디지털포렌식 까마귀

X-Ways Forensics - (3) Technical Background

present4n6 — Thu, 26 Mar 2026 22:26:50 +0900

프로그램에서 지원하는 기술적 스펙에 대해 간략하게 살펴보겠습니다.

1. 속성 범례(Attribute Legend)

2. 프로그램 지원 스펙 사양

대부분의 경우 진행률 표시에는 작업 완료율이 백분율로 표시됩니다. 하지만 검색 및 바꾸기 작업 중에는 현재 파일 또는 디스크에서의 상대적인 위치가 표시됩니다.
암호화/복호화에 사용하는 키는 하드 디스크에 저장되지 않습니다. 해당 보안 옵션이 활성화된 경우, WinHex가 실행되는 동안 키는 RAM에 암호화된 상태로 저장됩니다.
일반적으로 대소문자 구분 기능을 켜고 와일드카드를 사용하지 않을 때 검색 및 바꾸기 작업이 가장 빠르게 실행됩니다.
"count occurrences" 옵션을 활성화하여 검색하거나, 프롬프트 없이 바꾸기를 선택할 경우, 검색 알고리즘은 일반적으로 특정 항목이 발견되었을 때 두 가지 방식으로 동작할 수 있으며, 경우에 따라 결과가 다를 수 있습니다. 다음 예시를 통해 이를 설명합니다.

"Banana"라는 단어에서 "ana"라는 글자를 찾고 있습니다. 첫 번째 "ana"는 이미 두 번째 글자에서 발견되었습니다.

1번 방안 : 알고리즘은 세 번째 문자에서 검색을 계속합니다. 따라서 'ana'는 네 번째 문자에서 다시 발견됩니다.
2번 방안 : "바나나"라는 단어에 있는 세 글자 "ana"는 생략됩니다. 나머지 글자 "na"에는 더 이상 "ana"가 포함되지 않습니다.

WinHex는 두 번째 방식으로 프로그래밍되어 있는데, 이는 발생 횟수를 세거나 바꿀 때 더 합리적인 결과를 제공하기 때문입니다. 하지만 F3 키를 눌러 검색을 계속하거나 바꾸기 옵션에서 "prompt when found"를 선택하면 알고리즘은 첫 번째 방식을 따릅니다.

파일 헤더 시그니처 검색(File header signature searches), 블록 단위 해시 매칭(Block-wise hash matching), FILE 레코드 검색(FILE record searches), 손실된 파티션 검색(searches for lost partitions), 그리고 물리적 동시 검색(physical simultaneous searches)은 특정 압축 및 스파스(sparse) 형태의 .e01 증거 파일을 다룰 때 스파스 인식(sparse-aware) 방식으로 동작합니다.

이는 원본 하드디스크에서 한 번도 기록되지 않아 여전히 0으로 채워진 영역이나, 원본 디스크에서 삭제되었거나 클렌징된 이미지에서 의도적으로 제외된 영역들을 건너뛴다는 의미입니다. 따라서 이러한 영역들은 데이터를 읽거나, 압축을 해제하거나, 추가적인 처리(검색/해싱/블록 해시 데이터베이스와의 매칭)를 수행할 필요가 없기 때문에 거의 시간이 소요되지 않습니다.

스파스 인식(sparse-awareness)은 32KB, 128KB 또는 512KB 청크 크기로 X-Ways Forensics 및 XWays Imager에 의해 생성된 .e01 증거 파일에서 활성화될 수 있습니다. 또한 설정과 내부 구조에 따라 타사 소프트웨어로 생성된 이미지에서도 적용될 수 있습니다.

그러나 다음과 같은 경우에는 스파스 인식(sparse-aware) 방식이 적용되지 않습니다.

Windows 동적 디스크의 이미지
LVM2 디스크의 이미지
.e01 증거 파일을 기반으로 재구성된 RAID

NTFS 파일 시스템에 저장된 파일에 대한 논리적 검색과 인덱싱은 .e01 증거 파일 수준에서도 스파스 인식(sparse-aware) 방식으로 동작하며, 일반적으로 가상 “Free space” 파일에 대한 논리적 검색에서도 마찬가지입니다.

NTFS, Ext*, XFS, UFS 파일 시스템에서의 논리적 검색과 인덱싱은 파일 시스템 수준에서 스파스 인식(sparse-aware) 방식으로 동작합니다. 이는 스파스 파일(sparse file) 내부에 존재하는 큰 빈 영역들을 처리하는데 시간을 낭비하지 않는다는 의미입니다. 이러한 영역들은 증거 대상이 .e01 증거 파일이든, raw 이미지든, RAID든, 실제 디스크든 관계없이 모두 SKIP 됩니다.

X-Ways Forensics - (2) About X-Ways Forensics

present4n6 — Sun, 22 Mar 2026 22:05:47 +0900

굉장히 오랜만에 본 카테고리에 글을 이어서 쓰게 되었습니다. 다름 아니라 정말 오랜만에 공부를 좀 할까 하는 생각이 들었고, X-PERT 자격증에 도전해볼 겸 XWF의 매뉴얼을 정독하면서 천천히 공부해보고자 합니다.

XWF의 매뉴얼은 약 270 페이지 정도 되는데요, 틈 날 때마다 조금씩 읽으면서 블로그에 정리해보고자 합니다.

1. 서문

1.1 WinHex와 X-Ways Forensics에 대하여

X-Ways Software Technology AG	Web: https://www.x-ways.net/
Carl-Diem-Str. 32	Retrieve quotes and purchase from:
32257 Bünde	https://www.x-ways.net/order.html
Germany	E-mail address: mail@x-ways.com

Registered in Bad Oeynhausen (HRB 7475). CEO: Stefan Fleischmann. Board of directors (chairwoman): Dr. M. Horstmeyer.

X-Ways Software Technology AG는 독일 연방 공화국 법률에 따라 설립된 주식회사입니다. WinHex는 1995년에 처음 출시되었습니다.

이 소프트웨어는 다음에서 다양한 수준으로 실행할 수 있습니다.

Windows 7/Server 2008 R2
Windows 8/8.1/Server 2012
Windows 10/Server 2016/Server 2019/Server 2022
Windows 11/Server 2025(32비트 및 64비트, Standard, PE 및 FE 버전)

또한 Windows XP, Windows 2003 Server, Windows Vista/Server 2008에서도 제한적으로 실행될 수 있습니다. 일부 기능은 Linux+Wine 환경에서도 사용 가능합니다. 하지만 일부 복사 방지 방법(동글 포함)은 Linux+Wine 환경에서 전혀 작동하지 않습니다.

1-2. 라이센스 유형

Personal

개인 라이선스는 비상업적 용도로만 사용 가능하며, 사업체, 기관, 정부 기관이 아닌 환경에서 할인된 가격으로 제공됩니다.

Professional

해당 라이선스를 사용하면 가정, 회사, 기관 또는 공공 기관 등 모든 환경에서 소프트웨어를 사용할 수 있습니다. 전문가용 라이선스는 스크립트 실행 기능도 제공합니다.

Specialist License

해당 라이선스를 사용하면 전문가 메뉴 명령을 이용하고, exFAT, Ext2, Ext3, Ext4, CDFS/ISO9660, UDF 파일 시스템을 읽을 수 있으며, 드라이브의 여유 공간과 슬랙 공간을 강조 표시하고, RAID 재구성, Windows 동적 디스크, Linux LVM2를 지원하고, 디렉터리 브라우저에 더 많은 열을 표시하고, 디스크 복제/이미징을 되돌릴 수 있습니다. 특히 IT 보안 전문가에게 유용합니다.

WinHex Lab Edition

HFS, HFS+/HFSJ/HFSX, ReiserFS, Reiser4, XFS, BtrFS(LVM2 또는 RAID 구성을 통한 다중 디스크 지원, 단 BtrFS 다중 장치 구성은 지원하지 않음), UFS1, UFS2, APFS(암호화되지 않음), QNX 파일 시스템을 지원하며, 증거 파일 컨테이너 생성 및 일반 X-Tension 실행을 허용합니다.

X-Ways Forensics

를 사용하면 위에 명시된 기능 외에도 강력한 사례 관리 및 보고서 생성 기능, 내장 뷰어 및 별도 뷰어 구성 요소, 갤러리 보기, 더욱 세분화된 볼륨 스냅샷 작업, 디렉터리 브라우저의 더 많은 열과 필터(열 순서 변경 가능), 주석 및 레이블을 사용할 수 있습니다. 게다가 이 프로그램들은 증거 파일(.e01)을 읽고 쓸 수 있게 해주고, SquashFS 파일 시스템(GZIP/zlib, LZMA, LZO 또는 XZ 기반)을 탐색할 수 있게 해주는 등 훨씬 더 많은 기능을 제공합니다! 특히 컴퓨터 포렌식 조사관에게 매우 유용합니다.

X-Ways Investigator

X-Ways Forensics의 간소화된 버전입니다. X-Ways Forensics의 모든 기능은 물론 WinHex의 모든 기능까지 포함하고 있지는 않습니다. X-Ways Forensics 사용자는 X-Ways Forensics의 사용자 인터페이스를 X-Ways Investigator의 인터페이스로 일시적으로 축소하여 사용해 볼 수 있으며, 이를 통해 X-Ways Investigator 라이선스를 추가로 구매하여 조사 업무를 여러 사용자(비기술직 포함)에게 분산시키는 것이 조직에 도움이 될지 판단할 수 있습니다. X-Ways Investigator는 사실상 독립형 제품으로 설계된 것은 아닙니다.

텍스트 표시에서 동시에 사용할 수 있는 문자 세트의 최대 개수는 라이선스 유형에 따라 다릅니다(보기 메뉴 참조). 라이선스 유형에 대한 자세한 비교 정보는 http://www.x-ways.net/winhex/comparison.html 에서 확인하실 수 있습니다. 라이선스 주문 방법은 http://www.x-ways.net/order.html 을 참조하십시오. 감사합니다.

1-3. WinHex와 X-Ways Forensics의 차이

WinHex(주 실행 파일은 winhex.exe 또는 winhex64.exe)는 사용자 인터페이스에서 항상 WinHex로 표시되고, X-Ways Forensics(주 실행 파일은 xwforensics.exe 또는 xwforensics64.exe)는 X-Ways Forensics로 표시됩니다. 하지만 공유 프로그램 도움말과 공유 설명서에서는 대부분 "WinHex"라는 이름을 고정적으로 사용하며, 경우에 따라 "X-Ways Forensics"라고 표기하기도 합니다.

WinHex와 X-Ways Forensics는 동일한 코드 기반을 공유합니다. X-Ways Forensics는 전문가 라이선스를 통해 WinHex보다 다양한 추가 포렌식 기능을 제공하지만, 디스크 섹터 또는 해석된 이미지를 편집할 수 없으며 WinHex에서 알려진 데이터 삭제 기능들이 부족합니다.

