristics of mobile devices and the challenges of on-site selective seizure, the prevailing investigative practice continues to rely on full imaging without prior selection. At the same time, parts of the media and legal profession appear to lack sufficient understanding of how mobile devices differ structurally and in terms of security architecture from computers, and why full forensic imaging remains technically unavoidable at the investigative stage.

Against this backdrop, this study aims to identify the technical reasons why on-site selective acquisition is infeasible in mobile forensics and to empirically examine whether full forensic imaging remains unavoidable under current technological conditions. To this end, the study analyzes the concept and function of “image files,” which lie at the center of the controversy, and reviews the prosecution’s mobile forensic seizure procedures to assess the technical limitations of selective acquisition and the necessity of full imaging. In addition, experimental data extraction was conducted using the “application-based selective acquisition” functions embedded in major forensic tools used by investigative authorities. By comparing the scope and structure of data obtained through selective acquisition with those obtained from full forensic images, the study evaluates the inherent limitations of selective methods and the continued necessity of full imaging.

Furthermore, this research examines the legal status of mobile forensic image files after data selection and analyzes the constitutional and criminal procedural justifications for their retention or destruction. Focusing on issues under constitutional law and the Criminal Procedure Act, the study explores the legal status of image files following selection, the limits of their lawful retention, and the conditions under which destruction is required. In doing so, it systematically reviews and synthesizes perspectives from the judiciary, prosecution, and academic scholarship.

In addition, the study conducts a comparative legal analysis of legislation, case law, and investigative guidelines in both common law and civil law jurisdictions. By examining international norms and practices governing mobile device seizure and the retention or disposal of forensic image files, the study provides an objective comparative framework to address institutional gaps in domestic practice. This international comparative approach to the acquisition, retention, and disposal of mobile forensic image files represents an area largely unexplored in prior mobile forensics research and contributes by integrating global standards into the domestic legal discourse.

Finally, based on an analysis of domestic legal issues and foreign practices, this study proposes a “conditional retention model for image files.” Through a hypothetical trial scenario, the necessity of image file retention and the requirements for establishing evidentiary admissibility are technically examined. The analysis demonstrates that, in disputes concerning identity, originality, authenticity, or the establishment of authenticity, selectively acquired image files alone are often insufficient, and that certain aspects of verification and reproducibility are possible only through retained full forensic images.

However, current prosecutorial regulations and investigative practices lack concrete standards and procedures for determining whether image files should be retained, leaving such decisions largely to discretionary judgment on a case-by-case basis. To address this limitation, the study proposes a conditional retention model that restricts unlimited storage while permitting exceptional retention only where the need for reproducibility and verification at trial can be objectively anticipated.

Specifically, from a technical perspective, the model identifies the following key criteria: (1) the seizure of recovered deleted data, (2) the presence of encrypted files, (3) the existence of multiple user accounts, and (4) indications of data tampering, such as device reset traces. If any of these conditions are met, retention of the image file may be justified to enable verification of identity, originality, and authenticity at trial. From a legal perspective, the model incorporates factors such as (1) the risk of evidence destruction by the subject of seizure and (2) non-cooperation during the seizure and search process. These factors are structured in a checklist format to guide investigative authorities in making conditional, case-specific retention decisions.

This technical and legal conditional retention model aims to prevent indiscriminate storage of forensic image files while simultaneously providing a rational framework for preserving the integrity, identity, and authenticity of digital evidence in judicial proceedings. Ultimately, this study seeks to contribute concrete standards that reconcile the discovery of substantive truth with the requirements of due process.

keywords : Mobile forensics, Image file, Forensic imaging, Selective extraction, Retention of image files, Disposal of image files.

목차 (Table of Contents)

