[DFIR] 압수수색 대응: 영장 범위, 반출 판단과 참여권

수사기관 압수수색 대응과 기업 내부조사의 법적 한계

• 압수수색 대응: 수사기관의 권한과 영장 범위를 확인하고 회사가 제출할 자료와 이의를 제기할 사항을 구분
• 기업 내부조사: 회사에는 수사기관과 같은 강제수사 권한이 없음
  • 수사기관의 절차가 그대로 적용된다는 뜻은 아니지만, 수집 권한과 범위·동일성·무결성·과정 기록을 엄격하게 관리해야 함
  • 보고서와 증거자료가 소송·감사·규제 대응에 사용될 때 수집 경위와 변경 여부를 설명할 수 있어야 함
• 실무에서 주의할 점: 증거를 찾았더라도 수집 절차의 문제로 증거 사용이 제한될 수 있음
  • 증거를 발견하는 것과 함께 증거가 배제되지 않도록 수집 절차를 지키는 것이 중요

압수수색 대응에서 확인할 것

• 사내 조사와 침해사고 대응에서 권한과 절차 구분
• 영장 본문과 별지를 읽고 제출 범위와 의무 확인
• 현장 선별·복제본 반출·원본 반출의 판단 기준 이해
  • 디지털 증거는 현장에서 관련 정보를 선별하는 것이 원칙
  • 예외적인 반출이 필요한 사유와 업무 연속성을 확보할 대안을 함께 검토
• 회사 측 참여자로서 확인할 사항과 이의사항 판단
• 전자정보 압수 관련 8종 서식과 교부받은 문서의 내용 확인
• 임의제출의 한계와 회사 자료 제출 시 위험 검토
• 기업 내부조사의 적법한 범위와 법적 한계 이해

디지털 포렌식의 6단계와 영장 별지

준비 → 증거 수집 → 보관·이송 → 조사·분석 → 정밀 검토 → 보고서 작성

• 별지는 수집 대상과 집행 방법을 구체화하는 근거
• 준비 단계에서 확인한 범위가 수집·분석·보고까지 유지되는지 점검

각 단계에서 문제가 되는 사례

• 준비: 영장에는 컴퓨터가 기재되어 있는데 현장에서는 NAS·클라우드를 사용
  • NAS·클라우드 자료까지 영장 범위에 포함되는지 확인해야 함
  • 영장 범위 밖 자료를 임의제출받는 경우에도 제출 권한과 범위를 별도로 확인
• 수집: 켜진 PC를 종료했는데 BitLocker 복구 키를 확보하지 못함
  • 메모리의 복호화 관련 정보가 사라지고 저장된 데이터에 다시 접근하기 어려워질 수 있음
• 보관·이송: 봉인이나 인계 기록 없이 매체를 이송
  • 이동 중 접근과 변경 여부를 설명하기 어려워짐
• 조사·분석: 별지 범위 밖 폴더까지 키워드 검색
  • 별건 정보를 위법하게 수집하는 문제가 생길 수 있음
• 정밀 검토: 다른 분석관의 검증을 생략해 오탐을 발견하지 못함
  • 상대 감정인의 검토에서 분석 오류가 드러날 수 있음
• 보고서 작성: 확인된 기록만으로 피의자의 유출 행위를 기정사실화
  • 관찰한 사실과 분석가의 의견이 섞이면 감정서의 신뢰성이 떨어짐

압수란 무엇인가

• 압수: 증거물 등을 확보하기 위해 소지자의 점유를 수사기관 등으로 이전하는 처분
• 압수 대상과 그 물건을 소지·보관하는 사람을 구분해서 확인

디지털 증거의 압수

• 전자정보는 눈에 보이거나 손으로 잡히는 물건과 달리 복제해 확보할 수 있음
• 스마트폰이나 서버에 저장된 정보 중 범죄 혐의와 관련된 부분을 선별해 출력·복제하는 것이 원칙
  • 원본과 수집 데이터의 동일성, 수집 이후의 무결성을 함께 관리
  • 복제·공유가 쉬워 무관한 정보까지 수집하면 침해 범위가 커질 수 있음
• 현장 선별이 불가능하거나 압수 목적 달성이 현저히 곤란한 때에는 예외적으로 매체 자체를 압수할 수 있음
  • 온프레미스 서버도 장비 전체 반출에 앞서 관련 정보만 수집할 수 있는지 검토
  • 매체 전체를 가져가는 압수와 몰수는 다른 개념 원본 반출만으로 몰수가 되는 것은 아님