X-Ways Forensics에서는 디스크, 해석된 이미지 파일, 가상 메모리 및 물리적 RAM이 엄격하게 보기 모드(읽기 전용)로만 열려 있어 증거가 조금이라도 변경되어서는 안 되는 포렌식 절차를 시행합니다. X-Ways Forensics의 이러한 엄격한 쓰기 방지 기능은 원본 증거가 실수로 변경될 가능성을 완전히 차단하며, 이는 법정 소송에서 매우 중요한 요소가 될 수 있습니다.

엄격한 포렌식 절차에 얽매이지 않거나 디스크 또는 이미지에 대해 보다 적극적인 작업이 필요한 경우(예: 부트 섹터 복구 또는 기밀 데이터나 관련 없는 데이터 삭제)에만 X-Ways Forensics 사용자는 WinHex를 실행합니다. WinHex를 사용하면 디스크 섹터를 편집하고 하드 디스크 전체, 여유 공간, 슬랙 공간, 선택한 파일, 선택한 디스크 영역 등을 삭제할 수 있습니다.

X-Ways Forensics 사용자는 xwforensics.exe 실행 파일을 복사하여 winhex.exe로 이름을 바꾸거나(64비트 버전의 경우 xwforensics64.exe 실행 파일을 복사하여 winhex64.exe로 이름을 바꾸면 됨) WinHex를 사용할 수 있습니다. 설치 프로그램이 이러한 복사본을 자동으로 생성합니다. 또는 복사본 대신 하드 링크를 생성할 수도 있습니다. 프로그램을 *winhex*.exe로 실행하면 사용자 인터페이스, 사건 보고서, 사건 로그, 이미지 설명 및 모든 스크린샷을 포함한 모든 곳에서 WinHex로 표시되고 WinHex처럼 작동합니다. 이 버전은 X-Ways Forensics의 모든 포렌식 기능과 WinHex의 섹터 편집 및 데이터 삭제 기능을 하나로 통합한 최상의 버전입니다.

1.4 X-Ways Forensics를 시작해봅시다

X-Ways Forensics 다운로드 파일의 압축을 원하는 디렉터리에 해제하세요. 설치 프로그램을 이용한 설치가 꼭 필요하지는 않습니다. 이 프로그램은 휴대용이므로 USB 드라이브에서 직접 실행하여 다른 컴퓨터(예: 검사하려는 실제 시스템)에서도 사용할 수 있습니다.

또한 Viewer Component도 별도로 다운로드하세요(이 구성 요소는 업데이트 빈도가 훨씬 낮아 표준 다운로드에 포함되어 있지 않습니다). XWays Forensics 64비트 버전을 사용하려면 뷰어 구성 요소의 64비트 버전을 사용하세요 . 기본적으로 뷰어 구성 요소는 하위 디렉터리 \viewer(32비트) 또는 \x64\viewer(64비트)에 있어야 합니다. 뷰어 구성 요소는 X-Ways Forensics와 달리 현재 로그인한 사용자의 프로필에 파일을 생성하므로, 검사 중인 시스템에 파일이 생성되는 것을 방지하려면 X-Ways Forensics에서 뷰어 구성 요소를 사용하지 않도록 설정하세요.

X-Ways Forensics에서 동영상에서 스틸 이미지를 추출하여 갤러리에서 보려면 MPlayer를 다운로드하는 것이 좋습니다. 최신 버전은 이전 버전의 디렉터리에 압축을 풀 수 있습니다. 이전 버전의 WinHex.cfg 구성 파일을 최신 버전에서 계속 사용할 수 있습니다(단, 반대로는 불가능합니다).

X-Ways Forensics 또는 X-Ways Investigator의 휴대용 설치 파일과 해당 아이콘을 특정 컴퓨터의 .xfc 케이스 파일과 연결하려면, 해당 애플리케이션을 관리자 권한으로 최소 한 번 실행한 다음, 사용자 지정 가능한 표준 경로 중 하나가 Windows 설치 드라이브와 동일한 드라이브 문자에 있을 때 애플리케이션을 종료하면 됩니다. 이렇게 하면 애플리케이션이 사용자가 해당 Windows 시스템의 소유자이며 데이터가 시스템에 기록되는 것을 허용한다는 것을 인식하게 됩니다. 이는 애플리케이션을 실행하는 경로, 케이스 파일을 생성하고 저장할 경로, 이미지 파일을 생성하고 저장할 경로 또는 임시 파일을 생성하는 경로일 수 있습니다.

다음은 시작하는 데 도움이 되는 몇 가지 지침과 주요 기능을 찾는 방법입니다. 사건을 생성하고 증거 개체(예: 사용자 자신의 C: 드라이브 또는 하드 디스크 0, 또는 이미지 파일)를 추가하세요. 디렉터리 트리에서 마우스 오른쪽 버튼을 클릭하면 디렉터리 브라우저에서 해당 디렉터리와 그 하위 디렉터리의 내용을 나열할 수 있습니다. 예를 들어, 볼륨의 루트 디렉터리를 마우스 오른쪽 버튼으로 클릭하면 해당 볼륨에 있는 모든 파일 목록이 표시됩니다. 동시에 옵션 > 디렉터리 브라우저를 통해 특정 파일 이름, 파일 형식, 크기 또는 특정 타임스탬프 등을 기준으로 파일을 필터링하여 검색할 수도 있습니다.

강력한 논리 검색 기능은 동시 검색에서 찾을 수 있습니다. X-Ways Forensics의 더욱 흥미로운 기능은 디렉터리 브라우저의 컨텍스트 메뉴(예: 이미지에서 파일 복사)와 전문가 메뉴, 특히 "Refine Volume Snapshot"에서 찾을 수 있습니다. 후자는 파일을 자동으로 추가 처리할 수 있도록 해줍니다. 예를 들어, ZIP 압축 파일 탐색, 이메일 메시지 및 첨부 파일 추출, 사진의 피부톤 확인, 문서 암호화 여부 확인 등이 가능합니다.

X-Ways Forensics는 수천 가지 용도로 사용될 수 있으므로, 단계별 지침(먼저 여기를 클릭하고, 그다음 저기를 클릭하고, 마지막으로 여기를 보세요)은 소프트웨어를 설명하는 올바른 방법이 아니라고 생각합니다. 이 프로그램 도움말/사용자 설명서는 사용 가능한 모든 기능을 정확하게 설명하고 사용자가 다양한 명령어를 창의적으로 조합하여 특정 목표를 달성할 수 있도록 돕기 위한 것입니다. 하지만 결국 사용자가 직접 생각하고, 자신이 무엇을 하고 있는지 이해하고, 결과를 해석해야 합니다.

특히 32비트 메모리 주소 공간이 부족할 수 있는 상황, 수백만 개의 파일이 포함된 디스크 또는 이미지 파일을 처리하는 경우, 또는 수백만 건의 검색 결과를 처리하는 경우(물리적 RAM 용량이 충분한 경우)에는 64비트 버전을 권장합니다. 또한, 계산 집약적인 작업(예: 해싱 또는 암호화)은 64비트 버전에서 더 빠르게 수행될 수 있습니다.

2026 Magnet Virtual Summit, CTF

present4n6 — Thu, 22 Jan 2026 22:58:15 +0900

https://magnetvirtualsummit.com/capture-the-flag/?utm_source=Pardot&utm_medium=Email&utm_campaign=UTMC-0000302

Capture the Flag

Top DFIR experts will be participating in the challenge, but all skill levels will have the chance to flex their skills.

magnetvirtualsummit.com

한국 시간으로 2월 27일(금) 오전 1:00 – 오전 4:00 입니다.^^;;

마그넷 CTF는 시간 차이 때문에 항상 꼭두새벽에 진행되는.....ㅜㅜ

대회 참여를 하면 AXIOM 도구를 사용해볼 수 있으니 사용 해보신 적 없으신 분들은 추천드립니다.

참고로 한국시간(KST): 2월 24일(월) 오전 2:00 에 CTF 팁? 설명회?가 있습니다.

그 외로 4일 동안 여러가지 DFIR 등의 주제로 세션들이 있으니 관심있으신 분들은 들어보세요!

온라인이며, 놓친 세션은 다시볼 수도 있다고 합니다.

https://magnetvirtualsummit.com/sessions/

Agenda Items Sessions

Attending Magnet Virtual Summit gives you the opportunity to interact live with experts during a series of informative presentations, but you’ll also have a chance to revisit any sessions you may miss or want to see again. Register for free today so you

magnetvirtualsummit.com

3. 혐의사실과의 관련성

present4n6 — Wed, 21 Jan 2026 22:40:09 +0900

1. 관련 규정

법원은 필요한 때에는 "피고사건과 관계가 있다고 인정할 수 있는 것에 한정하여" 증거물 등을 압수할 수 있다(형사소송법 제106조 제1항, 제107조 제1항).

검사 또는 사법경찰관도 범죄수사에 필요한 때에는 "피의자가 죄를 범하였다고 의심할 만한 정황이 있고 해당 사건과 관계가 있다고 인정할 수 있는 것에 한정하여" 영장을 발부받아 압수·수색할 수 있다(형사소송법 제215조).

압수·수색에 있어 이와 같은 '관련성' 제한은 2011. 7. 18. 형사소송법 개정(2012. 1. 1. 시행)으로 명문화되었다. 군사법원법도 2020. 6. 9. 같은 취지로 '관련성' 제한을 명문화했다.(2020. 12. 10. 시행, 군사법원법 제254조).

위 개정법 시행 전 선고된 아래의 대법원 판결도 관련성 요건이 필요하다고 보았다.

대법원 2009. 7. 23. 선고 2009도2649 판결 중

압수의 대상을 압수·수색영장의 범죄사실 자체와 직접적으로 연관된 물건에 한정할 것은 아니고, 압수·수색영장의 범죄사실과 기본적 사실관계가 동일한 범행 또는 동종·유사의 범행과 관련된다고 의심할만한 상당한 이유가 있는 범위 내에서는 압수를 실시할 수 있다.

개정법 시행 이후의 판결들은 대체로 "혐의사실과의 객관적 관련성은 압수·수색영장에 기재된 혐의사실 자체 또는 그와 기본적 사실관계가 동일한 범행과 직접 관련되어 있는 경우는 물론 범행 동기와 경위, 범행 수단과 방법, 범행 시간과 장소 등을 증명하기 위한 간접증거나 정황증거 등으로 사용될 수 있는 경우에도 인정될 수 있다.

그 관련성은 압수·수색영장에 기재된 혐의사실의 내용과 수사의 대상, 수사 경위 등을 종합하여 구체적·개별적 연관관계가 있는 경우에만 인정된다고 보아야 하고, 혐의사실과 단순히 동종 또는 유사 범행이라는 사유만으로 관련성이 있다고 할 것은 아니다"라고 판시하여 문언상으로는 개정법 시행전보다 관련성의 의미를 더 엄격하게 해석하고 있는 것으로 보인다(대법원 2017. 12. 5. 선고 2016도13458 판결 및 후술하는 관련성 부정례 참조).

