삭제파일 복구 (Deleted File Recovery)
한 줄 정의: 저장매체에서 삭제되었지만 물리적으로 아직 남아있는 데이터를 복원하여 증거로 확보하는 디지털 포렌식 기법입니다.
쉽게 풀면
파일을 삭제해도 실제 데이터는 곧바로 사라지지 않고, 새로운 데이터가 그 자리를 덮어쓰기 전까지 저장장치에 남아있는 경우가 많습니다. 마치 책의 목차에서 제목만 지웠을 뿐 본문 내용은 여전히 책장에 남아있는 것과 비슷합니다. 삭제파일 복구는 이 목차 없이 흩어진 본문 조각을 다시 찾아 읽을 수 있게 만드는 작업입니다. 이를 통해 용의자가 지운 문서나 사진, 통신 기록 등을 다시 확보할 수 있습니다.
왜 중요한가
범죄자가 증거를 인멸하기 위해 파일을 삭제하는 경우가 흔하기 때문에, 삭제파일 복구는 수사에서 핵심적인 증거 확보 수단으로 작용합니다. 법과학 논문에서는 다양한 파일시스템과 저장매체 유형에 따른 복구 성공률과 기법의 신뢰성이 주로 다뤄집니다.
논문에서는 이렇게 쓰입니다
"본 연구에서는 NTFS 파일시스템에서 삭제된 파일의 카빙(carving) 기법을 통한 복구 가능성을 분석하였다."
파일 조각을 재조합해 삭제된 파일을 되살리는 방법을 검증했다는 뜻입니다.
"삭제파일 복구를 통해 확보된 채팅 로그는 범행 동기를 입증하는 핵심 증거로 채택되었다."
복구된 데이터가 실제 재판 증거로 사용되었음을 보여줍니다.
조금 더 깊게 보면
삭제파일 복구는 크게 파일시스템의 메타데이터(디렉터리 엔트리, MFT 등)가 남아있을 때 이를 이용하는 방법과, 메타데이터 없이 파일의 시그니처(헤더/푸터 패턴)만으로 데이터를 찾아내는 파일 카빙 기법으로 나뉩니다. SSD의 경우 TRIM 명령으로 인해 삭제 즉시 데이터가 실제로 지워질 수 있어 복구 가능성이 HDD보다 낮은 경우가 일반적입니다.
주의할 점
덮어쓰기가 이미 발생했거나 저장장치가 완전 초기화된 경우 복구가 불가능할 수 있으며, 복구된 파일이 원본과 동일함을 입증하려면 해시값 비교 등 무결성 검증 절차가 반드시 병행되어야 합니다.