선별 출력·복제 원칙과 매체 압수의 예외는 형사소송법 제106조 제3항에 규정되어 있습니다

영장 본문과 별지

• 본문: 압수할 물건, 수색할 장소, 유효기간 등 확인
• 별지: 대상의 상세 범위, 집행 방법, 참여, 사후 조치, 원격지 정보에 관한 조건 확인
• 본문과 별지를 함께 읽어 무엇을 어떤 방식으로 확보할 수 있는지 판단
  • 별지의 제한을 벗어난 집행은 적법성과 증거능력에 문제가 될 수 있음
  • 영장 밖 자료의 제출에 동의하면 임의제출 문제가 생길 수 있으므로 제출 의사와 범위를 명확히 해야 함
  • 이의가 받아들여지지 않더라도 이의 내용과 실제 집행 경위를 기록하고 확인서에 반영되는지 확인

영장에서 확인할 항목

• 압수할 물건: 혐의와 관련된 전자정보 및 대상 매체·계정·경로
• 기간: 영장의 유효기간과 수집 대상 정보의 기간을 구분
  • 정보의 생성·수정·송수신 중 어떤 시점을 기준으로 하는지 확인하고 타임스탬프 필터에 반영
• 집행 방법: 현장 선별이 어려울 때 다음 방식으로 넘어갈 조건
  • 각 단계가 곤란한 구체적 사유를 기록
• 참여: 피압수자·변호인의 탐색·복제·출력 과정 참여 기회
  • 현장뿐 아니라 반출 후 사무실에서 진행하는 절차도 확인
• 사후 조치: 무관한 정보의 삭제·폐기와 압수한 전자정보의 상세목록 교부
  • 삭제·폐기 경위도 기록하고, 목록은 확보한 정보를 식별할 수 있도록 작성
  • 파일 목록을 담은 엑셀·워드 문서 등이 활용될 수 있음
• 원격지 서버: 클라우드·메일 계정의 자료가 영장 범위에 포함되는지 확인
  • 통상적인 접근 방법인지, 계정 접근 권한을 적법하게 확보했는지 함께 판단
  • 로그인 상태라는 사정만으로 모든 클라우드 자료의 압수가 허용되지는 않음

참고 판례: 2011모1839 전원합의체 결정

종근당 사건으로 알려진 대법원 2015. 7. 16. 자 2011모1839 판결에서 전자정보 압수수색의 범위와 참여권, 별건 정보 발견 시 절차를 다룹니다

• 사실관계: 배임 혐의로 반출한 자료에서 무관한 별건 정보를 발견하고 추가 영장을 받아 압수한 사안
• 판단: 적법한 탐색 중 별건 정보를 우연히 발견했다면 추가 탐색을 멈추고 별도 영장을 받아야 함
  • 반출 이후의 탐색·복제·출력도 압수수색의 일부이며 참여 기회 보장이 필요
  • 추가 영장을 받았다는 사정만으로 앞선 위법이 해소되는 것은 아님
• 실무 함의: 중대한 절차 위반은 압수수색 전체의 취소로 이어질 수 있음
  • “보다 보니 나왔다”는 설명만으로 범위 밖 탐색을 정당화할 수 없음

탐색 중 별건 정보가 나왔다면

1. 추가 탐색 중단
   • 해당 정보의 추가 열람을 중단하고 발견 경위·시각·위치·열람 범위를 기록
2. 별도 영장
   • 적법한 탐색에서 발견한 경위를 토대로 새 혐의에 관한 영장 청구
   • 발부 전에는 추가 탐색을 하지 않고 보전 조치의 법적 근거와 범위도 확인
3. 참여권 재보장
   • 새 영장 집행에서도 참여 대상자와 변호인에게 통지하고 참여 기회를 보장
   • 참여·철회 의사는 별지 제6호, 현장 외 압수절차 안내는 별지 제7호 서식과 연결

증거가 사라질 우려로 범위 밖의 내용을 압수하는 건 보전 필요성을 요구하는 것으로, 그 자체로 별건 정보의 탐색을 계속할 권한이 생기는 것은 아닙니다

영장 범위 안인지 판단할 기준

• 대상 매체·계정에 해당하는가
• 정보의 기간이 영장에서 정한 범위에 들어오는가
  • 생성·수정·송수신 시점의 기준을 조사 기획서와 착수 보고서에도 명확히 기록
• 혐의사실과 관련되는가
• 원격지 접속은 허용된 범위와 통상적인 방법에 따른 것인가
• 범위가 불명확하다면 탐색을 중단하고 경위를 기록한 뒤 추가 영장 필요성을 확인

현장에서 모두 끝내려다 영장 범위를 넓혀서는 안 됩니다. 별도 영장이 필요하다는 이의와 그 이후 진행된 압수 경위를 명확히 기록해야합니다.