압수할 물건과 해당 사건과의 관련성은 압수·수색영장의 집행 단계에서는 선별 압수 원칙으로 발현되고(형사소송법 제106조 제3항, 제219조), 발부 단계에서는 압수·수색영장의 발부 요건으로 기능한다(형사소송법 제215조).(대법원 2024. 9. 25. 자 2024모2020 결정)

2. 관련 법리

2-1) '관련성' 제한

압수·수색영장 발부의 사유로 된 범죄 혐의사실과 관련된 증거가 아니라면 적법한 압수·수색이 아니므로 그와 무관한 별개의 증거를 압수하였을 경우 이는 원칙적으로 유죄 인정의 증거로 사용할 수 없다.

대법원 2016. 3. 10. 선고 2013도11233 판결
대법원 2019. 10. 17. 선고 2019도6775 판결
대법원 2022. 12. 29. 선고 2018도3119 판결
대법원 2023. 6. 1. 선고 2018도18866 판결
대법원 2025. 2. 27. 선고 2021도8284 판결
등 다수

가) '관련성'의 구체적 의미

형사소송법 제215조에서 정한 '해당 사건과 관계가 있다고 인정할 수 있는 것'은 압수·수색영장의 혐의사실과 관련되고 이를 증명할 수 있는 최소한의 가치가 있는 것으로써 압수·수색영장의 혐의사실과 객관적 관련성이 인정되고 압수·수색영장 대상자와 피의자 사이에 인적 관련성이 있는 경우를 의미한다.

혐의사실과의 객관적 관련성은 압수·수색영장에 기재된 혐의사실 자체 또는 그와 기본적 사실관계가 동일한 범행과 직접 관련되어 있는 경우는 물론 범행 동기와 경위, 범행 수단과 방법, 범행 시간과 장소 등을 증명하기 위한 간접증거, 정황증거나 자백의 보강증거로 사용될 수 있는 경우에도 인정될 수 있다.

객관적 관련성

압수·수색영장에 기재된 혐의사실의 내용과 수사의 대상, 수사 경위 등을 종합하여 구체적·개별적 연관관계가 있는 경우에만 인정할 수 있음
혐의사실과 단순히 동종 또는 유사 범행이라는 사유만으로 객관적 관련성이 있다고 볼 수는 없음

피의자와의 인적 관련성

압수·수색영장에 기재된 대상자의 공동정범이나 교사범 등 공범이나 간접정범은 물론 필요적 공범 등에 대한 사건에 대해서도 인정할 수 있음

대법원 2017. 1. 25. 선고 2016도13489 판결
대법원 2017. 12. 5. 선고 2017도13458 판결
대법원 2020. 2. 13. 선고 2019도14341 판결
대법원 2021. 7. 29. 선고 2020도14654 판결
대법원 2021. 11. 25. 선고 2021도10034 판결
대법원 2024. 6. 27. 선고 2024도1881 판결
대법원 2025. 2. 27. 선고 2021도8284 판결
등 다수

나) 객관적 관련성 판단 시 유의점

객관적 관련성을 인정할 수 있는 구체적·개별적 연관관계가 있는 경우인지 여부를 판단할 때는, 관련성을 요구하는 이유가 혐의사실과 완전히 무관한 별개의 범죄에 관한 증거가 압수됨으로써 헌법이 정한 적법절차의 원칙과 영장주의가 잠탈되고 궁극적으로 국민의 기본권이 침해되는 결과를 방지하기 위한 것임을 염두에 두고, 범죄의 속성, 압수·수색영장에 기재된 혐의사실의 내용, 증거의 특징, 수사의 경위, 수사기관의 인식, 추가 수사의 개연성, 압수·수색의 필요성, 압수·수색을 허용할 경우 침해될 수 있는 기본권 내지 무관정보에 대한 이익 등을 종합적으로 고려하여, 적법절차의 원칙과 실체적 진실 규명의 조화를 도모하고 이를 통해 형사사법정의를 실현하려는 헌법과 형사소송법의 궁극적 취지가 몰각되지 않도록 신중히 판단해야 된다(대법원 2025. 2. 13. 선고 2024도17385 판결).

다) 관련성 판단의 기준 시점

증거 수집 단계의 관련성과 증거 사용을 위한 관련성은 구분되므로, 수사기관이 영장 집행 당시까지 알거나 알 수 있었던 사정에 비추어 관련성을 인정할 수 있는 물건 등을 압수했다면, 그 후 관련성을 부정하는 사정이 밝혀졌다고 하더라도 이미 이루어진 압수처분이 곧바로 위법하게 되는 것은 아니다(대법원 2025. 2. 27. 선고 2021도8284 판결). 따라서 결과적으로 해당 압수·수색영장에 기재된 혐의사실로 기소되지 않았다고 하더라도 관련성 인정에 장애가 되지 않는다(광주지방법원 2024. 9. 6. 선고 2022노1031 판결(대법원 2025. 3. 27. 선고 2024도14765 판결로 확정)).

2-2) 전자정보의 압수·수색과 '관련성' 제한

전자정보는 개인의 사생활이나 기업경영에 관한 정보를 포괄적으로 담고 있는 경우가 많고, 복제·반출이 쉽다는 특징이 있어 압수·수색영장 집행 시 혐의사실과의 관련성에 더욱 유의해야 한다. 법원이 전자정보의 압수·수색에서 관련성에 관한 법리를 선언한 판시 내용은 다음과 같다(대법원 2011. 5. 26. 자 2009모1190 결정, 대법원 2015. 7. 16. 자 2011모1839 전원합의체 결정).

대법원 2011. 5. 26. 자 2009모1190 결정 중

전자정보에 대한 압수·수색영장의 집행에 있어서는 원칙적으로 영장 발부의 사유로 된 혐의사실과 관련된 부분만을 문서 출력물로 수집하거나 수사기관이 휴대한 저장매체에 해당 파일을 복사하는 방식으로 이루어져야 하고, 집행현장의 사정상 위와 같은 방식에 의한 집행이 불가능하거나 현저히 곤란한 부득이한 사정이 존재하더라도 그와 같은 경우에 그 저장매체 자체를 직접 혹은 하드카피나 이미징 등 형태로 수사기관 사무실 등 외부로 반출하여 해당 파일을 압수·수색할 수 있도록 영장에 기재되어 있고 실제 그와 같은 사정이 발생한 때에 한하여 예외적으로 허용될 수 있을 뿐이다.

나아가 이처럼 저장매체 자체를 수사기관 사무실 등으로 옮긴 후 영장에 기재된 범죄 혐의 관련 전자정보를 탐색하여 해당 전자정보를 문서로 출력하거나 파일을 복사하는 과정 역시 전체적으로 압수·수색영장 집행의 일환에 포함된다고 보아야 한다. 따라서 그러한 경우의 문서출력 또는 파일복사의 대상 역시 혐의사실과 관련된 부분으로 한정되어야 함은 헌법 제12조 제1항, 제3항, 형사소송법 제114조, 제215조의 적법절차 및 영장주의의 원칙상 당연하다. 그러므로 수사기관 사무실 등으로 옮긴 저장매체에서 범죄 혐의와의 관련성에 대한 구분 없이 저장된 전자정보 중 임의로 문서출력 혹은 파일복사를 하는 행위는 특별한 사정이 없는 한 영장주의 등 원칙에 반하는 위법한 집행이 된다.

대법원 2015. 7. 16. 자 2011모1839 전원합의체 결정 중

이러한 전자정보에 대한 압수·수색은 사생활의 비밀과 자유, 정보에 대한 자기결정권, 재산권 등을 침해할 우려가 크므로 포괄적으로 이루어져서는 아니 되고 비례의 원칙에 따라 필요한 최소한의 범위 내에서 이루어져야 한다.

따라서 수사기관의 전자정보에 대한 압수·수색은 원칙적으로 영장 발부의 사유로 된 범죄 혐의사실과 관련된 부분만을 문서 출력물로 수집하거나 수사기관이 휴대한 저장매체에 해당 파일을 복제하는 방식으로 이루어져야 하고, 저장매체 자체를 직접 반출하거나 그 저장매체에 들어 있는 전자파일 전부를 하드카피나 이미징 등 형태로 수사기관 사무실 등 외부로 반출하는 방식으로 압수·수색하는 것은 현장의 사정이나 전자정보의 대량성으로 인하여 관련 정보 획득에 긴 시간이 소요되거나 전문 인력에 의한 기술적 조치가 필요한 경우 등 범위를 정하여 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기 현저히 곤란하다고 인정되는 때에 한하여 예외적으로 허용될 수 있을 뿐이다.

이처럼 저장매체 자체 또는 적법하게 획득한 복제본을 탐색하여 혐의사실과 관련된 전자정보를 문서로 출력하거나 파일로 복제하는 일련의 과정 역시 전체적으로 하나의 영장에 기한 압수·수색의 일환에 해당한다 할 것이므로, 그러한 경우의 문서출력 또는 파일복제의 대상 역시 저장매체 소재지에서의 압수·수색과 마찬가지로 혐의사실과 관련된 부분으로 한정되어야 함은 헌법 제12조 제1항, 제3항과 형사소송법 제114조, 제215조의 적법절차 및 영장주의 원칙이나 앞서 본 비례의 원칙에 비추어 당연하다. 따라서 수사기관 사무실 등으로 반출된 저장매체 또는 복제본에서 혐의사실 관련성에 대한 구분 없이 임의로 저장된 전자정보를 문서로 출력하거나 파일로 복제하는 행위는 원칙적으로 영장주의 원칙에 반하는 위법한 압수가 된다.

위 법리는 이후로도 반복적으로 원용되어 확고한 판례 법리로 자리 잡았으며,

대법원 2012. 3. 29. 선고 2011도10508 판결
대법원 2015. 10. 29. 선고 2015도9784 판결
대법원 2017. 11. 14. 선고 2017도3449 판결
대법원 2023. 6. 1. 선고 2018도19782 판결
등 다수

임의제출물의 압수에까지 확대 적용되고 있다.

대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결
대법원 2021. 12. 30. 선고 2018도7994 판결
대법원 2022. 1. 27. 선고 2021도11170 판결

대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결 중

위와 같은 법리는 정보저장매체에 해당하는 임의제출물의 압수(형사소송법 제218조)에도 마찬가지로 적용된다. 임의제출물의 압수는 압수물에 대한 수사기관의 점유 취득이 제출자의 의사에 따라 이루어진다는 점에서 차이가 있을 뿐 범죄혐의를 전제로 한 수사 목적이나 압수의 효력은 영장에 의한 경우와 동일하기 때문이다.

