포렌식 복구, 포맷하면 끝일까?｜SSD TRIM·로우레벨포맷·법원 증거효력
포렌식 복구, 포맷하면 끝일까?｜SSD TRIM·로우레벨포맷·법원 증거효력 2026
삭제한 파일을 살리는 일반 데이터복구와 디지털 포렌식은 겉으로 보면 비슷해 보이지만 목적부터 다릅니다. 일반 복구는 사진·문서·영상처럼 잃어버린 파일을 다시 읽어내는 것이 핵심이고, 포렌식은 누가 언제 무엇을 생성·수정·삭제했는지까지 추적하면서 그 결과가 나중에도 검증될 수 있도록 보존하는 것이 핵심입니다.
특히 법원이나 수사기관에 제출할 목적이라면 단순히 “파일을 복구했다”는 사실만으로 충분하지 않습니다. 원본을 변경하지 않았는지, 어떤 장비와 도구를 사용했는지, 해시값은 무엇인지, 복제 이미지와 원본이 동일한지, 누가 언제 증거물을 인수·보관했는지까지 설명할 수 있어야 합니다.
2026년 기준 핵심만 먼저 보면
① 일반 복구는 파일 복원, 포렌식은 증거 보존·분석·재현 가능성까지 봅니다.
② 포렌식은 원본 대신 Write Blocker + 포렌식 이미지를 사용해 분석하는 것이 원칙입니다.
③ 원본과 이미지의 SHA-256 등 해시값은 동일성·무결성을 설명하는 중요한 수단입니다.
④ 최신 HDD를 실제로 덮어쓴 뒤에도 자기 잔류신호로 쉽게 복구할 수 있다는 설명은 현실적이지 않습니다.
⑤ SSD는 TRIM·웨어레벨링 때문에 삭제 복구가 HDD보다 훨씬 어려울 수 있습니다.
⑥ 중고 저장장치 완전삭제는 “7회 덮어쓰기”보다 매체에 맞는 Sanitize·Secure Erase·Crypto Erase가 중요합니다.
⑦ 포렌식 보고서가 있다고 자동으로 법적 효력이 생기는 것은 아니며 수집의 적법성·동일성·무결성·진정성 등이 함께 검토됩니다.
포렌식 데이터 복구와 일반 데이터 복구 차이
| 구분 | 일반 데이터 복구 | 디지털 포렌식 |
|---|---|---|
| 목적 | 삭제·손상된 파일을 다시 열 수 있게 복구 | 사건 관련 디지털 증거의 수집·보존·분석·현출 |
| 원본 변경 방지 | 권장되지만 상황에 따라 직접 접근하기도 함 | 핵심 요구사항. 원본 쓰기 방지와 작업기록이 중요 |
| 해시값 | 필수는 아님 | 원본·이미지·추출물 동일성 검증에 중요 |
| 작업 기록 | 복구 목록 중심 | 수집시각, 담당자, 장치정보, 도구·버전, 해시, 분석절차 등 기록 |
| 결과물 | 복구된 파일 | 포렌식 이미지, 추출 데이터, 타임라인, 로그, 분석보고서 |
| 법원 제출 | 가능은 하지만 입증력이 제한될 수 있음 | 적법한 수집·무결성·동일성 등이 설명되면 증거 판단에 활용될 수 있음 |
포렌식 데이터 복구의 핵심 원리
파일을 삭제하면 대부분의 파일시스템은 즉시 모든 비트를 지우기보다 “이 공간을 다시 사용할 수 있다”고 표시합니다. 그래서 아직 다른 데이터로 덮어쓰이지 않았다면 파일 내용이나 파일시스템 메타데이터, 썸네일, 로그, 임시파일 등에서 흔적을 찾을 수 있습니다.
1. 원본을 직접 건드리지 않는다
증거용 저장장치를 분석할 때는 원본에 새 데이터가 기록되는 것을 막는 것이 중요합니다. 이를 위해 Write Blocker를 사용하거나 읽기 전용 방식으로 접근하고, 가능한 경우 저장장치 전체를 비트 단위로 복제한 포렌식 이미지를 만들어 그 사본을 분석합니다.
2. 해시값으로 동일성·무결성을 확인한다
SHA-256 같은 해시값은 데이터의 일종의 디지털 지문입니다. 원본을 이미징한 직후 계산한 해시와 분석용 이미지의 해시가 같다면 원본과 복제본의 데이터가 동일하다는 점을 설명하는 강력한 근거가 됩니다.
