-“휴대폰에서 삭제된 파일은 복구가 될까?”
많은 의뢰인들의 질문에 관한 답이 엔지니어나 상담사들 마다 상이하다는 얘기를 자주 듣습니다.
어딘 된다고 하고 어딘 안된다고 하니 관련 지식이 전무한 일반인들이 정답을 찾긴 어렵습니다.
해당 질문에 대한 결론은 “가능성은 있다!” 입니다.
그것이 사진/동영상/음성녹음 중 어떤 형식의 미디어 파일이던 복구될 가능성은 명백하게 있습니다.
-그렇다면, “가능성이 몇 퍼센트나 되는가?”
예외 없이 따라 붙는 의뢰인분들의 궁금증입니다. 하지만 아쉽게도 복구성공 가능성을 몇 퍼센트로 통계를 낼 순 없습니다.
그 이유는 의뢰인분들이 사용하는 휴대폰의 기종/보안패치 정보/사용하는 어플의 종류/휴대폰의 전체 용량 대비 사용중인 용량/휴대폰을 사용하는 방식/찾으려는 파일의 삭제방식과 삭제 이후 조치 등과 같은 여러 요인들이 복구가능성에 큰 영향을 주기 때문이며, 이 모든 요인들에 대한 매 의뢰건의 일치성을 데이터화하여 통계를 내는 것 자체가 불가능하기 때문입니다.
쉽게 말해, 의뢰인이 찾고자 하는 파일이 어떤 방식으로 지워졌고 지워진 시점 이후로 어떤 어떤 어플들을 사용하여 어떤 데이터가 얼마만큼의 용량을 추가로 유입되었고 의뢰인이 질문하는 상황이 오기까지 웨어레벨링, 가비지컬렉션 등의 기능들이 작동되었는가 등을 의뢰인분이 정확하게 답 할 수 있는가? 라는 질문에 의뢰인분이 그렇다고 하며 정확한 답변을 하는 케이스들이 누적된다면 통계를 만들 수 있다는 것입니다.
-어떤 업체에 문의하면 “100퍼센트” 또는 “50퍼센트” 라고 답변한다면?
위 언급한 여러 요인들에 대한 통계를 내었는지 어떤식의 통계인지 물어보면 답이 나옵니다. 그런 유형의 답변을 하는 업체들은 정확한 답변을 위한 구체적인 상황에 대한 확인조차 하지 않고 마치 메뉴얼이라도 정한 듯 같은 답을 합니다. 매우 잘못된 답변입니다.
-의뢰인의 상황에서는 “복구 성공할 가능성이 높은가?”
라고 질문을 해야 옳습니다.
그 답을 하는 엔지니어는 “일반적으론 가능성은 낮다” 라고 해야 옳은 것이구요.
-업체마다 상이하지만, “가능성이 낮다”거나 “복구가 안된다”라고 답변하는 이유는?
휴대폰에 사용되는 보안기술의 발전으로 인한 메모리 비할당영역 분석의 의미가 없어진 것, 그리고 제한된 저장공간을 효율적으로 사용하기 위한 낸드메모리의 기능 등에 의한 완전삭제 처리가 랜덤한 영역에 대하여 이루어지는 등의 이유 때문입니다.
현대의 스마트폰에서는 FBE(File-Based Encryption, 파일 기반 암호화)가 널리 사용됩니다. 이는 통상 휴대폰의 userdata파티션에 적용되어 해당 파티션 내의 모든 파일들은 파일별로 암호화가되고 암호화키가 파일별로 존재합니다. 따라서 사용자가 삭제한 파일을 운 좋게 찾았다고 하더라도 파일과 함께 삭제된 암호화키도 정상적으로 찾지 못한다면 파일복구는 실패할 수 밖에 없습니다.
-그렇다면 삭제된 파일복구는 불가능하다고 해야 옳지 않는가?
위 언급한 기술적인 이유만 따진다면 언뜻 그렇게 생각됩니다.
하지만, 삭제된 파일이 가비지 컬렉션 등의 완전삭제 처리 영역에 포함되지 않아 실제로는 파일이 남아있어 복구성공하는 경우가 있습니다.
또한 많은 업체들이 사용할 수 있도록 상용화된 저렴한 분석프로그램이 아닌, 고가의 포렌식 전용 프로그램과 기술로 시스템파티션과 같은 더 많은 영역을 확보하고 더 많은 앱데이터를 분석해내어 추출하는 경우도 있습니다.
그리고 휴대폰은 사진파일 등의 사본을 생성하여 임시 보관하고 있기 때문에 원본이 완전삭제된 경우에도 원본과 동일한 내용의 사본파일을 복구하여 참고할 수 있습니다.
결론
실제로는 완전삭제 처리되지 않은 상태이나 사용자가 접근하여 확인할 수 없는 영역에 있는 파일을 전문포렌식 도구를 통해 분석하고 복구 성공하는 케이스가 여전히 존재합니다.
아울러 휴대폰매장, 컴퓨터가게, 흥신소 등과 같은 비전문 복구업체에서 사용하는 저가의 프로그램이나 기술로는 불가능한 케이스도 평택데이터복구기술센터와 같은 포렌식 전문 업체에서 성공하는 케이스가 많습니다.
휴대폰에서 삭제된 사진, 동영상, 음성파일 복구 성공 가능성은 있습니다.