따라서 수사기관은 특정 범죄혐의와 관련하여 전자정보가 수록된 정보저장매체를 임의제출받아 그 안에 저장된 전자정보를 압수하는 경우 그 동기가 된 범죄혐의사실과 관련된 전자정보의 출력물 등을 임의제출받아 압수하는 것이 원칙이다. 다만 현장의 사정이나 전자정보의 대량성과 탐색의 어려움 등의 이유로 범위를 정하여 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기에 현저히 곤란하다고 인정되는 때에 한하여 예외적으로 정보저장매체 자체나 복제본을 임의제출받아 압수할 수 있다.

2-3) 압수·수색 종료 전 별건 혐의와 관련된 자료를 우연히 발견한 경우

압수·수색이 종료되기 전 혐의사실과 관련된 자료를 적법하게 수색하는 과정에서 별도의 범죄혐의와 관련된 자료를 우연히 발견한 경우 수사기관은 더 이상의 추가 수색을 중단하고 법원으로부터 별도의 범죄혐의에 대한 압수·수색영장을 발부받아야 그 별건 자료에 대하여 적법하게 압수·수색을 할 수 있다(대법원 2015. 7. 16. 자 2011모1839 전원합의체 결정, 대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결, 경찰청 디지털 증거 훈령 제20조).

이 경우에도 특별한 사정이 없는 한 그 별건 피압수자에게 형사소송법 제219조, 제121조, 제129조에 따라 참여권을 보장하고 압수한 전자정보 목록을 교부하는 등 별건 피압수자의 이익을 보호하기 위한 적절한 조치를 해야 한다(대법원 2015. 7. 16. 자 2011모1839 전원합의체 결정, 대법원 2017. 11. 14. 선고 2017도3449 판결).

대법원 2015. 7. 16. 자 2011모1839 전원합의체 결정 중

전자정보에 대한 압수·수색이 종료되기 전에 혐의사실과 관련된 전자정보를 적법하게 탐색하는 과정에서 별도의 범죄혐의와 관련된 전자정보를 우연히 발견한 경우라면, 수사기관으로서는 더 이상의 추가 탐색을 중단하고 법원으로부터 별도의 범죄혐의에 대한 압수·수색영장을 발부받은 경우에 한하여 그러한 정보에 대하여도 적법하게 압수·수색을 할 수 있다고 할 것이다.

나아가 이러한 경우에도 별도의 압수·수색 절차는 최초의 압수·수색 절차와 구별되는 별개의 절차이고, 별도 범죄혐의와 관련된 전자정보는 최초의 압수·수색영장에 의한 압수·수색의 대상이 아니어서 저장매체의 원래 소재지에서 별도의 압수·수색영장에 기해 압수·수색을 진행하는 경우와 마찬가지로 피압수자는 최초의 압수·수색 이전부터 해당 전자정보를 관리하고 있던 자라 할 것이므로, 특별한 사정이 없는 한 그 피압수자에게 형사소송법 제219조, 제121조, 제129조에 따라 참여권을 보장하고 압수한 전자정보 목록을 교부하는 등 피압수자의 이익을 보호하기 위한 적절한 조치가 이루어져야 할 것이다.

수사기관으로서는 별건 증거를 발견했을 경우 추가 탐색을 중단하고 별도의 압수·수색영장을 발부받아야 이를 적법하게 압수할 수 있고, 그 추가 영장 집행에 대해 피압수자에게 재차 참여의 기회를 보장해야 한다. 수사기관이 우연히 발견한 별건 전자정보를 피압수자로부터 임의제출받기 위해 별도 영장 없이 미리 출력해 두었더라도 이는 단순히 임의제출을 받기 위한 준비행위로 볼 수 없고 그 출력 자체로 무관정보에 대한 위법한 압수이므로 허용되지 않는다(대구지방법원 서부지원 2021. 4. 15. 선고 2020고합271 판결(항소심인 대구고등법원 2022. 1. 19. 선고 2021노186 판결에 일부 파기 주문이 있으나 증거능력 판단은 그대로 유지되었고, 대법원 2022. 8. 19. 선고 2022도1839 판결에서 상고가 기각되어 확정됨).

2-4) 전자정보의 압수·수색 완료 후 무관정보의 삭제·폐기·반환

수사기관이 전자정보를 압수·수색함에 있어 혐의사실과 관련 있는 정보(유관정보)를 선별하여 압수를 마쳤다면 혐의사실과 관련 없는 정보(무관정보)는 지체 없이 삭제·폐기·반환해야 한다. 수사기관이 유관정보를 선별하여 압수한 후에도 무관정보를 삭제·폐기·반환하지 아니한 채 그대로 보관하고 있다면 무관정보 부분에 대하여는 압수의 대상이 되는 전자정보의 범위를 넘어서는 전자정보를 영장없이 압수·수색하여 취득한 것이기 때문에 위법하다.

또한, 사후에 법원으로부터 압수·수색영장이 발부되었다거나 피고인이나 변호인이 이를 증거로 함에 동의했다고 하여 그 위법성이 치유된다고 볼 수 없다(대법원 2022. 1. 14. 자 2021모1586 결정, 서울고등법원 2022. 8. 12. 선고 2022노594 판결(대법원 2022. 12. 15. 선고 2022도10452 판결로 확정), 대법원 2024. 4. 16. 선고 2020도3050 판결 등).

최근 검찰은 휴대전화 등 모바일 기기의 특성에 따른 기술적 문제나 공소유지를 위한 무결성 입증 필요 등을 들어 '전부 이미지 파일'을 보관할 필요가 있다는 입장으로 보이고, 그에 따라 2024. 10. 1. 자로 대검 디지털 증거 예규 상 관련 규정을 일부 개정했다. 그러나 법원은 동일성·무결성 입증을 위한 무관정보 보관에 대하여도 아래와 같이 엄격한 입장을 취한다.

서울고등법원 2022. 8. 12. 선고 2022노594 판결 중
(대법원 2022. 12. 15. 선고 2022도10452 판결로 확정)

그런데 위와 같이 압수된 이미징 파일은 별건 사건으로 영장이 집행된 이후에도 6개월 가량 그대로 대검찰청 디지털 포렌직 센터 서버에 저장되어 있었다. 이는 위 영장이 정한 압수 대상과 방법의 제한을 위반한 것이다. (중략)

설령 수사기관이 동일성, 무결성 입증 및 공소사실과 직접적으로 관련성있는 전자정보의 진위 여부를 확인하기 위하여 해당 재판의 확정 전에는 휴대전화에 저장된 전체 전자정보에 대한 이미지 파일이 필요하다고 하더라도, 적어도 압수목록이나 전자정보 상세목록에 압수의 대상이 되는 전자정보 부분을 구체적으로 특정하고, 위와 같이 파일 전체를 보관할 수밖에 없는 사정을 부기하며, 위 상세목록에 기재되지 않은 무관정보는 '본래 압수·수색영장의 취지에 따라 삭제·폐기되어야 하지만 유관정보의 증거가치 유지를 위하여 부득이하게 보관하는 것'에 불과하므로, 무관정보에 대하여 새롭게 압수·수색을 하지 않는 등 영장주의와 적법절차 원칙을 지키기 위한 노력을 기울여야 한다.

그런데 별건 사건에서 수사기관이 BT에게 압수한 전자정보 상세목록을 교부하였다거나 범죄 혐의사실과 관련성 없는 정보를 보관하고 있다는 사실을 알려주는 등 조치를 취하였다는 자료가 없다. 휴대전화 전자정보의 경우 하나의 파일에서 피의사실과 직접 관련이 있는 전자정보만을 분리하는 것이 기술적으로 어렵고, 휴대전화 대신 이미 보관 중인 전자정보를 압수하는 것이 압수당사자의 사생활 보장 측면에서 유리할 수 있다는 사정을 들어 위와 같은 절차로 취득한 증거 및 2차적 증거의 증거능력을 인정한다면, 이는 범죄혐의와 관련 있는 압수 정보에 대한 상세목록 작성·교부의무와 범죄혐의와 관련 없는 정보에 대한 삭제·폐기·반환의무를 사실상 형해화하는 결과가 되어 헌법과 형사소송법이 절차 조항을 마련한 취지에도 반한다.

2-5) 임의제출물의 압수와 '관련성' 제한

임의제출물의 압수는 제출자의 의사에 따라 압수 범위가 정해진다는 관점에서 임의제출물의 압수에는 관련성 제한이 적용되지 않는다는 취지로 판단한 사례들이 있다(서울중앙지방법원 2016. 12. 23. 선고 2016고합675 판결(대법원 2017. 10. 31. 선고 2017도12643 판결로 확정), 서울지방법원 2018. 5. 10. 선고 2017노1029 판결(대법원 2019. 7. 10. 선고 2018도8371 판결로 확정), 광주고등법원 2021. 11. 4. 선고 2021노18 판결(대법원 2022. 1. 27. 선고 2021도15502 판결로 확정) 등).

그러나 임의제출물의 압수에 있어 관련성 제한, 참여권 보장, 압수목록 교부 등 법리를 정립한 대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결 이후로는 임의제출물 압수에 대하여도 '관련성' 제한을 판단한 사례가 다수 축적되고 있고,(대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결, 대법원 2022. 1. 27. 선고 2021도11170 판결, 대법원 2023. 9. 18. 선고 2022도7453 전원합의체 판결 등 다수) 임의제출물의 압수에는 관련성 제한이 아예 문제가 되지 않는다는 취지로 판단한 사례는 찾아보기 어렵다.

대법원 2021. 11. 18. 선고 2016도348 전원합의체 판결 중

1. 임의제출자의 의사를 엄격하게 해석하고, 2. 수사기관으로 하여금 제출자의 의사를 명확히 확인하도록 하면서 확인되지 않은 제출자의 의사를 수사기관이 함부로 추단하는 것을 허용하지 않으며, 3. 제3자의 임의제출 사안에서는 제출자의 명시적 의사에도 불구하고 관련성이 인정되는 범위 내에서만 압수가 적법하다고 보므로, 임의제출물의 압수에서 제출자의 의사를 확대 해석하여 관련성 제한의 법리를 무력화하는 해석론은 바람직하지 않다.

2-6) 유류물의 압수와 '관련성' 제한

임의제출물의 압수와 달리 유류물 압수·수색(형사소송법 제218조)에 대해서는 원칙적으로 관련성 제한이 적용되지 않는 것이 판례다(대법원 2024. 7. 25. 선고 2021도1181 판결). 압수 대상을 개별적으로 지정하거나 그 범위를 한정할 수 있는 제출자의 존재를 생각하기 어렵다는 것이 이유이다. 마찬가지로 법원은 유류물 압수·수색의 경우 참여권 행사의 주체가 되는 피압수자의 존재를 상정하기 어렵다고 보았다.

