[Forensic Cases] 버스에서 녹화 촬영된 CCTV 자료의 조작 여부

1. 요청 사항

가. A가 20XX. 3. 1. 17:16경 버스에 승차할 당시 녹화 촬영된 원본하드디스크의 조작(삭제) 여부

나. 원본 디스크에서 사본한 CD와 위 원본의 동일성 여부

 

2. 분석대상 정보

가. HDD

  - 제조사 : HITACHI

  - 모델명 : HTS541612J9SAT00

  - 용량 : 120 GB

<본 이미지는 사건과 관련 없음>

 

나. CD

  - 제조사 : Digitalibe

  - 모델명 : CD-R

  - 용량 : 700MB

 

3. 분석 프로그램

  - EnCase v6.13 , PC Client V2.2.3.B6, Adrenalin Player V2.2

 

4. 분석 절차

 가. EnCase를 이용해 이미지 파일 내부에 저장된 사건 관련 파일에 대한 생성일자 등 관련정보를 분석한 후 윈도우 환경으로 위 파일을 복사.

 

 나. CCTV 제조사 (D-TEG)로부터 사용자 프로그램을 송부받아 하드디스크에 저장된 파일과 CD에 저장된 파일을 열람하고 녹화내용이 일치하는지 확인

 

5. A의 주장

  - A는 버스의 앞문에 피의자의 발이 끼여 다치는 장면을 버스회사측에서 고의로 삭제한 후 조작된 증거를 CD로 만들어 제출하였다는 주장임

 

6. 분석 내용

가. CCTV 제조사를 상대로 CCTV 녹화 및 데이터 저장에 관한 체계 확인

  - 녹화된 자료는 Avfiles 파티션에 녹화시의 시간(년도월일시) 순서 대로 디렉토리가 생성되고, 각 디렉토리 아래 녹화된 파일이 저장되며, 파일명은 녹화된 시간(년도월일시분초)으로 표시됨

 

  - 즉 디렉토리명이 ‘20XX030117’ 이라면 이는 20XX년 3월 1일 17시부터 녹화된 자료임을 의미하고, 파일명이 ‘20XX030117160’ 이라면 이는 20XX년 3월 1일 17시 16에 녹화된 자료임을 의미함

 

  - 녹화된 자료가 저장된 하드디스크는 일반 컴퓨터에 연결하더라도 쓰기(삭제 포함)가 금지되어 있으므로 사용자가 임의로 위 파일명을 바꿀 수 없을 뿐만 아니라, 만약 편집을 하였을 경우 재생 Software에서 재생을 할 수 없음

 

  - CCTV의 모든 채널(화면)은 움직임이 있을 때만 녹화가 되는 ‘모션녹화’방식을 취하고 있어, 승객들을 비추는 카메라와 차량외부를 비추는 전방카메라 및 외부카메라에 비해 버스 운전석을 보고 있는 카메라는 녹화가 되지 않는 경우(검은색 화면으로만 표시)도 있음

 

나. 윈도우 파일시스템 분석

  - 윈도우 File Identifier (NTFS 파일시스템에서 각각의 파일이 기록된 순서를 기록한 정보)를 조사하여 순서대로 저장되어 있는 지 여부를 확인

 

7. 분석 결과

 가. CD에 저장된 녹화자료는 버스회사측 CCTV 관리 담당자가 원본파일을 AVI 포맷으로 변환하여 CD로 제작한 것임

 

 나. CD에 저장된 녹화자료와 원본 하드디스크의 해당 일시의 녹화자료를 직접 실행하여 비교한 바, 화면에 보여지는 영상이 일치하는 것으로 보임

 

 다. CCTV에서 녹화된 자료의 저장 체계에 따르면 녹화된 자료는 매분마다 파일 형태로 하드디스크에 기록한다고 하므로, 이를 근거로 20XX년 3월 1일 17:00 ~ 18:00경 사이에 원본 하드디스크상에 매분마다 순차적으로 파일이 저장되어 있는 지 살펴본 바, 매분마다 순차적으로 파일이 생성되어 있으며, XX개의 파일이 모두 발견됨

 

 라. 위 CCTV 제조사의 이메일 진술에 따르면, 녹화자료가 저장된 원본 하드디스크는 일반 PC에 연결 하더라도, 쓰기(삭제 포함)행위가 금지되어 있고, 또한 만약 편집을 하였다면 재생 Software에서 재생 자체가 불가능하다고 하는바, 이를 미루어 보아 원천적으로 원본 하드디스크에 저장된 녹화자료 중 일부를 편집하거나 삭제하는 행위 자체가 차단되어 있는 것으로 보임

 

 마. 위 원본 하드디스크는 NTFS 파일시스템으로 포맷이 되어 있는 바,위 파일시스템의 경우 $MFT 테이블에 파일이 생성되는 순서에 따라 File Identifier(일종의 Index Number)를 순차적으로 기록하여 저장하므로, 이를 근거로 20XX년 3월 1일 17:00 ~ 18:00경 사이에 원본 하드디스크상에 매분마다 순차적으로 파일이 저장되어 있는 지 살펴본 바, 11403266 ~ 11403505까지 총 240개의 File Identifier(매 분당 녹화자료는 4개의 파일로 구성되어 있음)가 순차적으로 생성되어 있음을 확인

 

 바. 위 내용을 종합하면, 20XX년 3월 1일 17:00 ~ 18:00경 사이에 원본 하드디스크에 녹화된 자료에 대하여 삭제를 의심할 만한 흔적이 없는 것으로 보이고, 아울러 CD에 저장된 녹화자료(20XX. 3. 1. 17:11경 ~ 17:12경 사이의 녹화자료)도 원본 하드디스크에 저장된 해당 일시의 녹화자료와 내용상 일치하는 것으로 보임