해시값이 같다고 사건 내용의 진실까지 자동으로 증명되는 것은 아닙니다.
해시는 “데이터가 바뀌었는가”를 확인하는 도구이고, 그 데이터가 누가 만든 것인지, 내용이 사실인지, 적법하게 수집했는지는 별도의 판단 대상입니다.
3. 체인 오브 커스터디를 기록한다
Chain of Custody는 증거가 누구에게서 수집되어 누구에게 전달됐고, 어디에 보관됐으며, 언제 봉인·개봉·복제·분석됐는지 기록하는 관리 이력입니다. 포렌식 장치 분석 자체만큼이나 “분석 전후 증거가 바뀌지 않았는가”를 설명하는 데 중요합니다.
법적 제출을 고려한 포렌식 작업 순서
- 장치 확보 및 식별 — 제조사·모델·시리얼번호·용량·인터페이스를 기록합니다.
- 현 상태 기록 — 화면, 전원상태, 연결장치, 날짜·시간 등을 사진과 문서로 남깁니다.
- 쓰기 방지 — Write Blocker 또는 검증된 읽기 전용 절차를 적용합니다.
- 포렌식 이미지 생성 — 원본 전체 또는 절차상 허용된 범위를 복제합니다.
- 해시 계산 — 원본·이미지에 SHA-256 등 해시값을 기록합니다.
- 원본 보관 — 원본은 봉인·보존하고 이후 분석은 복제본으로 진행합니다.
- 분석 — 삭제파일, 파일시스템, 메타데이터, 레지스트리, 로그, 브라우저, 이메일, 메신저 등을 분석합니다.
- 결과 검증 — 추출 결과가 원본·이미지와 어떤 관계인지 재검증합니다.
- 보고서 작성 — 사용 장비·도구 버전·분석조건·해시·타임라인·한계점을 기록합니다.
정밀포맷·Low Level Format을 해도 포렌식 복구가 가능할까?
여기서 가장 많이 잘못 알려진 부분이 있습니다. 요즘 소비자용 HDD에서 흔히 말하는 “Low Level Format”은 공장에서 수행하는 진짜 로우레벨 포맷과 다릅니다. 실제로는 전체 영역을 0으로 채우는 Zero Fill이나 장치의 Secure Erase·Sanitize 기능을 로우레벨 포맷이라고 부르는 경우가 많습니다.
정밀포맷 "로우레벨 Low Level Format" 다운로드 및 삭제
빠른포맷과 전체 초기화의 차이, 저장장치 삭제 방법을 정리한 관련글입니다.
jab-guyver.co.kr
| 삭제 방식 | 복구 가능성 | 설명 |
|---|---|---|
| 파일 휴지통 삭제 | 높을 수 있음 | HDD에서는 덮어쓰기 전까지 복구 가능성이 상대적으로 높음 |
| 빠른 포맷 | 상황에 따라 가능 | 파일시스템 구조가 초기화되지만 실제 데이터 영역이 남아 있을 수 있음 |
| 파티션 삭제 | 상황에 따라 가능 | 파티션 정보만 사라지고 본문 데이터가 남아 있을 수 있음 |
| 전체 영역 덮어쓰기 | 실질적으로 매우 어려움 | 검증된 덮어쓰기가 완료된 현대 HDD에서 기존 사용자 데이터를 복구할 수 있다고 기대하는 것은 현실적이지 않음 |
| 장치 Sanitize/Purge | 목적상 복구 불가능 수준 | 장치가 지원하는 표준 삭제 명령을 사용해 논리·물리 영역을 정리 |
| 물리적 파괴 | 복구 불가능을 목표 | 민감도와 폐기정책에 따라 Destroy 방법을 사용 |
예전 글에서 자주 보이는 “한 번 덮어쓴 HDD도 자기 잔류신호를 읽어 복구할 수 있다”는 주장은 일반 사용자 관점에서는 삭제하는 편이 정확합니다.
2026년 현재 데이터 삭제는 ‘몇 번 덮어썼느냐’보다 저장장치 종류와 표준화된 Sanitize/Purge 방법을 제대로 적용하고 결과를 검증했는지가 더 중요합니다.
Windows cipher /w는 무엇을 지우나?
cipher /w:C 같은 명령은 NTFS 볼륨의 사용되지 않는 공간(할당 해제 영역)을 덮어쓰는 기능입니다. 이미 존재하는 정상 파일이나 전체 드라이브를 포맷하는 명령이 아닙니다.
