대표 이미지는 실제 증거 사진이 아닌 설명용 제작 이미지입니다.

설계 업무를 맡았던 직원이 퇴사한 뒤, 회사는 그가 경쟁 업체로 옮긴다는 이야기를 들었습니다. 반납된 노트북에서 설계 도면이 외부로 옮겨졌는지 확인하고 싶다는 의뢰였습니다.

이번 퇴사자 노트북 포렌식에서는 메신저 PC 버전, 외장 저장장치 연결, 클라우드 동기화 프로그램, 삭제 파일과 복원 지점 기록을 함께 살폈습니다. 그 결과 도면 일부를 메신저로 전송한 기록과 외장하드 연결 흔적을 확인했습니다.

의심은 있었지만 기록으로 확인되지 않은 부분도 구분했습니다.

자주 접수되는 의뢰 유형을 바탕으로 재구성한 사례입니다. 인물·업종·시점·수치 등 식별 가능한 세부사항은 삭제하거나 일반화했습니다.

의뢰 기업은 네 가지를 확인하고 싶어 했습니다.

• 설계 도면을 개인 메신저나 메일로 보낸 기록이 있는가?

• 외장하드나 USB에 도면 폴더를 옮긴 흔적이 있는가?

• 클라우드 프로그램으로 자료가 동기화됐는가?

• 반납 전에 지운 자료가 있다면 무엇인가?

현장에서 겪어보면 이런 의뢰는 소문이나 정황에서 출발하는 경우가 많습니다. 그래서 분석은 의심을 확인하는 작업이 아니라, 기록이 보여주는 사실을 하나씩 정리하는 작업에 가깝습니다.

메신저 PC 버전에 남은 파일 전송 기록부터 살펴보았습니다.

메신저 PC 버전은 대화 내용과 주고받은 파일 정보를 노트북 내부 데이터베이스에 저장합니다. 화면에서 대화방을 지워도 내부 기록 일부가 남는 경우가 있어, 전송 시각과 파일 이름을 따로 추출해 정리했습니다.

분석 결과 퇴사 2주 전부터 도면 파일 여러 건을 본인만 참여한 대화방으로 전송한 기록이 확인됐습니다.

다만 본인 대화방으로 보낸 파일이 이후 다른 사람에게 전달됐는지는 노트북 기록만으로 알 수 없습니다. 이 부분은 휴대폰이나 계정 기록을 추가로 확인해야 한다고 보고서에 적었습니다.

실제 대화 화면이 아닌 설명용 재구성 도해입니다. 본인 대화방 전송과 제3자 전달을 구분합니다.

외장하드 연결 기록과 폴더 탐색 흔적을 시간순으로 맞춰 보았습니다.

퇴사자 노트북 포렌식에서 외장 저장장치 기록은 먼저 확인하는 항목 중 하나입니다. 윈도우는 외장 저장장치가 연결되면 장치 정보와 연결 시각을 남기고, 사용자가 열어 본 폴더 경로도 별도로 기록합니다.

퇴사 직전 주말에 개인 외장하드 한 대가 연결됐고, 같은 시간대에 외장하드 안에 도면 폴더와 같은 이름의 폴더를 열어 본 흔적이 있었습니다.

실제로 분석을 진행하다 보면 이처럼 정황이 겹치는 기록이 나오는 경우가 꽤 있습니다. 그러나 폴더를 열어 본 기록은 복사 사실과 같지 않습니다. 복사 여부를 확정하려면 해당 외장하드 분석이 필요합니다.

실제 기록이 아닌 설명용 타임라인 도해입니다. 연결·폴더 열람과 복사 사실을 구분합니다.

클라우드 동기화 프로그램은 설정과 실제 동기화를 나누어 확인했습니다.

노트북에는 클라우드 동기화 프로그램과 전용 폴더가 있었습니다. 회사는 이 폴더를 통해 도면이 개인 계정으로 넘어갔을 가능성을 우려했습니다.

계정 로그인 기록과 동기화 로그를 함께 확인한 결과는 다음과 같았습니다.

• 동기화 프로그램 설치: 기록으로 확인

• 회사 계정 로그인: 기록으로 확인

• 개인 계정 로그인: 미확인

• 도면 폴더 동기화: 확보된 로그에서는 미확인

동기화 프로그램이 설치돼 있었다는 사실만으로 자료가 개인 계정으로 넘어갔다고 볼 수는 없습니다. 다만 노트북에 남지 않은 기간의 기록이 있을 수 있어, 필요하면 계정 측 기록을 추가로 확인하도록 안내했습니다.

설명용 개념도입니다. 프로그램·폴더가 있다는 사실과 실제 동기화를 구분합니다.

반납 전에 지운 자료는 복원 지점 기록까지 함께 살폈습니다.

반납 하루 전, 메신저 수신 폴더와 다운로드 폴더에서 도면 파일 여러 개가 삭제된 기록이 있었습니다. 저장장치가 SSD여서 삭제된 공간의 내용이 이미 정리됐을 가능성이 컸습니다.

이런 경우 내용까지 되찾을 수 있는지는 사전 검사로 알 수 없고, 실제 복원 작업을 진행해 봐야 드러납니다. 그렇다고 미리 포기할 필요는 없습니다. 모든 경우 좋은 결과가 나오는 것은 아니지만, 이번에는 윈도우가 자동으로 만들어 둔 복원 지점에서 삭제 전 폴더 상태 일부를 확인할 수 있었습니다.

설명용 제작 이미지입니다. 삭제 기록 확인과 복원 지점을 통한 내용 확인을 구분합니다.

분석 결과는 확인한 것과 확인하지 못한 것으로 나누어 전달했습니다.

• 메신저: 본인 대화방 도면 전송 확인, 제3자 전달은 추가 확인 필요

• 외장하드: 연결·폴더 열람 확인, 복사 여부는 장치 분석 필요

• 클라우드: 회사 계정 사용 확인, 개인 계정 동기화는 미확인

• 삭제 자료: 삭제 시점 확인, 복원 지점에서 일부 내용 확인

퇴사자 노트북 포렌식 결과는 판단의 근거일 뿐, 그 자체가 결론은 아닙니다. 기록에서 확인되지 않았다고 다른 경로로도 옮기지 않았다는 뜻은 아니며, 규정 위반이나 책임 여부는 회사 규정과 추가 사실관계를 함께 검토해야 합니다.

설명용 제작 이미지입니다. 항목별 확인·미확인 결과 정리를 표현했습니다.

노트북을 재지급하기 전에 현재 상태부터 보존하시기 바랍니다.

퇴사자 노트북 포렌식은 남은 기록이 많을수록 확인할 수 있는 범위가 넓어집니다. 초기화나 재지급, 메신저·프로그램 삭제를 거치면 필요한 기록이 달라지거나 사라질 수 있습니다.

도면이나 영업자료 반출이 우려된다면 노트북 사용을 멈추고, 어떤 기록부터 확인해야 하는지 전문가와 먼저 상의해 보시기 바랍니다.