“삭제”가 아니라 “초기화(재설치)”였던 흔적들 — 아파트 관리사무소 PC 업무마비 사건 포렌식 요약

아파트 단지의 관리사무소 PC는 단순한 개인용 컴퓨터가 아닙니다. 회계, 입주민 민원, 시설 점검 이력, 각종 공문과 계약 자료까지 업무의 ‘연속성’ 자체가 PC에 묶여 있는 경우가 많습니다.

이번 사건은 관리업체 교체(퇴거) 과정에서 기존 관리업체 측이 관리업무용 PC를 “초기화”하여 업무를 마비시켰다는 의혹에서 출발했습니다. 쟁점은 명확했습니다.

* 단순히 파일 몇 개를 삭제한 것인가?

* 아니면 운영체제 재설치/포맷 등 “초기화” 수준의 행위가 있었는가?

* 초기화라면 언제, 어떤 방식으로, 얼마나 계획적으로 진행됐는가?

포렌식 감정은 감(感)이 아니라 흔적(artifact)으로 말합니다. 이 PC에서는 “삭제”로는 설명하기 어려운, 초기화(재설치+포맷)의 전형적인 흐름이 시간대별로 확인되었습니다. 

1) 핵심 결론: “단순 삭제”가 아니라 “재설치 타임라인”이 잡혔다

감정 결과에서 가장 결정적인 부분은 윈도우 설치 로그 + NTFS 메타데이터 생성시각이 서로 맞물리며, “재설치가 실제로 진행된 시간표”가 잡힌다는 점입니다

* 2025-11-20 17:45경 설치 프로그램이 구동되고 설치 미디어(install.esd)를 탐지한 정황

* 2025-11-20 17:46:28.349 NTFS 핵심 메타파일($MFT/$Secure)이 동시에 생성 → 포맷/파일시스템 재초기화 강하게 시사

* install.esd 적용(전개) 이후, 첫 부팅/초기 구성(Sysprep) 및 복구파티션(WinRE) 생성까지 설치 프로세스가 정상 완료

이건 “몇 개 파일을 지웠다”로는 나오기 어렵고, 운영체제 재설치(초기화)에서 전형적으로 등장하는 조합입니다. 

2) 시간대별로 본 “초기화 진행표(타임라인)”

설치 전 준비부터 설치 완료, 이후 첫 로그인까지가 시각(KST) 기준으로 정리했습니다.

* 2025-11-19 17:23 : 설치용 ISO 파일 접근(사전 준비)

* `OSH_v25.02_by_Remiz_64bit.iso` 접근 흔적 

* 2025-11-20 17:45:45 : 설치 프로세스 시작 

* 2025-11-20 17:46:28 : 디스크 포맷/파일시스템 재초기화 정황($MFT/$Secure 동시 생성) 

* 2025-11-20 17:49:55~17:53:30 : OS 이미지(install.esd) 전개 

* 2025-11-20 18:02:24 : 설치 엔진 후처리 종료(설치 완료 시점 판단의 핵심 근거) 

* 2025-11-21 07:08 전후 : ‘User’ 계정 최초 로그인(윈도우 이벤트 로그 Winlogon 7001로 확인) 

즉, 11/20 저녁에 재설치를 끝내고, 11/21 오전 실제 로그인/사용 정황이 이어진 흐름입니다. 

3) “어떻게” 초기화했나: 설치 USB 준비 방식과 숙련도 단서

특히 눈에 띄는 대목은 설치 미디어 준비가 “즉흥적”이라기보다 상당히 의도적이라는 점입니다.

* 설치 ISO가 커스텀 이미지(Remiz 제작)로 식별됩니다. 

* 설치 디스크는 HIKSEMI 장치, 볼륨 라벨이 `ESD-ISO`로 확인되고, Rufus 등으로 부팅 디스크를 만든 정황이 언급됩니다. 

* 일반 USB가 아니라 NVMe 외장 SSD급 설치미디어 활용, 커스텀 OS 사용 등을 근거로 IT 지식이 있는 숙련된 사용자로 판단됩니다. 

이 부분은 형사사건에서 자주 중요한 포인트가 됩니다. “실수로 눌렀다/우연히 그랬다”는 주장과 달리, 준비–실행의 연속성이 남기 때문입니다.

