[포렌식 사례] 엑셀(XLSX) 문서 무결성 및 위변조 징후 정밀 분석

디지털 증거의 증거 능력을 입증하기 위해서는 단순히 눈에 보이는 메타데이터를 넘어, 파일 내부의 구조적 정합성을 과학적으로 검증해야 합니다.

1. 감정 개요 및 분석 대상

본 건은 C법률사무소로부터 의뢰된 건으로, 특정 시점에 작성된 것으로 주장되는 5개의 엑셀 파일(xlsx)에 대한 진위 여부 확인을 목적으로 하였습니다. 주요 분석 사항은 문서의 생성·수정·인쇄 시각의 논리적 정합성과 인위적인 외부 도구 개입 여부입니다.

분석 대상: 업무 관련 Excel 파일 5개 

분석 일시: 2026.01.22. ~ 2026.01.26. 

분석 도구: X-Ways Forensics v19.9, Exiftool v13.15, 7-zip v23.01 

2. 디지털 포렌식 분석 방법론

문서의 신뢰성을 검증하기 위해 다각도의 분석 기법을 적용하였습니다.

패키지 구조 및 CRC 검증: xlsx 파일은 ZIP 압축 컨테이너 구조를 가집니다. 내부 엔트리의 CRC 검사를 통해 파일의 구조적 손상이나 강제 수정 징후를 확인합니다.

문서 속성 및 편집 환경 분석: docProps/core.xml 및 app.xml에서 작성자 정보, 애플리케이션 버전(v16.0300), 작업 경로(absPath) 등을 추출하여 일관성을 검토합니다.

변경 파트 스펙트럼 분석: 파일의 버전이 갱신될 때마다 동반 변화하는 내부 파트(시트, 스타일, 문자열 테이블 등)의 해시값을 대조하여 실질적인 편집 행위가 있었는지 추적합니다.

3. 주요 분석 결과 및 기술적 근거

■ 변경 파트 스펙트럼을 통한 편집 행위 입증

단순히 메타데이터(날짜)만 조작할 경우 core.xml 등 특정 파트만 변하는 것이 일반적입니다. 그러나 본 문서군은 버전 갱신 시마다 시트 데이터(worksheets), 스타일(styles), 계산 체인(calcChain) 등 평균 10~20개의 내부 파트가 동반 변경되었습니다. 이는 엑셀 엔진을 통한 정상적인 수정 및 저장 과정에서 발생하는 전형적인 흔적입니다.

■ 조작 실험 데이터와의 대조 분석

메타데이터 변경 프로그램이나 온라인 서비스를 이용해 날짜를 조작할 경우, ZIP 엔트리의 시간값 변화, 특성(Attribute) 생성, 압축 알고리즘 변경 등 인위적 개입 흔적이 반드시 남게 됩니다. 본 건에서는 이러한 조작 징후가 전혀 발견되지 않았으며, 모든 패키징 특성이 정상적인 엑셀 저장 방식과 일치하였습니다.

■ 데이터 정합성 검증

sharedStrings 분석 결과, 시트에서 참조되지 않는 '미사용 문자열'이 0개로 확인되었습니다. 이는 비정상적인 도구로 재가공되지 않고 데이터 정합성이 완벽하게 유지된 상태로 저장되었음을 의미합니다.

4. 감정인 종합 의견

제출된 5개의 엑셀 파일은 시간 정보의 상호 모순이나 인위적인 재패키징, 메타데이터 조작 도구 사용 등 명백한 위변조 징후가 확인되지 않았습니다. 따라서 해당 자료는 정상적인 작업 환경에서 순차적으로 생성 및 편집된 신뢰할 수 있는 자료로 판단됩니다.

(주)스마트데이터복구SDR은 고도화된 포렌식 분석 기술을 바탕으로 법적 분쟁의 핵심이 되는 디지털 증거의 가치를 객관적으로 입증합니다.

기술 상담: 1566-5723

분석 센터: 서울시 서초구 효령로 430 젤죤빌딩 403호