반출 방식 판단

반출 방식은 3 단계로 접근할 수 있습니다.

1. 현장 선별: 혐의사실과 관련된 정보만 출력·복제
2. 복제본 반출: 현장 선별이 곤란할 때 복제본을 확보하고 반출 사유 기록
3. 원본 반출: 복제본 확보도 곤란할 때 원본 반출을 검토하고 사유 기록
   • 원본을 계속 보관할 필요가 없어지면 반환 절차 검토

• 영장에서 정한 단계와 조건에 따라 판단하며 앞 단계가 곤란한 이유를 설명해야 함
• 단순한 편의나 추상적인 수사 효율성만으로 반출을 정당화하기 어려움
• 대용량, 암호화, 특수·레거시 환경 등 구체적인 기술·현장 사정 확인
• 회사는 관련 계정·경로와 자료 구조를 준비해 현장 선별 가능성을 높일 수 있음
• 판단 근거는 착수 기록에 남겨 반출 필요성과 업무 영향, 대안 검토 경위를 설명

매체별로 현장 선별과 반출 조건을 살펴보면 다음과 같습니다

• 8 TB 외장 HDD
  • 관련 폴더를 특정할 수 있으면 해당 범위를 선별 수집
  • 폴더 구조로 특정하기 어렵거나 삭제 흔적 확인이 필요하면 복제본 반출 검토
  • 현장 체류 제약 등으로 복제까지 곤란하다면 원본 반출의 필요성 검토
  • 참여 거부나 시간 제한만으로 곧바로 원본 반출이 정당화되는 것은 아님
• 운영 중인 사내 서버
  • 관련 계정·경로만 라이브 논리 수집할 수 있는지 먼저 확인
  • DB 파일 암호화 등으로 선별이 어렵다면 볼륨 스냅샷·라이브 이미징 가능성 검토
  • 업무 중단 영향이 크므로 원본 반출은 최후에 검토할 방식
• 이직한 회사의 노트북
  • 제3자 회사 자산인지, 영장 대상에 포함되는지 확인
  • 피의자 계정 프로파일을 구분할 수 있다면 해당 범위부터 선별
  • 회사 측 관리자와 실질적 피압수자인 피의자 등 참여권 보장 대상 확인

세 경우 모두 현장 선별 가능성부터 판단합니다 다음 단계로 넘어갈 때는 무엇이 곤란했는지 기록해야 반출의 필요성을 설명할 수 있습니다

원격지: 클라우드·메일 서버

• 압수수색은 영장에 기재된 장소와 대상 범위에서 집행하는 것이 원칙
• 원격 서버의 정보도 영장이 허용하는 범위에서 적법하게 접근해 확보할 수 있음
  • 영장 기재 장소의 정보처리장치를 사용
  • 적법하게 확보한 계정 정보로 통상적인 방법에 따라 접근
  • 혐의사실과 관련된 정보로 수집 범위를 제한
• 원격 서버의 물리적 위치를 별도로 적었는지만으로 적법성을 판단하지 않음
  • 실무에서는 해석상 다툼을 줄이기 위해 대상 계정과 클라우드 범위를 명확히 특정할 필요가 있음
  • iCloud 등 다른 서비스에도 로그인 여부만으로 같은 결론을 적용해서는 안 됨

대법원 2017. 11. 29. 선고 2017도9747 판결은 외국계 이메일 계정의 원격지 전자정보에 대한 압수수색을 다룹니다 영장과 적법한 계정 접근, 통상적인 접속 방법, 혐의 관련성이라는 조건을 참고해야합니다.

현장에서 전원이 켜진 시스템인 경우

상황별 판단을 요구하지만 실무적으로 전원을 유지한 채 수집을 검토합니다.

• 전원을 내릴 때: 휘발성 정보와 메모리의 복호화 관련 정보가 사라질 수 있음
• 켜둔 채 조작할 때: 수집 행위가 시스템을 변경하고 새로운 흔적을 남길 수 있음
• 전체디스크암호화: BitLocker 등으로 인해 종료 후 데이터 접근이 어려워질 가능성 확인
• 원격 삭제: 외부 명령으로 증거가 사라질 가능성 검토
• 실행 중인 프로세스: 종료하면 잃는 흔적과 악성 스크립트를 계속 실행시킬 위험을 함께 판단

켜진 시스템은 전원을 유지하며 수집할 수 있는지 먼저 검토합니다 전원 유지·종료 중 어느 쪽을 선택하든 판단 이유와 수행한 조작을 기록해야 합니다

