퇴사자가 PC를 포맷하고 떠났다. 디지털 포렌식으로 진실을 파악한다

기업에서 실제로 자주 발생하는 문제 중 하나가 있습니다. 바로 퇴사자가 사용하던 PC를 초기화하거나 포맷한 뒤 회사를 떠나는 상황입니다.

“이미 포맷까지 했는데, 이제는 아무것도 남아 있지 않겠죠?” 이런 질문을 많이 받지만, 디지털 포렌식 관점에서는 이야기가 달라집니다. 포맷이 곧 모든 흔적의 소멸을 의미하지는 않습니다. 오히려 포맷 자체가 중요한 조사 단서가 되는 경우도 많습니다.

포맷했다고 모든 것이 사라지는 것은 아닙니다

일반 사용자는 포맷을 하면 데이터가 완전히 지워진다고 생각하는 경우가 많습니다. 그러나 저장장치 구조를 기준으로 보면, 포맷은 상당수 경우 파일의 실제 내용을 즉시 완전 삭제하는 것이 아니라 파일이 존재하던 위치 정보와 관리 구조를 다시 설정하는 작업에 가깝습니다.

이 때문에 포맷 이후에도 삭제된 파일명, 폴더 구조, 접근 시간, 이동 이력, USB 연결 흔적, 특정 프로그램 실행 기록 등은 분석으로 확인될 가능성이 높습니다.

포맷 이후에도 남을 수 있는 대표 흔적

1. 삭제된 파일명과 폴더 구조

문서 자체가 일부 손상되거나 덮어씌워졌더라도, 어떤 이름의 파일이 어떤 경로에 있었는지에 대한 정보가 남아 있을 수 있습니다.

2. 파일 열람·이동·삭제 시간

사용자가 특정 파일을 언제 열었고, 복사했고, 삭제했는지 시간 순서대로 재구성하는 것이 가능합니다.

3. USB 및 외장 저장장치 연결 기록

외부 반출 의심 사건에서 핵심이 되는 부분입니다. 어떤 저장장치가 연결되었는지, 언제 연결되었는지, 어떤 드라이브 문자로 인식되었는지를 확인할 수 있습니다.

4. 대용량 복사 및 압축 흔적

대량 반출 전에는 압축 프로그램 실행, 특정 폴더 접근, 대용량 파일 이동 등 선행 행위가 남는 경우가 많습니다.

5. 포맷 실행 정황

포맷 시점, 사용된 방식, 명령 실행 여부, 운영체제 설치 과정 등도 포렌식 분석을 통해 파악할 수 있습니다.

6. 이메일·클라우드·브라우저 사용 흔적

완전한 전송 내용 복원은 제한될 수 있으나, 접속 기록과 사용 정황, 임시 파일, 캐시 흔적을 통해 외부 전송 가능성을 검토할 수 있습니다.

실무에서 자주 확인되는 의심 패턴

실제 분석 사례에서는 아래와 같은 흐름이 반복적으로 확인됩니다.

• 퇴사 직전 외장 저장장치 연결
• 중요 문서 또는 프로젝트 폴더 대량 접근
• 파일 복사 또는 압축 실행
• 직후 시스템 포맷 또는 초기화 진행
• 퇴사와 동시에 장비 반납 또는 종료

이러한 패턴은 단순한 개인 정리 차원을 넘어, 자료 반출 후 흔적을 없애려는 시도로 해석될 여지가 있습니다. 따라서 단일 행위만 볼 것이 아니라, 전체 흐름을 시간순으로 재구성하는 것이 중요합니다.

초기 대응이 결과를 좌우합니다

퇴사자가 사용하던 PC가 포맷된 상태로 발견되었다면, 가장 먼저 해야 할 일은 추가 사용을 막는 것입니다. 포맷 이후 다른 직원이 계속 사용하면 기존 흔적이 빠르게 덮어씌워져 분석 난이도가 크게 올라갑니다.

• 장비 회수 즉시 전원 차단
• 추가 사용 금지
• 원본 저장장치 상태 유지
• 전문 포렌식 기관 상담 및 증거 보존 진행

디지털 포렌식은 어떤 방식으로 진행될까

1. 원본 보존

저장장치를 직접 건드리지 않고, Write Blocker 환경에서 포렌식 이미지를 생성하여 원본 훼손을 방지합니다.

2. 무결성 확보

해시값을 산출해 원본과 분석본이 동일하다는 점을 입증합니다. 이는 향후 법적 분쟁이나 보고서 제출 시 매우 중요합니다.

3. 파일 시스템 및 로그 분석

삭제 흔적, 시스템 로그, 사용자 활동 이력, 연결 장치 기록 등을 종합적으로 분석합니다.

4. 타임라인 재구성

사용자 행위를 시간순으로 정리하여 어떤 일이 먼저 있었고, 무엇이 뒤따랐는지 전체 흐름을 파악합니다.

5. 보고서 작성

조사 결과는 객관적 자료 중심으로 정리되며, 필요 시 법원 제출이나 내부 징계 자료로 활용 가능한 형태로 구성됩니다.

기업이 미리 준비해야 할 점

이런 상황은 사후 대응도 중요하지만, 사전 관리 체계가 있다면 훨씬 유리합니다.

• 퇴사자 장비 회수 절차 문서화
• USB 및 외장저장장치 사용 정책 운영
• 장비 반납 후 사용 금지 원칙 확립
• 보안 사고 발생 시 즉시 증거 보존 체계 마련
• 전문 포렌식 기관과의 협력 체계 확보

마무리

퇴사자가 PC를 포맷했다고 해서 모든 사실이 사라지는 것은 아닙니다. 오히려 삭제하려 했던 행위 자체가 중요한 증거로 작용할 수 있습니다.

디지털 포렌식은 단순한 파일 복구를 넘어, 누가, 언제, 어떤 방식으로 자료를 다루었는지를 객관적으로 재구성하는 절차입니다. 기업 입장에서는 이러한 분석을 통해 정보 유출 여부, 증거 인멸 정황, 내부 통제 위반 여부를 보다 명확하게 파악할 수 있습니다.

스마트데이터복구SDR (1566-5723)