2-7) 긴급압수·수색과 '관련성' 제한

사전영장의 예외가 적용되는 체포 현장 또는 범죄 현장에서의 긴급압수·수색도 혐의사실 수사에 필요한 최소한의 범위 내에서만 압수가 가능하고(대법원 2008. 7. 10. 선고 2008도2245 판결), 현행범인 체포 또는 긴급체포 과정에서 적법하게 압수된 압수물에서 별건 자료가 발견된 경우 '관련성' 인정 여부에 따라 압수의 적법 여부를 판단한다(현행범인 체포에 이은 긴급압수 사례로는 서울중앙지방법원 2018. 9. 14. 선고 2017고정3335 판결(항소심 서울중앙지방법원 2019. 7. 26. 선고 2018노2879 판결, 상고심 대법원 2019. 10. 31. 선고 2019도11966 판결로 확정), 긴급체포에 이은 긴급압수 사례로는 서울 고등법원 2022. 8. 18. 선고 2021노1776 판결(대법원 2022. 11. 17. 선고 2022도10671 판결로 확정).

2. 압수수색의 장소적 범위와 원격지 압수수색

present4n6 — Mon, 19 Jan 2026 22:12:47 +0900

앞서 살펴봤듯이 '압수할 물건', '수색할 장소·신체·물건'은 압수·수색영장의 필요적 기재 사항이다. 압수·수색영장의 집행은 영장 기재 범위 안에서만 적법하다.

헌법과 형사소송법이 구현하고자 하는 적법절차와 영장주의의 정신에 비추어 볼 때, 법관이 압수·수색영장을 발부하면서 기재한 문언은 엄격하게 해석해야 하고, 함부로 피압수자 등에게 불리한 내용으로 확장 또는 유추해석하는 것은 허용될 수 없다(대법원 2009. 3. 12. 선고 2008도763 판결). 영장을 발부한 법관이 삭선을 그어 명시적으로 기각한 부분은 더 엄격하게 본다(1).

(1) 서울고등법원 2022. 5. 18. 선고 2020노2058 판결(대법원 2022. 9. 15. 선고 2022도6686 판결로 확정), 대법원 2022. 6. 30. 자 202모735 결정(원심은 서울중앙지방법원 2020. 2. 21. 자 2019보9 결정), 서울고등법원 2022. 12. 7. 선고 2020노367 판결(대법원 2023. 11. 9. 선고 2022도16718 판결로 확정), 서울중앙지방법원 2025. 1. 13. 자 2022보7 결정(대법원 2025. 3. 18. 자 2025모264 결정으로 확정) 등

인터넷과 클라우드 서비스가 일반화되면서 컴퓨터 등 정보처리장치를 이용한 작업 장소와 전자정보가 저장된 장소가 서로 멀리 떨어져 있는 경우가 흔하고, 국경을 넘는 경우도 적지 않다. 이 경우 압수·수색의 장소적 범위와 관련해 특히 원격지 서버에 대한 압수·수색이 문제가 된다.

1. 원격지 압수·수색

1-1) 외국계 이메일

수사기관이 적법한 압수·수색을 통해 피의자의 이메일 주소와 비밀번호를 알아낸 후 이를 기초로 별도의 영장을 발부받아 중국 회사가 제공하는 피의자의 위 이메일 계정에 접속해 그 계정 내 자료들을 압수한 사안

법원은 피의자의 컴퓨터에 저장되어 있는 이메일 등 전자정보를 압수·수색하는 것이 적법함은 물론, 압수·수색할 전자정보가 압수·수색영장에 기재된 수색장소에 있는 컴퓨터에 있지 않고 그와 정보통신망으로 연결되어 제3자가 관리하는 국외 원격지 서버에 저장되어 있는 경우에도 이를 적법하게 압수할 수 있다고 보았다.

다만, 원격지 서버에 저장된 전자정보를 수색장소 내 컴퓨터로 내려받거나 현출시키는 것이 인터넷서비스제공자가 인터넷서비스이용자인 피의자에게 허용한 접근 및 처분권한과 일반적 접속 절차에 기초한 것으로서 인터넷서비스제공자의 의사에 반하지 않는다고 보려면 다음 사항이 요구된다고 보았다(대법원 2017. 11. 29. 선고 2017도9747 판결).

1. 피의자의 이메일 계정에 대한 접근권한에 갈음하는 영장을 발부받을 것
2. 영장 기재 수색장소 안에 있는 컴퓨터 등 정보처리장치를 이용할 것
3. 피의자가 접근하는 통상적인 방법에 따라 그 원격지의 저장매체에 접속할 것

1-2) 텔레그램

압수·수색영장에 압수·수색의 방법으로 "텔레그램 PC버전의 로그인 입력창에 피고인이 사용하던 '010-****-****' 휴대폰번호로 개통된 휴대전화로 전송된 인증번호를 입력해 텔레그램 서버에 저장되어 있는 자료를 컴퓨터로 다운로드 받음"이라고 기재된 사안에서 법원은 수사기관의 컴퓨터를 통해 피의자의 텔레그램 계정에 접속해 텔레그램 서버에 저장된 대화 내용을 내려받는 것도 적법한 압수·수색의 방법이 된다고 판단했다(수원지방법원 2021. 4. 15. 선고 2019고단936, 3465, 4142 판결(항소심인 수원지방법원 2021. 10. 5. 선고 2021노2564 판결에 의해 파기되었으나 그 이유는 검사의 공소사실 변경과 죄수관계에 대한 법리오해로 압수·수색의 적법성과는 무관하였다. 위 항소심 판결은 상고심인 대법원 2021. 12. 30. 선고 2021도14184 판결에서 상고를 기각함에 따라 확정되었다.).

1-3) 클라우드 서버

가) 클라우드 계정 아이디와 비밀번호를 수사기관에 임의로 제공한 경우

법원은 피의자가 휴대전화를 임의제출하면서 클라우드 등 제3자가 관리하는 원격지에 저장된 전자정보를 수사기관에 제출한다는 의사로 수사기관에게 클라우드 아이디와 비밀번호를 임의로 제공했다면 위 클라우드 등에 저장된 전자정보 자체를 임의제출한 것으로 보아 수사기관이 해당 클라우드 서버에 접속해 내려받은 전자정보의 증거능력을 인정한 바 있다(대법원 2021. 7. 29. 선고 2020도14654 판결, 대전고등법원 2021. 9. 14. 선고 2021노114 판결(대법원 2022. 2. 10. 선고 2021도13276 판결로 확정).

나) 법관이 영장을 발부하면서 '압수할 물건' 중 클라우드 서버에 보관된 전자정보 등 일부를 기각했음에도 가상 데스크톱 인프라(VDI) 서버를 수색한 사례

대법원 2022. 6. 30. 자 2020모735 결정(원심은 서울중앙지방법원 2020. 2. 21. 자 2019 보9 결정)

피압수자는 VDI 시스템을 구축한 회사였다. 직원들은 부여받은 아이디와 비밀번호를 입력해 가상 데스크톱에 접속해서 업무를 수행하고, 소속 팀이 가상 데스크톱에서 활용하는 팀룸 폴더에 업무 자료를 보관해 팀원들과 공유했다. 업무 자료는 업무용 컴퓨터 자체에는 저장되지 않고, VDI 서버에 저장되는 구조이다.

수사기관이 발부받은 영장(제1차)은 아래와 같이 '압수할 물건'에 "클라우드, 웹하드, 전산망 서버에 보관된 전자정보" 부분이 일부 기각된 것이었으나 수사기관은 위 VDI 서버 내 팀룸 폴더를 탐색했고, 거기서 사건과 관련있어 보이는 이메일을 발견했다.

영장 내용 중 일부
바) 이 사건 피의자들이 범죄행위에 제공되었거나, 경력직 채용과 관련된 업무자료 또는 유출된 00의 기술자료가 저장되어 있는 ~~클라우드, 웹하드, 전산망 서버에 보관된 전자정보,~~ 전자우편

수사기관은 위 팀룸 폴더에서 발견된 이메일을 선별하여 피압수자 회사 직원으로 하여금 별도 USB에 저장·봉인해 보관하게 한 후 제1차 영장 집행을 중지하고, '압수할 물건'에 'VDI 서버와 팀룸 폴더에 저장된 전자정보'가 포함된 압수·수색영장(제2차)을 발부받아 팀룸 폴더에서 전자정보를 압수했다. 제2차 영장 청구 당시 수사기관은 '압수·수색·검증을 필요로 하는 사유'로 VDI 서버 내 팀룸 폴더에서 위 이메일이 발견된 점을 근거로 했다.

그러나 법원은 제2차 영장의 집행에 따른 압수가 위법하다고 보았다. 제 1차 영장을 발부할 당시 판사가 '클라우드 저장 전자정보' 부분을 기각했음이 명백하므로 클라우드에 대해서는 수색도 허용되지 않는다는 이유에서다. 제1차 영장 집행 당시 수사기관에 VDI에 접속된 업무용 컴퓨터를 통해 팀룸 폴더에서 파일을 탐색하여 내용을 확인하고 보존조치를 한 것은 영장에서 허용한 수색의 범위를 넘어선 것으로 위법하고, 제2차 영장에 의한 압수는 제1차 영장 집행 당시 위법한 수색으로 알게 된 사정을 토대로 한 것이어서 위법하다고 지적했다. 특히 전자정보의 압수·수색과 관련해 아래와 같은 법리를 설시했고, 이는 후속 판결에도 그대로 원용되었다.

대법원 2022. 6. 30. 자 2020모735 결정 중 일부
헌법과 형사소송법이 구현하고자 하는 적법절차와 영장주의의 정신에 비추어 볼 때, 법관이 압수·수색영장을 발부하면서 '압수할 물건'을 특정하기 위해 기재한 문언은 엄격하게 해석해야 하고, 함부로 피압수자 등에게 불리한 내용으로 확장해석 또는 유추해석을 하는 것은 허용될 수 없다(대법원 2009. 3. 12. 선고 2008도763 판결 참조).

정보처리장치와 정보통신망으로 연결된 원격지의 서버 등 저장매체는 소재지, 관리자, 저장 공간의 용량 측면에서 구별된다. 원격지 서버에 저장된 전자정보를 압수·수색하기 위해서는 컴퓨터 등 정보처리장치를 이용해 정보통신망을 통해 원격지 서버에 접속하고 그곳에 저장되어 있는 전자정보를 컴퓨터 등 정보처리장치로 내려 받거나 화면에 현출시키는 절차가 필요하므로, 컴퓨터 등 정보처리장치 자체에 저장된 전자정보와 비교해 압수·수색 방식에 차이가 있다. 원격지 서버에 저장되어 있는 전자정보와 컴퓨터 등 정보처리장치에 저장되어 있는 전자정보는 그 내용이나 질이 다르므로 압수·수색으로 얻을 수 있는 전자정보의 범위와 그로 인한 기본권 침해 정도도 다르다.