CIPHER 명령어 - C드라이브 개인정보 데이터 삭제
Windows cipher /w 명령과 빈 공간 덮어쓰기 관련글
jab-guyver.co.kr
SSD에는 cipher /w를 완전삭제 수단으로 권장하지 않습니다.
SSD는 웨어레벨링과 예비 블록 때문에 운영체제 수준의 덮어쓰기가 모든 물리 셀을 직접 덮는다고 보장하기 어렵고 불필요한 쓰기만 늘릴 수 있습니다. SSD 폐기·양도 목적이라면 제조사 도구나 NVMe/ATA의 Sanitize·Secure Erase·Crypto Erase 계열을 우선 검토하는 편이 맞습니다.
SSD TRIM 때문에 복구가 더 어려운 이유
SSD는 HDD처럼 같은 논리 주소가 항상 같은 물리 셀을 가리키지 않습니다. 컨트롤러가 셀 수명을 분산하기 위해 Wear Leveling을 수행하고, 운영체제가 파일 삭제 후 TRIM을 전달하면 SSD는 해당 논리 블록을 더 이상 유효한 데이터로 유지할 필요가 없다고 판단합니다.
다만 “SSD에서 삭제하면 무조건 즉시 완전히 사라진다”고 단정할 수도 없습니다. TRIM 지원 여부, USB 변환칩, RAID, 파일시스템, SSD 펌웨어, 전원 상태, 암호화 상태 등에 따라 실제 처리 과정이 달라집니다.
SSD에서 실수로 파일을 삭제했다면
복구 프로그램부터 설치하지 말고 해당 SSD에 쓰기 작업을 중단하는 것이 우선입니다. 운영체제 업데이트, 앱 설치, 파일 복사, 디스크 최적화, 초기화, 포맷 등을 계속하면 복구 가능성을 더 낮출 수 있습니다.
중고 HDD·SSD 판매 전 완전삭제는 어떻게 해야 할까?
2025년 9월 발표된 NIST SP 800-88 Rev.2는 과거처럼 “몇 회 덮어쓰기” 숫자에 집착하기보다, 저장매체 특성에 맞는 Clear · Purge · Destroy 수준의 삭제 프로그램을 구축하고 최신 표준 및 장치 기능을 사용하는 방향으로 바뀌었습니다.
| 목적 | 추천 접근 | 적합한 상황 |
|---|---|---|
| Clear | 승인된 논리 삭제·덮어쓰기 | 동일 조직 내 재사용 등 비교적 낮은 위험 |
| Purge | Sanitize, Secure Erase, Block Erase, Cryptographic Erase 등 매체에 맞는 기술 | 외부 반출·재판매 등 더 높은 보호가 필요한 경우 |
| Destroy | 물리적 파쇄·분쇄 등 복구 자체를 불가능하게 하는 폐기 | 극민감 자료 또는 장치 재사용이 불필요한 경우 |
HDD
정상 작동하는 HDD는 조직 정책과 위험도에 맞춰 검증된 Overwrite 또는 장치가 지원하는 Sanitize 기능을 사용할 수 있습니다. “DoD 7회 덮어쓰기”가 모든 사용자에게 필요한 표준이라는 설명은 현재 기준으로는 맞지 않습니다.
SSD·NVMe
SSD는 단순 덮어쓰기보다 NVMe Sanitize, ATA Secure Erase, Block Erase, Cryptographic Erase처럼 컨트롤러와 펌웨어가 내부 물리 영역까지 처리하도록 설계된 명령이 더 적합합니다.
디가우징은 SSD에도 통할까?
아닙니다. Degaussing은 자기 매체에 사용하는 방식이므로 HDD나 자기테이프에는 적용할 수 있지만 NAND 플래시 기반 SSD에는 의미가 없습니다. SSD를 파기해야 한다면 물리적 파쇄나 제조사·보안정책이 인정하는 Destroy 방법을 사용해야 합니다.
포렌식 데이터 복구 결과는 법원에서 효력이 있을까?
결론부터 말하면 “포렌식 업체가 작성한 보고서니까 자동으로 법적 효력이 있다”는 표현은 틀립니다. 디지털 증거가 실제 재판에서 사용될 수 있는지는 사건 종류, 수집 과정의 적법성, 원본과 제출자료의 동일성·무결성, 작성 주체와 진정성, 전문법칙 적용 여부 등 여러 조건에 따라 판단됩니다.
대법원은 정보저장매체 원본과 출력물 또는 이미징 매체의 동일성이 인정돼야 하고, 원본이 압수부터 출력까지 변경되지 않았다는 무결성이 담보돼야 한다고 판시해 왔습니다. 해시값 비교는 이를 입증하는 대표적인 방법 중 하나입니다.
