포렌식 수사 챌린지

퇴사자 정보유출, 어떤 흔적이 남나요?

컴퓨터는 사용자가 의식하지 못하는 사이에 수많은 기록(아티팩트)을 남깁니다. 파일을 지우거나 이름을 바꿔도, 다른 기록에 흔적이 남는 경우가 많습니다. 조사에서 자주 보는 기록은 다음과 같습니다.

USB 연결 기록

윈도우 레지스트리(USBSTOR)에 남는 USB 저장장치 목록입니다. 어떤 USB가 언제 처음·마지막으로 연결됐는지, 제품명과 시리얼 번호를 알 수 있습니다.

파일 생성·변경 기록(USN Journal)

NTFS 디스크가 파일의 생성·이름 바꾸기·삭제를 자동으로 적어 두는 변경 일지입니다. 파일이 언제 어디(예: USB)에 만들어지고 이름이 바뀌었는지 — 위장 시도를 잡는 핵심 기록입니다.

바로가기 파일(LNK)

파일을 열 때 윈도우가 자동으로 만드는 바로가기입니다. 원래 파일 이름·경로·크기가 남아 있어, 이름을 바꾼 위장 파일의 원본을 밝혀 줍니다.

프로그램 실행 흔적(Prefetch)

윈도우가 프로그램을 빨리 띄우려고 남기는 실행 기록입니다. 어떤 프로그램이 언제, 몇 번 실행됐는지 — 프로그램을 지워도 흔적이 남습니다.

폴더 열람 흔적(ShellBags)

탐색기로 연 폴더의 위치·보기 설정이 레지스트리에 남은 것입니다. 폴더를 지웠거나 USB를 뺀 뒤에도, 그 폴더를 열어 봤다는 사실이 남습니다.

윈도우 이벤트 로그

로그인, 파일 접근, 장치 연결 같은 시스템 사건이 시간순으로 기록된 일지입니다. 언제 누가 로그인했고 어떤 파일에 접근했는지, 로그를 지우려 한 흔적까지 보입니다.

Chrome 방문 기록

크롬 브라우저가 저장한 방문 URL·페이지 제목·시각입니다. 웹메일·클라우드·이직 사이트 접속 등 외부로 나간 경로를 찾습니다.

Outlook 데이터 파일(OST)

Outlook이 메일을 PC에 보관하는 파일입니다. 지운 메일 일부가 복구 가능한 영역에 남습니다. 보낸편지함을 비워도 남은 메일의 수신자·제목·첨부를 찾을 수 있습니다.

자주 묻는 질문

디지털 포렌식을 몰라도 할 수 있나요?

네. 초급 사건은 위장이나 흔적 삭제가 없고, 증거 종류마다 '무엇인가요·무엇을 알 수 있나요' 설명과 2단계 힌트가 있습니다. 내부감사인·준법감시인처럼 조사를 의뢰하거나 결과를 검토하는 분이 '포렌식 보고서가 무엇을 근거로 말하는지' 감을 잡는 데 맞춰져 있습니다.

퇴사자 정보유출은 어떤 흔적으로 확인하나요?

USB 연결 기록(USBSTOR)으로 어떤 장치가 언제 연결됐는지, 파일 변경 기록(USN Journal)으로 파일이 언제 어디에 복사·이름변경됐는지, 바로가기(LNK)로 원래 파일 경로를, 브라우저·메일 기록으로 외부 전송 경로를 확인합니다. 한 가지 기록만으로 단정하지 않고 여러 기록을 교차해 확인하는 것이 핵심입니다.

실제 사건에도 이렇게 조사하면 되나요?

체험은 이미 수집된 기록을 읽는 단계만 다룹니다. 실제 조사에서는 원본을 바꾸지 않는 수집, 해시값 기록, 연계보관성 유지가 먼저이며, 징계·소송에 쓸 증거라면 디지털포렌식 전문기관의 분석을 받는 것이 안전합니다.