4) 복원 가능/불가능이 갈린 이유: SSD TRIM vs HDD 포맷 흔적

저장장치 2개(SSD, HDD)를 분리해 보면, 초기화의 파급이 더 선명해집니다.

* SSD(시스템 드라이브): 재설치 과정에서 포맷이 이뤄졌고, SSD의 TRIM 특성상 초기화 이전 데이터는 복원이 곤란/불가로 정리됩니다. 

* HDD(D 드라이브): 2025-11-21 08:56:45에 포맷된 시각이 특정됩니다. 

* HDD에서 포맷 이전 자료를 복원한 결과, 2020년 4월 이전 자료가 저장되어 있었던 것으로 정리됩니다. 

정리하면, 이 사건은 “몇 개 파일 삭제”가 아니라 시스템(SSD) 재설치 + 데이터 드라이브(HDD) 포맷의 조합으로 업무 기반을 무너뜨린 형태로 해석될 여지가 큽니다. 

5) 이런 사건을 막기 위해: 인수인계 단계에서의 최소 안전장치

이 유형의 분쟁은 “사후 복구”보다 “사전 차단”이 훨씬 저렴합니다. 관리업체 교체/퇴거가 예정되어 있다면, 최소한 아래는 권합니다.

* 인수인계 전날: 전체 백업 + 백업 검증(해시/로그 포함)

* 권한 회수: 관리자 계정, 원격접속(AnyDesk/TeamViewer 등), 클라우드 동기화 계정 즉시 정리

* 장비 반출/초기화 금지 조항: 계약서/인수인계서에 “초기화·포맷 금지 및 위반 시 책임” 명시

* 증거보전: 이상 징후 발견 즉시 전원 유지(함부로 재부팅/복구 시도 금지), 디스크 이미징 등 보전 절차 진행

6) 법적 관점: “초기화/포맷”은 어떤 책임으로 이어질 수 있나 (민·형사)

이번 사안의 핵심은 “파일 몇 개 삭제”가 아니라 업무용 PC의 운영체제 재설치(초기화) + 저장장치 포맷으로 인해 관리업무가 실제로 마비(또는 현저히 곤란)되었다는 점입니다. 

이런 행위는 통상 형사(처벌)와 민사(손해배상)가 동시에 문제됩니다.

 A. 형사책임(처벌) – 가장 직접적으로 검토되는 죄명들

 1) 컴퓨터등장애업무방해(형법 제314조 제2항)

업무용 PC/전자기록을 손괴(삭제·교란 포함)하거나, 기타 방법으로 정보처리에 장애를 발생시켜 업무를 방해하면 성립할 수 있습니다. 법정형은 5년 이하 징역 또는 1,500만원 이하 벌금(제1항과 동일)입니다. 

대법원은 이 죄가 성립하려면 결과로서 정보처리의 장애가 “현실적으로” 발생해야 한다고 봅니다(예: 사용 목적에 맞는 기능을 못 하게 됨). 

이번 건처럼 OS 재설치/디스크 포맷으로 시스템·자료 기반이 무너지면, “현실적 장애” 요건과 맞물리는 구조가 됩니다.

 2) (위력에 의한) 업무방해(형법 제314조 제1항)

형법 제314조 제1항은 위계 또는 위력으로 업무를 방해한 경우를 처벌합니다(동일하게 5년 이하 징역 또는 1,500만원 이하 벌금). 

실무에서 “포맷·자료삭제”는 (1) 314조 2항(컴퓨터 장애) 또는 (2) 314조 1항(위력) 어느 틀로든 구성되는지 함께 검토되는 편입니다(사안·공소사실 구성에 따라 달라짐).

특히 퇴사(업체 교체) 직전 업무자료를 백업/인계하지 않고 포맷·삭제해 회사 운영에 차질을 준 경우, 대법원은 업무방해 성립을 인정한 바 있습니다(대법원 2022. 1. 14. 선고 2017도16384). 

즉, “인수인계 없이 포맷/삭제 → 업무현황 파악 곤란 → 업무 차질” 구조는 형사책임 판단에서 중요하게 다뤄질 수 있습니다.