즉, ‘자격증 있는 업체만 법원 제출 가능’이라는 식으로 단정하면 안 됩니다.
전문가의 자격·경력은 신뢰성을 높이는 요소가 될 수 있지만, 법원이 보는 핵심은 해당 증거가 어떻게 수집·보존·복제·분석됐고 그 과정이 검증 가능한가입니다.
법원 제출을 염두에 둔다면 보고서에 들어갈 내용
- 분석 대상 장치 제조사·모델·시리얼번호·용량
- 증거 수령 일시, 담당자, 봉인 상태
- 수집·복제·분석 일시와 장소
- Write Blocker 사용 여부와 장비 정보
- 포렌식 이미지 형식과 생성 방법
- 원본·이미지·추출물의 SHA-256 등 해시값
- 사용한 포렌식 도구와 버전
- 검색·복구·필터링 조건
- 메타데이터와 타임라인 분석
- 작업 한계와 확인 불가능한 영역
- 증거물 인수·이관·반환 기록
개인이 직접 복구 프로그램을 돌리면 법원 제출이 불가능한가?
무조건 불가능한 것은 아닙니다. 하지만 법적 분쟁 가능성이 있는 저장장치에 일반 복구 프로그램을 설치하거나 파일을 직접 복사하면 접근시각, 수정시각, 파일시스템 메타데이터가 바뀔 수 있어 나중에 상대방이 증거 조작·훼손 가능성을 문제 삼기 쉬워집니다.
민사·형사·노무·기업 내부조사에 쓸 증거라면
원본 장치에 직접 복구 프로그램을 설치하지 말고, 전원을 최소한으로 유지한 뒤 사건 성격에 맞는 법률전문가나 디지털포렌식 전문가에게 먼저 상담하는 편이 안전합니다.
스마트폰·카카오톡·텔레그램도 포렌식으로 복구할 수 있을까?
스마트폰 포렌식은 단순 삭제파일 복구보다 훨씬 복잡합니다. 최신 iPhone과 Android는 전체 저장장치 암호화, Secure Enclave·TEE, 앱별 암호화, 클라우드 동기화, 키체인·Keystore 등을 사용하기 때문에 기기를 확보했다고 무조건 모든 메시지와 사진을 복구할 수 있는 것은 아닙니다.
| 대상 | 확인 가능한 흔적 예시 | 제약 요소 |
|---|---|---|
| 문자·통화기록 | 단말 DB, 백업, 동기화 기록 | 삭제 후 DB 정리, 암호화, 백업 유무 |
| 카카오톡 등 메신저 | 로컬 DB·캐시·알림 흔적·백업 | 앱 암호화, 서버정책, 재로그인, DB VACUUM 등 |
| 텔레그램 | 로컬 캐시·일부 세션 데이터 | 클라우드 구조, Secret Chat, 단말 암호화 |
| 사진·영상 | 원본, 썸네일, EXIF, 클라우드 캐시 | 삭제·최적화·클라우드 동기화·TRIM |
| 위치기록 | 앱 DB, 사진 EXIF, 시스템·지도 캐시 | 설정, 보관기간, 암호화, 앱 정책 |
즉 “카카오톡 삭제 대화 100% 복구”처럼 성공률을 단정하는 업체 문구는 조심해서 볼 필요가 있습니다. 복구 가능성은 기종·OS 버전·잠금상태·삭제 후 사용량·백업 유무·앱 버전에 따라 크게 달라집니다.
관련 잡가이버 데이터복구 글
- HDD·USB·외장하드 배드섹터 원인과 복구방법
- CIPHER 명령어 - C드라이브 개인정보 데이터 삭제
- 정밀포맷 Low Level Format 데이터 삭제
- HDD SSD 외장하드 인식오류 파티션 복구
포렌식 데이터 복구 FAQ
Q. 포렌식 복구와 일반 복구는 비용 차이가 큰가요?
법적 제출을 전제로 한 포렌식은 단순 파일복구보다 작업기록, 이미징, 해시 검증, 로그 분석, 보고서 작성 등이 추가되므로 비용이 높아지는 경우가 많습니다. 다만 저장장치 종류와 사건 범위가 달라 업체별 정찰가를 일반화하기는 어렵습니다.
Q. 빠른 포맷을 하면 복구할 수 있나요?
HDD라면 실제 데이터 영역이 덮어쓰기 전인 경우 복구 가능성이 남을 수 있습니다. SSD는 TRIM·Garbage Collection 때문에 상황이 더 복잡하고 복구 가능성이 빠르게 낮아질 수 있습니다.