따라서 수사기관이 압수·수색영장에 적힌 '수색할 장소'에 있는 컴퓨터 등 정보처리장치에 저장된 전자정보 외에 원격지 서버에 저장된 전자정보를 압수·수색하기 위해서는 압수·수색영장에 적힌 '압수할 물건'에 별도로 원격지 서버 저장 전자정보가 특정되어 있어야 한다. 압수·수색영장에 적힌 '압수할 물건'에 컴퓨터 등 정보처리장치저장 전자정보만 기재되어 있다면 컴퓨터 등 정보처리장치를 이용해 원격지 서버 저장 전자정보를 압수할 수는 없다.

다) 영장의 '압수할 물건'에 원격지 서버 저장 전자정보가 기재되어 있지 않았던 사례

대법원 2022. 6. 30. 선고 2022도1452 판결

피의자를 사기 혐의로 조사하는 과정에서 임의제출받은 피의자의 휴대전화에서 불법 촬영물로 의심되는 사진과 동영상을 발견하자 영장을 발부받아 피의자의 주거지를 압수·수색한 사안이다. 영장에 기재된 '압수할 물건'은 '여성의 신체를 몰래 촬영한 것으로 판단되는 사진, 동영상 파일이 저장된 컴퓨터 하드디스크 및 외부 저장매체'였고, '수색할 장소'는 피의자의 주거지였다. 수사기관은 위 영장 집행 도중 피의자의 주거지에서 다른 휴대전화를 발견하여 이를 압수했고, 그 휴대전화가 특정 클라우드 계정에 로그인되어있는 상태를 이용해 해당 클라우드 서버에서 사진과 동영상을 내려받아 압수했다.

법원은 압수·수색영장에 적힌 '압수할 물건'에 별도로 원격지 서버 저장 전자정보가 특정되어 있어야 한다."고 보아 컴퓨터 등 정보처리장치 저장 전자정보만 기재되어 있다면 컴퓨터 등 정보처리장치를 이용해 원격지 서버 저장 전자 정보를 압수할 수는 없다."고 판단했다. 결국 클라우드에서 발견한 불법 촬영물 및 이를 제시해 수집한 관련자들의 진술까지 모두 증거능력을 부정했다.

라) 법관이 영장을 발부하면서 원격지 부분을 명시적으로 기각한 사례

서울고등법원 2022. 12. 7. 선고 2020노367 판결(대법원 2023. 11. 9. 선고 2022도16718 판결로 확정)

법관이 검사의 청구에 따라 특정 회사의 사무실과 전산 서버가 보관되어 있는 장소에 대한 압수·수색영장을 발부하면서 '수색할 장소'와 관련해 '위 건물 내의'라는 문구를 포함시켰음에도 수사기관이 국외 원격지 클라우드 시스템 서버 내 전자정보를 압수·수색한 사안이다. 이에 검사는 '압수·수색·검증을 필요로 하는 사유'란 말미에 수사보고 기재 내용과 같다는 내용을 포함시켰고 해당 수사보고에 '서버(클라우드 서버 포함)' 내용이 포함되어 있으므로 압수할 수 있는 대상에 원격지 서버 저장 전자정보가 포함된다고 주장했다.

법원은 위 수사보고서가 증거로 제출된 바도 없으며, 해당 수사보고의 내용은 검사가 영장을 청구할 때 참고로 기재한 부분에 불과해 영장의 내용에 포함된다고 볼 수도 없다는 이유로 주장을 배척했다.

2. 휴대전화 압수·수색

스마트폰의 발전으로 인해 휴대전화에는 업무적인 내용 뿐만 아니라 민감한 개인정보까지 포함되어 있는 '정보의 바다'라고 볼 수 있다. 휴대전화에는 통화녹음, 메신저 대화 등 교신 내역은 물론, 연락처, 일정표, 메모의 내용과 그 생성·열람·삭제 정보, 소셜미디어 활동 정보, 방문한 인터넷 사이트나 입력한 검색어 정보, 문서·사진·동영상 파일 및 이를 생성·다운로드·송신·수신·열람·공유한 정보 등이 각각의 행위별 시간과 장소 정보까지 포함한 형태로 저장되어 있다.

정보의 민감도 측면에서도 개인의 사생활, 건강 상태, 의료 기록, 금융거래 등 가장 내밀한 영역의 정보가 포함되어 있을 가능성이 크다. 요즘은 휴대전화를 통해 클라우드 서비스를 이용하는 경우도 많기 때문에 휴대전화를 통해 확보할 수 있는 전자정보의 범위는 더욱 확장된다.

이러한 문제의식에 기초해 최근 휴대전화의 압수·수색에 대해 그 적법성을 엄격하게 판단한 사례들이 발견되고 있다. 전자정보의 압수·수색에 있어 원칙은 '현장 선별'이다. 정보저장매체의 '원본 반출'은 '현장 선별'은 물론 '복제본 반출'마저 불가능하거나 현저히 곤란하다는 2단의 예외 조건을 충족해야 적법하다. 그러나 휴대전화 압수·수색의 경우 실무상 '원본 반출'이 원칙처럼 운용되고 있다.

1) 휴대전화를 압수·수색하기 위해서는 압수·수색영장의 '압수할 물건'에 명시적인 기재가 필요하다고 본 사례

대법원 2024. 9. 25. 자 2024모2020 결정

가) 사실관계

사법경찰관이 '압수할 물건'에 '정보처리장치(컴퓨터, 노트북, 태블릿 등) 및 정보저장매체(USB, 외장하드 등)에 저장되어 있는 본건 범죄사실에 해당하는 회계, 회의 관련 전자정보'라고 기재된 압수·수색영장을 집행하여 준항고인의 휴대전화를 압수한 사안이다.

나) 법원의 판단

법원은 '압수할 물건'에 '휴대전화'가 명시적으로 기재되어 있지 않다면 휴대전화에 저장된 전자정보를 압수할 수 없으므로 위 압수·수색영장에 의해 준항고인의 휴대전화를 압수·수색한 것은 위법하다고 봤다.

대법원 2024. 9. 25. 자 2024모2020 결정 중
휴대전화는 정보처리장치나 정보저장매체의 특성을 가지고 있기는 하나, 기본적으로 통신매체의 특성을 가지고 있어 컴퓨터, 노트북 등 정보처리장치나 USB, 외장하드 등 정보저장매체와는 명확히 구별되는 특성을 가지고 있다. 휴대전화, 특히 스마트폰에는 통신의 비밀이나 사생활에 관한 방대하고 광범위한 정보가 집적되어 있다.

이와 같이 휴대전화에 저장된 전자정보는 컴퓨터나 USB 등에 저장된 전자정보와는 그 분량이나 내용, 성격 면에서 현저한 차이가 있으므로, 휴대전화에 대한 압수·수색으로 얻을 수 있는 전자정보의 범위와 그로 인한 기본권 침해의 정도도 크게 다르다. 따라서 압수·수색영장에 기재된 '압수할 물건'에 휴대전화에 저장된 전자정보가 포함되어 있지 않다면, 특별한 사정이 없는 한 그 영장으로 휴대전화에 저장된 전자정보를 압수할 수는 없다고 봐야 한다.

2) 휴대전화 압수·수색과 관련해 '압수할 문건'의 기재 문제, '압수·수색의 대상 및 방법의 제한' 위반 문제(포괄압수 문제), 전자정보 상세목록 교부 의무 위반의 문제를 종합적으로 판단한 사례

서울고등법원 2022. 5. 18. 선고 2020노2058 판결(대법원 2022. 9. 15. 선고 2022도6686 판결로 확정)

수사기관은 피고인 A의 횡령 및 배임 혐의에 관하여 2통의 압수·수색영장을 발부받았고, '압수할 물건'에서 판사가 삭제한 부분을 지키지 않고 휴대전화 원본을 '압수할 장소' 외부로 반출하였음. 또한 사무실에서의 전자정보 복제 행위가 혐의사실 관련성에 관한 구분 없이 포괄적으로 이루어졌으며, 전자정보 상세목록 교부를 할 때 세부 내용에 대한 것이 아니라 db 파일 전체에 대한 해시값 등을 기재한 사건

쟁점이 된 영장의 4항 중
피의자 A, ~~C, B, AQ, BI, BJ~~가 보유·보관·사용하는 휴대전화 또는 통화(또는 문자나 채팅 등) 가능한 태블릿 PC ~~및 휴대전화와 태블릿 PC~~에 저장된 범죄사실과 관련된 문자메시지, ~~연락처, 일정표, 사진, 동영상~~, 녹음파일, 카카오톡 등 SNS 메시지 등 전자정보

판사는 압수·수색영장을 발부하면서 검사가 영장청구서에 기재한 '압수할 물건' 제4항 중에서 '휴대전화 또는 통화(또는 문자나 채팅 등) 가능한 태블릿 PC에 저장된 범죄사실과 관련된 문자메시지, 녹음파일, 카카오톡 등 SNS 메시지 전자정보'만을 남기고 '휴대전화와 태블릿PC'라는 문구를 삭제하였다.
영장 별지 '압수대상 및 방법의 제한'의 문언과 형사소송법 규정(제219조, 제106조 제3항)을 종합하면 피고인 A의 휴대전화 자체를 이 사건 사무실 이외의 장소로 반출하는 것이 절대적으로 허용되지 않는다고 볼 수는 없다. 그러나 이 사건에서는 기기 원본 반출이 허용되는 예외적 사정(현장 선별이나 복제본 반출이 현저히 곤란함)을 인정할 만한 증거가 없고, 수사기관이 원칙적인 방법을 시도한 흔적도 찾아볼 수 없다.