반출 단계와 사유

• 선별 수집과 해시
  • 단순 복사 완료 여부만으로 수집의 적절성을 판단하지 않고 수집 방식·범위·메타데이터와 해시를 확인
  • 참여인이 선별 과정과 범위를 확인할 수 있도록 참여 기회 보장
• 삭제 파일 복구가 필요한 경우
  • 일반적인 파일·폴더 복사로는 비할당 영역의 삭제 흔적을 확보하기 어려움
  • 삭제 영역 확보의 필요성과 현장 처리의 곤란 사유에 따라 복제본 반출 검토
• 20 TB 공유 NAS 중 피의자 계정 폴더가 3 GB인 경우
  • 관련 범위를 특정할 수 있다면 현장 선별부터 검토
• 잠금 해제가 불가능하고 협조를 얻지 못한 스마트폰
  • 현장 선별과 복제 가능성을 확인하고 그 곤란 사유에 따라 원본 반출 검토
  • 반출 시 봉인하고 이후 포렌식 과정에서도 보관·개봉·분석 이력 관리
  • 데이터 추출 이후에도 원본 보관 필요성을 확인해 반환 여부 판단
    • 모바일 포렌식에 사용하는 대표 도구
      • GMDsoft의 MD-NEXT·MD-RED
      • 잠긴 기기는 별도의 잠금 해제 도구가 필요할 수 있음
• 폴더를 특정하기 어려운 8 TB HDD와 현장 시간 제약
  • 복제본 확보까지 곤란한지 확인한 뒤 원본 반출 검토
  • 원본 임의제출 방식도 검토할 수 있으나 제출자의 권한·의사·제출 범위를 별도로 확인해야 함

임의제출은 시간 제약이나 영장 범위 문제를 자동으로 해소하지 않습니다 제출된 매체의 모든 정보를 제한 없이 탐색할 수 있는 것도 아닙니다 관련 판단은 대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결에서 확인할 수 있습니다

참여권과 확인서

• 참여권: 피압수자·변호인이 압수수색 과정에 참여할 기회를 보장받는 권리
• 현장 집행뿐 아니라 반출 후 탐색·복제·출력 과정에서도 확인해야 함
• 통지 여부와 함께 참여 대상자, 일시·장소, 실제 참여 가능성을 확인
• 참여하지 않거나 참여를 철회한다면 그 의사를 문서로 기록
• 통지를 받으면 참여권을 행사해 압수수색 범위와 절차를 확인하는 것이 좋음

참여권을 확인할 시점

집행 착수 → 현장 선별 → 복제·봉인 → 사무실 탐색 → 출력·복제 → 목록 교부·폐기

• 각 단계의 참여·통지 내용과 처리 경위를 연결해서 확인
• 해시는 같은 알고리즘과 같은 데이터 범위를 기준으로 비교
• 값이 다르다면 변경 여부와 계산 대상·조건을 확인하고 원인 기록

참여권 보장에 문제가 되는 사례

• 통지는 했으나 실질적으로 참여하기 어려운 경우
  • 지방 출장 중인 피압수자에게 시작 30분 전에 전화 통지
  • 연락했다는 사실만으로 충분한 참여 기회를 보장했다고 단정하기 어려움
• 참여는 했으나 검색 범위를 확인하지 못한 경우
  • 관련 폴더를 넘어 전체 자료에 키워드 검색
  • 피압수자가 현장에 있었더라도 범위 밖 탐색이 정당화되지는 않음
  • 검색 대상과 방법을 설명받았는지, 이의사항이 기록되었는지 확인

전자정보 압수 관련 8종 서식

전자정보 압수 관련 서식에는 확인서뿐 아니라 안내서와 인수증도 포함됩니다 해당 절차에 사용된 서식과 교부받은 문서를 구분해서 확인합니다

1. 전자정보 확인서
2. 전자정보 확인서(간이)
3. 복제본 반출(획득) 확인서
4. 정보저장매체 원본 반출 확인서
5. 정보저장매체 원본 반출 확인서(모바일기기)
6. 참여(철회) 확인서
7. 현장 외 압수절차 참여인을 위한 안내서
8. 정보저장매체 인수증

• 확인할 내용: 대상과 선별 범위, 반출 사유, 해시 등 검증 정보, 참여 의사와 이의사항, 인수·인계 경위
• 각 문서의 기록이 실제 진행된 절차 및 압수한 정보 목록과 일치하는지 확인

참고 자료

• 국가법령정보센터 — 형사소송법 제106조
• 대법원 — 2015. 7. 16. 자 2011모1839 전원합의체 결정
• 대법원 — 2017. 11. 29. 선고 2017도9747 판결
• 대법원 — 2021. 11. 18. 선고 2016도348 전원합의체 판결
• GMDsoft — 모바일 포렌식 도구