Q. HDD를 한 번 전체 덮어쓰면 포렌식으로 다시 살릴 수 있나요?
정상적으로 전체 영역 덮어쓰기가 완료되고 검증됐다면 현대 HDD에서 과거 사용자 데이터를 일반적인 포렌식 기법으로 되살릴 수 있다고 기대하는 것은 현실적이지 않습니다.
Q. 7회 덮어쓰기를 해야 안전한가요?
2026년 기준으로 “무조건 7회”가 일반 표준은 아닙니다. 최신 NIST SP 800-88 Rev.2는 매체 종류와 위험도에 맞는 표준화된 Clear·Purge·Destroy 절차, IEEE 2883 계열 또는 조직이 승인한 방법을 강조합니다.
Q. SSD는 Eraser나 cipher /w만 돌리면 완전삭제되나요?
완전삭제 목적이라면 권장하기 어렵습니다. 웨어레벨링과 예비 블록 때문에 호스트 수준의 덮어쓰기가 모든 물리 셀을 처리한다고 보장하기 어렵습니다. 제조사 Secure Erase, NVMe Sanitize, Block Erase, Cryptographic Erase 등을 우선 검토하는 것이 좋습니다.
Q. 디가우징으로 SSD 데이터도 지울 수 있나요?
아닙니다. 디가우징은 자기 기록 매체에 사용하는 방법이며 NAND 플래시 SSD에는 적용되지 않습니다.
Q. 포렌식 보고서가 있으면 법원에서 무조건 인정되나요?
아닙니다. 수집 절차의 적법성, 원본과 제출자료의 동일성·무결성, 진정성, 사건과의 관련성, 전문법칙 등 여러 요소를 법원이 판단합니다. 해시값과 체인 오브 커스터디는 중요한 입증수단이지만 보고서 자체가 자동으로 증거능력을 보장하지는 않습니다.
Q. 해시값만 같으면 법적 증거로 충분한가요?
해시 일치는 데이터가 동일하다는 점을 설명하는 데 매우 유용하지만, 데이터의 작성자·의미·진실성·수집 적법성까지 자동으로 증명하지는 않습니다.
Q. 법원 제출용이면 꼭 국가공인 자격증이 있는 업체여야 하나요?
특정 민간 자격증 보유 자체가 법적 효력의 절대조건이라고 볼 수는 없습니다. 다만 전문가의 경력, 검증된 절차, 사용 도구, 작업기록, 무결성 검증 수준은 보고서의 신뢰도를 판단하는 중요한 요소입니다.
Q. 데이터 유출 조사에도 포렌식이 필요한가요?
네. USB 사용기록, 이메일 첨부, 클라우드 접근, 브라우저, 파일서버, Windows Event Log, Prefetch, Jump List, Registry, MFT 등의 흔적을 조합해 유출 경로와 시점을 분석할 수 있습니다.
결론｜복구와 포렌식은 ‘살리는 기술’보다 ‘증명하는 절차’가 다르다
일반 데이터 복구는 잃어버린 파일을 최대한 많이 살리는 것이 목표라면, 디지털 포렌식은 데이터가 어떤 상태에서 수집됐고 이후 변경되지 않았다는 점까지 재현 가능하게 만드는 것이 핵심입니다.
또 데이터 완전삭제도 오래된 “로우레벨 포맷”, “7회 덮어쓰기”, “HDD 자기 잔류신호 복구” 같은 이야기보다 저장장치 종류에 맞는 표준 삭제 기능을 사용하는 것이 중요합니다. HDD와 SSD는 동작 원리가 다르므로 같은 삭제 방법을 그대로 적용해서는 안 됩니다.
특히 법적 분쟁이 예상되는 장치라면 복구 프로그램부터 실행하기보다 원본을 보존하고 전문적인 이미징·해시 검증 절차부터 잡는 것이 나중에 훨씬 중요해질 수 있습니다.
NIST SP 800-88 Rev.2(2025), IEEE 2883/2883.1 계열, Microsoft cipher 공식 문서, 대검찰청 디지털포렌식 안내 및 국내 대법원 디지털 증거 관련 판례 취지를 참고해 최신화했습니다. 실제 사건의 증거능력과 제출 전략은 사건별 사실관계에 따라 달라질 수 있으므로 법률 분쟁이 진행 중이라면 변호사 또는 사건 담당 전문가의 검토가 필요합니다.