• 목 차
• 제 1 장 서 론 1
• 제 1 절 연구의 배경 및 목적 1
• 1. 연구의 배경 1
• 2. 연구의 필요성 4
• 3. 연구의 목적 6
• 제 2 절 선행연구 검토 및 연구의 내용과 방법 7
• 1. 선행연구 검토 7
• 2. 연구의 내용과 방법 11
• 제 2 장 모바일의 특수성 15
• 제 1 절 모바일의 저장구조 15
• 1. SoC 기반의 통합 저장과 Sandbox 격리 구조 15
• 2. SQLite 데이터베이스 18
• 제 2 절 모바일의 암호화 및 보안 22
• 1. 하드웨어 수준: 신뢰실행환경(TEE)의 암호화 키 관리 23
• 2. 운영체제 수준: 전체디스크암호화(FDE)/파일기반암호화(FBE)/보안정책 26
• 3. 애플리케이션 수준의 암호화 34
• 제 3 절 소결 37
• 제 3 장 선별 전 모바일 전부이미징의 필요성 39
• 제 1 절 이미지 파일의 개념 39
• 1. 이미지 파일의 정의 39
• 2. 이미지 파일의 종류(물리·논리/전부·선별)와 형태 45
• 제 2 절 검찰의 모바일 포렌식 압수 절차 56
• 1. 검찰의 모바일 압수 절차 개요 56
• 2. 현장선별곤란으로 인한 기기 반출 60
• 3. 선별복제곤란으로 인한 전부복제(이미징) 63
• 제 3 절 ‘전부이미징’ vs ‘앱별 선별 획득’ 실험 64
• 1. 실험의 목적 64
• 2. 실험의 설계 및 방법 66
• 3. 실험 결과와 한계 69
• 제 4 절 소결 102
• 제 4 장 선별 후 이미지 파일 보관의 법적 평가 103
• 제 1 절 헌법상 기본권과의 관계 103
• 1. 사생활의 비밀과 자유 및 개인정보자기결정권 103
• 2. 비례의 원칙 108
• 3. 적법절차의 원칙 및 영장주의 116
• 제 2 절 형사소송법상 무관정보 폐기 의무 119
• 1. 선별압수원칙 119
• 2. 무관정보 폐기 의무 122
• 제 3 절 이미지 파일 보관 관련 견해 126
• 1. 이미지 파일 보관의 필요성 인정 126
• 2. 이미지 파일의 삭제·폐기 필요 133
• 3. 법원 판례 및 결정: 무관정보 폐기, 별건 활용 금지 137
• 제 4 절 소결 151
• 제 5 장 해외 사례 152
• 제 1 절 미국 153
• 1. 모바일 기기의 압수 방법 153
• 2. 이미지 파일의 보관 및 폐기 166
• 제 2 절 영국 173
• 1. 모바일 기기의 압수 방법 173
• 2. 이미지 파일의 보관 및 폐기 179
• 제 3 절 독일 184
• 1. 모바일 기기의 압수 방법 184
• 2. 이미지 파일의 보관 및 폐기 187
• 제 4 절 네덜란드 189
• 1. 모바일 기기의 압수 방법 190
• 2. 이미지 파일의 보관 및 폐기 192
• 제 5 절 소결 196
• 1. 국가별 규제 방식 비교 196
• 2. 시사점 199
• 제 6 장 이미지 파일 보관의 필요성 검증 201
• 제 1 절 해시값 검증의 한계 201
• 1. 해시값의 전통적 역할과 한계 201
• 2. 데이터 저장 방식의 변화: 데이터베이스 202
• 3. 과학적 증거로서의 요건: ISO/IEC 27042와 재현성 203
• 4. 모바일 분석 보고서(엑셀) 파일 압수의 한계 204
• 제 2 절 공판 중 증거능력 입증 시나리오 205
• 1. 시나리오 설정: 마약 매매 사건 205
• 제 3 절 증거능력 입증 대응 및 분석 결과 208
• 1. 원본성·동일성 입증 209
• 2. 진정성 입증 212
• 3. 진정성립 입증 215
• 제 4 절 소결 220
• 제 7 장 이미지 파일의 조건부 보관 모델 제안 222
• 제 1 절 기술적 체크리스트 223
• 1. 삭제된 데이터의 복구데이터 압수 223
• 2. 개별 암호화 파일의 압수 225
• 3. 다중 사용자 계정 또는 공용기기 사용 226
• 4. 기기 초기화 또는 데이터 위변조 흔적 228
• 제 2 절 법적 체크리스트 230
• 1. 피압수자의 증거인멸 우려 230
• 2. 압수·수색 과정에서의 비협조적 태도 232
• 제 3 절 평가 및 기대효과 233
• 1. 무분별한 이미지 파일 보관 방지 234
• 2. 공판 중 디지털 증거의 동일성·진정성 입증 강화 235
• 3. 실체적 진실 발견과 적법절차의 조화 실현 235
• 4. 조건 모델의 한계 및 보완 방안: ‘위장된 협조’ 237
• 제 4 절 소결 238
• 제 8 장 결론 241
• 제 1 절 연구 결과 요약 241
• 제 2 절 연구의 의의와 한계 245
• 제 3 절 향후 연구 방향 및 제언 246
• 참고문헌 248
• Abstract 258