 3) 재물손괴 등(형법 제366조) – “전자기록” 자체의 효용 훼손

형법 제366조는 타인의 전자기록 등 특수매체기록을 손괴/은닉하거나 기타 방법으로 효용을 해한 행위를 처벌합니다( 3년 이하 징역 또는 700만원 이하 벌금 ). 

업무방해와 별개로, 데이터(전자기록)의 효용 훼손이 포인트가 될 때 이 조항이 함께 문제될 수 있습니다.

 4) 공소시효(참고)

형사 공소시효는 범죄의 법정형에 따라 달라지는데, 형사소송법은 “장기 10년 미만 징역·금고” 범죄의 공소시효를 7년으로 규정하고 있습니다. 

(단, 구체 사건은 죄명·가중/감경 등에 따라 달라질 수 있습니다.)

 B. 민사책임(손해배상) – “업무마비로 인한 비용·손실”을 누가 부담하나

 1) 불법행위 손해배상(민법 제750조)

고의 또는 과실의 위법행위로 타인에게 손해를 가하면 배상책임이 성립합니다. 

이 유형 사건에서 손해 항목은 보통 다음이 쟁점이 됩니다.

* 복구비용: 시스템 재구축, 프로그램 재설치, 설정 복원, 데이터 복구 시도 비용, 포렌식 비용 등

* 업무중단 손해: 관리업무 지연으로 인한 추가 인건비·외주비, 지연 손실(입주민 민원 처리 지연 등으로 현실화된 비용)

* 대체수단 비용: 임시 PC/서버 도입, 긴급 공지·문서 재작성 투입 등

 2) “개인”뿐 아니라 “관리회사(법인)” 책임이 함께 문제될 수 있음

행위자가 관리회사 소속 직원(피용자)이고 업무 관련 과정에서 발생했다면, 민법 제756조(사용자책임)로 회사도 배상책임이 문제될 수 있습니다.

또한 지시·공모 등 복수 관련자가 있으면 공동불법행위(민법 제760조)로 연대책임이 쟁점이 될 수 있습니다.

 3) 계약관계가 있으면 “채무불이행” 구조도 병행

관리용역 계약/인수인계 의무 조항이 있는 경우, 불법행위와 별도로 계약상 의무 위반(채무불이행) 책임을 구성하기도 합니다. 이때 손해배상 범위(통상손해/특별손해)는 민법 제393조 법리가 자주 인용됩니다.

 4) 소멸시효(참고)

불법행위 손해배상청구권은 손해 및 가해자를 안 날부터 3년, 불법행위일로부터 10년의 틀에서 시효가 문제됩니다.

 C. (실무 포인트) “법적 책임”을 가르는 건 결국 ‘입증 가능한 타임라인’

형사든 민사든 결론은 행위-결과-인과관계-고의(또는 과실) 입증으로 귀결됩니다. 이 사건 감정의 강점은 다음처럼 초기화의 ‘언제/어떻게’가 로그·메타데이터로 특정된다는 점입니다.

* OS 재설치 개시 및 디스크 초기화(포맷) 정황(예: $MFT/$Secure 생성, install.esd 적용, 설치 완료 시점 등) 

* HDD(D:) 포맷 시각 특정(2025-11-21 08:56:45) 

* SSD는 TRIM 특성상 과거 데이터 복원이 곤란하다는 점(“피해 회복이 어려운 방식”이라는 맥락에서 손해 산정에 영향) 

 맺음말

포렌식은 “지워졌으니 끝”이 아니라, 지운 행위 자체가 남기는 흔적을 좇는 작업입니다.

이번 건은 로그와 메타데이터가 맞물리며 재설치(초기화)의 시간표가 구체적으로 특정되는 유형이었고, 설치 준비 정황까지 함께 확인된다는 점에서 사실관계 규명에 실질적 도움이 되는 형태였습니다. 

이런 “시간표”가 잡히면, 단순 주장 다툼을 넘어 법원이 판단 가능한 사실관계로 정리됩니다.

디지털 포렌식 분석 문의

(주)스마트데이터복구SDR 

1566-5723

  #PC초기화 #윈도우초기화 #포맷 #재설치 #윈도우재설치 #데이터삭제 #업무용PC #업무마비 #업무방해 #컴퓨터업무방해