한 대의 PC, 세 개의 시간대 — 유언 메모가 남긴 흔적을 따라간 분석 사례

핵심 요약: 문서를 찾는 것보다, 문서가 지나온 순서를 세우는 일이 중요했습니다

고인의 PC를 정리하던 가족이 유언과 관련된 자료가 남아 있는지 확인하고 싶다며 분석을 요청했습니다. 분석은 파일 하나를 찾는 데서 끝나지 않았습니다. 생전의 메모, 문서가 PC에 들어온 시점, 사망 이후의 사용 기록을 세 개의 시간대로 나누고, 각 구간에서 확인되는 사실만 순서대로 연결했습니다.

실제 분석 사례를 공개용으로 재구성한 글입니다. 인물·지역·문서명·재산 내역 등 식별 정보는 삭제하거나 일반화했고, 날짜와 시각은 사건의 전후 관계로 바꾸어 적었습니다.

의뢰 내용: "그 문서는 언제 들어왔고, 누가 열어봤을까요"

의뢰인이 알고 싶었던 것은 두 가지였습니다. 아버지의 PC에 유언장이나 관련 메모가 남아 있는지, 그리고 그 문서가 들어온 뒤 누군가 열어보거나 외부로 보낸 흔적이 있는지였습니다. 특정인을 의심하는 전제는 두지 않았습니다. 디지털포렌식은 결론을 정해 두고 근거를 찾는 작업이 아니라, 남은 기록에서 확인되는 범위를 먼저 확정하는 작업이기 때문입니다.

첫 단계: 원본은 그대로 두고, 복제본으로만 분석했습니다

운영체제가 설치된 SSD와 자료 보관용 HDD를 각각 이미징하고 해시값을 확인한 뒤 원본은 보존했습니다. 해시값은 사본이 원본과 같다는 무결성의 근거일 뿐, 문서의 법적 효력이나 작성자의 의사를 증명하지는 않습니다.

의뢰인이 PC를 가져온 뒤 직접 켜서 확인한 구간은 따로 표시했습니다. 이 구간을 분리하지 않으면 가족의 확인 행동이 다른 사람의 행위로 잘못 읽힐 수 있습니다.

생전의 시간: 문서보다 하루 먼저 존재한 재산 메모

바탕화면 압축파일과 자료용 디스크에서 유언 및 재산관계와 관련된 전자문서를 확인했습니다. 내려받은 출처 표시와 저장 경로, 파일 내부 정보를 대조한 결과 웹메일 첨부파일로 들어온 문서였습니다. 다만 일부 메일 정보가 남아 있지 않아 발신자와 본문까지 PC에서 모두 확인하지는 못했습니다.

더 중요한 단서는 그 전날에 있었습니다. 문서가 들어오기 하루 전, 이 PC에서 작성되고 인쇄된 엑셀 메모가 발견됐고, 그 안의 재산 배분 정리가 다음 날 들어온 문서의 핵심 내용 일부와 부합했습니다. 파일명에 "유언장"이 들어 있다는 것만으로는 알 수 없던 맥락입니다. 그렇다고 이 부합이 유언의 성립이나 고인의 최종 의사를 확정하는 것은 아닙니다.

생전 메모, 문서 유입, 사망 이후 사용을 세 구간으로 나눈 설명용 도해

실제 증거 화면이 아닌 비식별화된 재구성 도해입니다. 실제 날짜·문서 내용·인물 정보는 포함하지 않았습니다.

사후의 시간: 열람, 압축, 첨부 선택, 그리고 USB

확보한 기록 안에서 고인이 생전에 해당 문서를 열어본 흔적은 확인되지 않았습니다. 반면 사망 이후에는 같은 파일이 여러 차례 열렸습니다. 최근 문서 목록, 프로그램 실행 흔적, 파일·폴더 시간 정보를 교차해 확인한 결과입니다.

이후 관련 파일을 묶은 압축파일이 만들어졌고, 웹메일 첨부 창에서 그 파일이 선택된 기록이 남아 있었습니다. 다른 시점에는 USB가 연결된 시간대에 유언 관련 문서를 포함한 여러 자료가 열렸습니다.

여기서 선을 그었습니다. 첨부 선택은 발송 완료가 아니고, USB 연결과 문서 열람이 같은 시간대에 있었다는 것이 복사 완료를 뜻하지도 않습니다. PC 캐시에서 되살린 메일 목록은 서버 편지함 전체가 아니었고, 브라우저에는 종료 시 일부 기록을 지우는 설정이 적용돼 있었습니다. 그 설정을 누가 왜 적용했는지는 확인되지 않았으므로 의도를 단정하지 않았습니다.

전달한 결과: 사실, 연결, 미확인을 나누어 적었습니다

확인한 자료: 유언 관련 전자문서, 전날 작성·인쇄된 재산 메모, 문서 유입 및 사용 기록.

확인한 연결: 생전 메모와 문서 내용 일부의 부합, 사망 이후 반복 열람과 메일 첨부 선택 정황.

추가 확인 대상: 해당 메일 계정의 보낸 편지함, 연결됐던 USB 실물, 문서 작성·전달 관계자의 설명.

확정하지 않은 사항: 실제 발송·복사 여부, 행위자의 신원과 목적, 유언의 법적 효력.

결과는 근거 기록과 사건 순서에 따른 타임라인으로 정리해, 의뢰인이 법률 대리인과 함께 검토할 수 있도록 전달했습니다.

유언 관련 디지털포렌식, 무엇을 알 수 있고 무엇은 알 수 없을까

비슷한 사건에서는 문서와 초안·메모의 존재, 유입 경위, 생성·수정·열람 흔적, 압축·이동·첨부 정황을 살펴볼 수 있습니다. 다만 어떤 기록이 남아 있는지, 삭제된 자료가 얼마나 복원될지는 기기 상태와 사용 환경, 기록 보존 기간에 따라 달라집니다. 사전 점검만으로 결과를 단정하기 어렵고, 실제 이미징과 분석을 진행해 봐야 확인할 수 있습니다.

디지털포렌식으로 확인한 기술적 사실과 유언의 법적 효력은 별개의 문제입니다. 민법은 유언의 방식을 엄격하게 정하고 있어 파일을 찾았다는 사실만으로 상속 관계가 정해지지 않습니다. 고인의 PC를 계속 사용하면 남아 있던 기록이 덮어써질 수 있으므로, 추가로 켜거나 파일을 옮기기 전에 디지털포렌식 전문가와 먼저 상의하고, 법률 판단은 변호사와 함께 검토하시기 바랍니다.