검사는 '휴대전화(에 저장된 전자정보)의 현장 선별 압수는 물리적·시간적·기술적인 측면에서의 제약사항으로 인해 사실상 불가능하고 경우에 따라 압수의 목적을 달성하기 어려울 수도 있으므로 휴대전화 자체의 반출이 허용되는 예외 사유에 해당한다'는 취지로 주장할 뿐 영장 집행 현장에서 휴대전화에 저장된 전자정보 전부의 복제본 획득이 불가능하거나 현저히 곤란하였다는 점에 관하여는 아무런 주장을 하지 않았다.
법원은 전자정보의 압수 방법에 관한 법리에 따라 당시 피고인 A의 휴대전화를 직접 소재지에서 반출할 수 있는 예외적인 사정이 있었더라도 수사기관 사무실에서의 전자정보 복제 행위가 혐의사실 관련성에 대한 구분 없이 포괄적으로 이루어져서 위법하다고 보았다. 수사기관은 피고인 A의 휴대전화에 저장된 전자정보 전부를 복제한 이미지 파일을 생성해 보관하고 있으면서도 위 파일에서 범죄 혐의사실과 관련있는 전자정보를 탐색·복제 및 출력한 후 그와 무관한 전자정보를 삭제하고 이를 피고인 A에게 통지하였음을 인정할 만한 객관적 자료를 찾아볼 수 없다.
검찰수사관이 피고인 A의 참관 하에 위 이미지 파일을 탐색한 후 위 피고인에게 교부한 이 사건 전자정보목록에는 파일 17개의 이름과 경로, 크기 등의 정보가 기재되어 있는데, 위 파일들은 휴대전화에 설치되어 있는 카카오톡 등 어플리케이션의 DB 파일로서 거기에는 범죄 혐의사실과 관련 있는 전자정보 뿐만 아니라 그와 무관한 전자정보까지 포함되어 있으므로, 그와 같은 파일들이 특정되어 있다고 하여 영장 기재 범죄 혐의사실과 관련된 전자정보의 선별이 이루어졌다고 볼 수는 없고, 오히려 혐의사실과 관련 없는 전자정보까지 압수되었음을 알 수 있다.
DB 파일 등을 복제하는 방법으로 압수할 수밖에 없다고 하더라도, 적어도 압수목록이나 전자정보 상세목록에서는 압수의 대상이 되는 전자정보 부분을 구체적으로 특정하되 위와 같은 파일들을 전부 압수·보관할 수밖에 없는 사정을 부기하는 등의 방법을 취하는 것이 불가능하다고 보이지 않는다.
더욱이 위 17개 파일조차도 목록상으로만 특정되어 있을 뿐 실제로 휴대전화 전자정보 전체 이미지 파일에서 추출·복제된 후 별도의 증거파일 또는 선별 이미지 파일로 보관되어 있다고 인정할 아무런 증거가 없으며, 검사는 법원에서 변호인의 요청에도 불구하고 그 파일을 제출하지 못하고 있다.

4) 휴대전화에 대한 압수·수색영장 집행이 종료된 이후 수사기관이 해당 휴대전화의 주인을 가장하여 메시지를 주고받는 방법으로 별건 위장 수사를 진행한 경우 영장의 위법한 재집행이라고 본 사례

대법원 2023. 3. 16. 선고 2020도5336 판결

가) 사실관계

경찰은 대마 매매 및 광고 혐의로 공소외인에 대해 압수·수색영장을 발부받고, 이를 집행하여 공소외인으로부터 휴대전화를 압수했다. 경찰은 이 후 피고인이 공소외인의 휴대전화 메신저로 대마 구입 희망의사를 밝히는 메시지를 보낸 것을 확인하고 공소외인 행세를 하면서 해당 메신저를 통해 메시지를 주고받는 방법으로 피고인에 대해 위장수사를 진행했다. 경찰은 결국 피고인을 현행범으로 체포하고 피고인의 휴대전화를 비롯한 피고인의 소지품 등을 영장 없이 압수한 다음, 법원으로부터 사후 압수·수색영장을 발부받았다.

나) 관련법리

수사기관이 압수·수색영장을 제시하고 집행에 착수해 압수·수색을 실시하고 그 집행을 종료했다면 그 영장은 목적을 달성하여 효력이 상실되는 것이고, 동일한 장소 또는 목적물에 대해 다시 압수·수색할 필요가 있는 경우라면 그 필요성을 소명해 법원으로부터 새로운 압수·수색영장을 발부받아야 하는 것이지, 앞서 발부받은 압수·수색영장의 유효기간이 남아있다고 하여 이를 제시하고 다시 압수·수색을 할 수는 없다.

다) 법원의 판단

법원은 경찰의 메시지 정보 취득은 영장 집행 종료 후의 위법한 재집행이고 경찰이 휴대전화 메신저 계정을 이용할 정당한 접근권한도 없으므로 피고인과의 메시지 대화 정보와 이를 바탕으로 수집한 후속 증거들은 모두 위법수집증거에 해당해 증거능력이 없다고 판단했다.

3. 수색할 장소 밖에서의 압수

지난 글에서 작성했던 사건인 H사 부본부장 N이 H사 사무실 밖으로 압수물을 가지고 나와 검사에게 제출하는 방법으로 압수했던 사안에서 법원은 수사기관이 압수할 물건을 제3의 장소로 가지고 오도록 하여 그곳에서 압수했다는 사실만으로 그 압수처분이 위법한 것은 아니라고 봤다(서울중앙지방법원 2020. 7. 24. 자 2020보7 결정(대법원 2020. 11. 13. 자 2020모2485 결정으로 확정).

압수는 물건에 대한 점유를 취득하고 그 점유를 계속하는 강제처분이고, 수색은 물건 또는 사람을 발견하기 위해 일정한 장소나 물건, 사람의 신체에 대하여 행하는 강제처분으로 서로 구별된다. 이 사건 영장은 수색·검증의 장소만을 제한할 뿐, 압수의 장소를 따로 제한하지 아니함이 분명하다. 또한 검사가 압수 처분을 할 때 소유자, 소지자, 보관자에 대해 물건의 제출을 명령할 수도 있다는 점(형사소송법 제219조, 제106조 제2항)과 함께, 앞서 살펴본 바와 같이 H사 직원들의 농성 등으로 인해 이 사건 영장을 H 사무실에서 집행하는 것이 매우 곤란했던 사정까지 보태어 보면, 검사가 피압수자에게 압수할 물건을 제3의 장소로 가지고 오도록 하여 그곳에서 압수한 사실만으로 그 압수 처분이 곧바로 위법하다고 볼 수 없다.

hELLO 티스토리 스킨 썸네일 에러 수정 방법 공유

present4n6 — Fri, 16 Jan 2026 17:53:58 +0900

한 동안 블로그 관리를 안하다가 다시 블로그 글을 쓰려고 보니 기존에 사용하던 스킨에서 에러(버그)가 발생하는 것을 확인했습니다.

정말 많은 분들이 사용하고 계시는 hELLO 티스토리 스킨인데요, 많은 분들이 사용하시다 보니 아무래도 정보를 찾으시는 분들이 많을 것 같습니다.

1. 발생한 문제

글을 새로 작성했을 때 썸네일이 깨져서 "> 라는 문자로 보여지는 현상인데요,

티스토리 측에서 코드를 수정하면서 스킨의 코드와 충돌이 발생하는 것으로 보입니다.

어떤 분들은 스킨 개발자님이 새로 올린 업데이트 파일을 그대로 다운 받아 덮어씌우는 방식으로 해결하시던데요.

그렇게 해도 되지만, 저는 이 스킨을 받은지 굉장히 오래되어 새로 코드를 덮어씌울 경우 세팅해뒀던 값들이 다 날아가는 상황이라 그럴 수 없었습니다.

저와 같은 상황에 처해진 분들을 위해 더 쉬운 수정 방법을 공유드립니다.

우선 티스토리 스킨 html 편집은 모두 할 줄 아신다고 가정하고 시작하겠습니다.(블로그 설정에 스킨편집에 가시면 html 편집이 있습니다.)

문제의 코드는 이 놈입니다. ##_list_rep_title_## 를 검색해서 위 그림과 같은 위치로 이동해주세요.

저 코드의 역할은 티스토리 블로그의 변수 값인데요. 글의 제목 및 New 이미지 태그가 포함된 값을 가져오는 변수 입니다.

여기서 New 이미지 태그에 포함된 값이 충돌이 발생해 썸네일이 깨지는 오류가 발생하게 됩니다.

2. 해결책

설명은 그만하고...! 해결책은 다음과 같습니다.

를 삭제하셔도 되는데, 블로그 검색 노출에 좋지 않다고 하니 수정하는 방법으로 갑시다.

이렇게 수정하세요.

위 그림처럼

##_list_rep_title_##

를

##_list_rep_title_text_##

로 수정해줍니다.

짠, 참 쉽죠?

1. 압수수색 영장의 적법한 제시와 사본 교부

present4n6 — Fri, 16 Jan 2026 16:47:26 +0900

1. 압수수색 영장의 제시와 사본 교부

헌법과 형사소송법에 따라 수사기관은 압수수색영장을 집행할 때 그 처분을 받는 자에게 반드시 해당 영장을 제시해야 한다.
영장주의 원칙의 절차적 보장, 개인의 사생활과 재산권 침해의 최소화, 피압수자의 불복 기회 보장을 위함.
피압수자가 영장의 존재를 확인하고 동시에 영장의 필요적 기재사항이나 그와 일체를 이루는 사항을 충분히 알 수 있도록 그 원본을 개별적으로 제시해야 한다(대법원 2017. 9. 21. 선고 2015도12400 판결).
대한민국헌법 제12조 제3항 본문은 '체포·구속·압수 또는 수색을 할 때에는 적법한 절차에 따라 검사의 신청에 의해 법관이 발부한 영장을 제시해야 한다'고 규정하고 있다.

형사소송법 제219조, 제114조 제1항 본문, 형사소송규칙 제58조는 압수·수색영장에 피의자의 성명, 죄명, 압수할 물건, 수색할 장소, 신체, 물건, 발부 연월일, 유효기간과 그 기간을 경과하면 집행에 착수하지 못하며 영장을 반환하여야 한다는 취지 및 압수·수색의 사유를 기재하고 영장을 발부하는 법관이 서명날인하도록 규정하고 있다.

영장을 제시하도록 하는 것은 압수·수색의 절차를 보장하고 압수·수색영장에 기재된 물건, 장소, 신체에 대해서만 진행하도록 하여 개인의 사생활과 재산권의 침해를 최소화하는 한편, 준항고 등 피압수자의 불복신청의 기회를 실질적으로 보장하기 위한 것이다.

현장에서 피압수자가 여러 명일 경우에는 모두에게 개별적으로 영장을 제시하는 것이 원칙이다. 장소의 관리책임자에게 영장을 제시했다고 하더라도 물건을 소지하고 있는 다른 사람으로부터 이를 압수하고자 하는 때에는 그 사람에게 따로 영장을 제시해야 한다(대법원 2009. 3. 12. 선고 2008도763 판결).

2. 압수·수색 영장의 필요적 기재사항

2-1) 관련 법령

압수·수색영장에는 피의자의 성명, 죄명, 압수할 물건, 수색할 장소·신체·물건, 영장 발부 연월일, 영장의 유효기간과 그 기간이 지나면 집행에 착수할 수 없으며 영장을 반환하여야 한다는 취지, 압수·수색의 사유를 기재하고 재판장이나 수명법관이 서명날인해야 한다(형사소송법 제114조, 제219조, 형사소송규칙 제58조, 제109조).
압수·수색할 물건이 전기통신에 관한 것인 경우 작성기간을 기재해야 한다(형사소송법 제114조 제1항 단서, 제219조).
피의자의 성명이 필요적 기재사항이기는 하나 분명히 알 수 없는 경우에는 인상, 체격, 그밖에 피의자를 특정할 수 있는 사항을 기재해도 된다(형사소송법 제75조, 형사소송규칙 제107조 제1항 제1호, 제95조 제1호).

죄명 역시 필요적 기재사항이지만 압수·수색은 공소가 제기될 혐의사실이나 죄명이 확정되지 않은 수사 초기에 이뤄지는 것이 대부분이므로 압수·수색 영장에 범죄혐의와 관련된 모든 죄명을 기재할 필요는 없다(서울고등법원 2018. 1. 26. 선고 2016노333 판결(대법원 2019. 3. 14. 선고 2018도2841 판결로 확정).

2-2) 법관의 서명·날인

압수·수색영장의 법관 서명날인란에 서명만 있고 날인이 없었던 사안에서 해당 영장이 형사소송법이 정한 요건을 갖추지 못해 적법하게 발부되었다고 볼 수 없다고 판단했음에도 절차 조항 위반의 내용과 정도가 중대하지 않고 절차 조항이 보호하고자 하는 권리나 법익을 본질적으로 침해했다고 볼 수 없다는 이유로 해당 영장에 따라 수집한 증거의 증거능력을 인정한 사례가 있다(대법원 2019. 7. 11. 선고 2018도20504 판결).

이 사건의 경우, 서명날인란에 날인만 누락되었을 뿐 야간집행을 허가하는 판사의 수기와 날인, 판사 서명, 영장 앞면과 별지 사이에 판사의 간인이 모두 있었으므로 판사의 의사에 기초하여 진정하게 영장이 발부되었다는 점이 외관상 분명했고 수사기관으로서도 적법하게 발부되었다고 신뢰할 만한 합리적인 근거가 있었기 때문에 가능했다.

2-3) 피의사실의 요지

피의사실의 요지는 필요적 기재사항이라고 봄이 타당하며 누락된 영장에 의해 집행된 압수·수색은 다음과 같은 조항에 따라 위법하다고 볼 수 있다.

죄명과 압수·수색의 사유가 압수·수색의 필요적 기재사항인 점(형사소송법 제114조, 형사소송규칙 제58조)
"죄명 및 범죄사실의 요지"는 압수·수색·검증영장 청구서의 필요적 기재사항인 점(형사소송규칙 제107조 제1항 제1호, 제95조 제3호)
압수·수색·검증영장 청구서에 "범죄사실 요지"등을 기재한 서면 1통을 첨부해야 하는 점(형사소송규칙 제93조 제3항)

헌법과 형사소송법의 적법절차 및 영장주의 원칙상 압수·수색영장의 집행은 피의사실과 관련된 부분으로 한정되어야 하는 점(대법원 2011. 5. 26. 자 2009모1190 결정, 대법원 2015. 7. 16. 자 2011모1839 전원합의체 결정)
피압수자나 그 변호인에게 압수·수색영장 집행 절차에 참여의 기회를 보장하는 주된 취지는 피의사실과 무관한 자료의 임의적인 압수를 막기 위함인점(대법원 2023. 9. 18. 선고 2022도7453 전원합의체 판결)

3. 원본 제시의 원칙

압수·수색영장은 처분을 받는 자에게 반드시 제시해야 한다(형사소송법 제118조 본문 전단, 제219조, 군사법원법 제159조, 제258조).
검사 또는 특별사법경찰관은 영장을 제시할 때 처분을 받는 자에게 법관이 발부한 영장에 따른 압수·수색이라는 사실과 영장에 기재된 범죄사실 및 수색 또는 검증할 장소·신체·물건·압수할 물건 등을 명확히 알리고, 처분을 받는 자가 해당 영장을 열람할 수 있도록 해야 한다(수사준칙 제38조 제1항).

법원은 다음과 같은 조항을 근거로 영장은 원본이 제시되어야 한다고 해석한다.

압수·수색을 할 때에는 적법한 절차에 따라 검사의 신청에 의하여 법관이 발부한 영장을 제시해야 하는 점(헌법 제12조, 형사소송법 제219조, 제118조)
검사의 지휘에 의하여 압수·수색영장을 집행하는 경우 법원은 검사에게 그 원본을 송부해야 하는 점(형사소송규칙 제59조, 제48조)

동시에 여러 장소를 집행하는 경우에 있어서 여러 통의 압수·수색영장을 청구하는 때에는 청구서에 그 취지 및 사유를 기재함과 아울러 그에 상응하는 통수의 범죄사실의 요지, 압수·수색의 장소 및 대상을 따로 기재한 서면을 첨부해야 하는 점(형사소송규칙 제93조 제3항, 제107조 제1항 제1호, 제95조 제5호)

서울고등법원 2015. 6. 25. 선고 2014노2389 판결(대법원 2017. 9. 7. 선고 2015도 10648 판결로 확정)
서울남부지방법원 2019. 7. 4. 선고 2017노447 판결(대법원 2021. 12. 16. 선고 2019도10788 판결로 확정)
울산지방법원 2020. 8. 13. 선고 2019노138판결(대법원 2021. 7. 29. 선고 2020도12807 판결로 확정)

영장 사본을 제시하고 압수한 자료는 특별한 사정이 없는 한 위법수집증거로 보며, 다음과 같은 사례도 있다.

구속영장의 경우 정본의 제시 없이 영장표지의 사본 제시만으로 강제연행한 것은 불법연행이라는 이유로 국가의 불법행위 책임을 인정(서울중앙지방법원 1996. 8. 8. 선고 95나54753 판결(대법원 1997. 1. 24. 선고 96다40547 판결로 확정))

하지만 예외적으로 적법한 집행 방법으로 인정하는 경우도 있다.

4. 영장 사본 제시의 위법성

수사기관이 금융기관 또는 이메일 업체에 대해 압수·수색영장을 집행하면서 모사전송 방식에 의하여 영장 사본을 전송한 사실은 있으나 영장 원본을 제시하지 않았고 압수조서와 압수물 목록을 작성해 이를 피압수·수색 당사자에게 교부하였다고 볼 수 없는 경우
=> 수집한 금융거래 및 이메일 자료를 위법수집증거로 보았다.

서울고등법원 2015. 6. 25. 선고 2014노2389 판결(대법원 2017. 9. 7. 선고 2015도 10648 판결로 확정)
수원지방법원 2016. 1. 14. 선고 2015고단3204 판결(대법원 2017. 9. 7. 선고 2016도11272 판결로 확정)
대법원 2017. 9. 7. 선고 2015도10648 판결
대법원 2019. 3. 14. 선고 2018도2841 판결

금융계좌추적용 압수·수색영장의 집행에서 사전에 영장 원본을 제시하지 않았더라도 예외적으로 적법한 집행 방법이 된 경우

해당 영장의 집행 대상과 법위에 포함된 금융자료를,
금융기관의 자발적 협조에 따라 회신받아,
혐의사실과 관련되는 자료만 선별한 후,
최종적으로 영장 원본을 제시하고 이를 압수하는 등으로

이러한 일련의 과정을 전체적으로 '하나의 영장에 기하여 적시에 원본을 제시하고 이를 토대로 압수·수색하는 것'으로 평가할 수 있는 경우라면 예외적으로 적법한 집행방법이 된다고 본다(대법원 2022. 1. 27. 선고 2021도11170 판결).

수사기관이 금융기관에 금융실명법 제4조 제2항에 따라서 금융거래정보에 대하여 영장 사본을 첨부하여 그 제공을 요구한 결과 금융기관으로부터 회신받은 금융거래정보가 해당 영장의 집행 대상과 범위에 포함되어 있고, 이러한 모사전송 내지 전자적 송수신 방식의 금융거래정보 제공요구 및 자료 회신의 전 과정이 금융기관의 자발적 협조의사에 따른 것이며, 그 자료 중 범죄혐의사실과 관련된 금융거래를 선별하는 절차를 거친 후 최종적으로 영장 원본을 제시하고 선별된 금융거래정보에 대한 압수절차가 집행된 경우
=> 적법한 집행 방법

금융기관 및 인터넷서비스제공자 회사에 대한 영장 사본 제시가 예외 요건을 충족하지 못하여 증거능력이 부정된 사례

수사기관이 금융기관과 인터넷서비스제공자 회사에 대해 피고인 A의 혐의사실에 대한 압수·수색영장을 집행함에 있어 모사전송 방식에 의해 영장 사본을 전송하였을 뿐 영장 원본을 제시하지 않았고, 범죄혐의와 관련된 자료의 선별 절차를 거치거나 최종적으로 영장 원본을 제시하고 그 선별된 자료를 직접 압수하는 등 일련의 절차를 거친 정황이 확인되지 않았던 사례
(수원지방법원 평택지원 2023. 7. 21. 선고 2022고합264 판결(대법원 2024. 4. 25. 선고 2024도2064 판결로 확정)) -> (대법원 2022. 1. 27. 선고 2021도11170 판결) 법리에 따라 판단

5. 압수·수색영장 제시의 원칙 - 원본 여부

압수·수색과 유사한 강제처분으로서의 영장주의 정신이 상당 부분 준용된다고 볼 수 있는 통신제한조치 등에 있어서는 법원의 허가서 사본에 의한 집행을 허용하는 것으로 볼 수 있는 규정(통신비밀보호법 제9조 제2항)도 있는 점에 비추어보면,

압수·수색영장의 원본 제시의 원칙을 구체적으로 구현함에 있어서 어느 단계에서, 어떠한 방식으로 위 원칙을 관철할 것인지에 관하여 추가적인 논의의 여지가 있을 수 있음을 시사하고 있다. 따라서 법관에 의해 압수·수색영장이 발부된 것이 사실이고 그 압수·수색영장의 취지에 맞게 집행이 되었다면, 그 집행의 초기 단계에서 압수·수색영장이 팩스로 송부되었다는 이유만으로 반드시 영장주의의 본질을 훼손하는 중대한 위법이 있는 것으로 보아야할 것인지는 일률적으로 단정할 수 없고, 더욱이 일반적인 압수·수색영장이 아닌 특수한 압수·수색영장일 경우에는 그 개별적인 특수성에 따라 영장의 원본이 제시되어야 할 시점을 보다 완화하여 해석할 여지가 있다고 할 것이다.

6. 이메일 압수·수색에 있어서의 영장 팩스 송부의 적법성 요건

금융기관에 대한 계좌 압수·수색의 경우, 수사의 성격에 따라 수십 회 내지 수백 회의 영장 집행이 단시간 내에 이루어질 필요성이 있고, 수사관이 그 때마다 사전에 모든 금융기관에 임장하여 영장 원본을 제시하는 절차를 요구할 경우에는 금융기관의 업무가 마비될 우려가 있으며, 일정 기간 압수·수색 사실을 비공개로 하고자 하는 수사의 밀행성에도 반할 가능성이 높다는 점에서 팩스에 의한 압수·수색영장 사전 송부의 필요성은 충분히 인정된다.

전국은행연합회에서 작성한 '금융실명거래 업무해설'은 사전에 팩스로 압수·수색영장을 송부하는 것을 명시적으로 허용하고 있다.
통신회사에 대한 이메일 압수·수색에 있어서도 금융기관에 대한 계좌의 압수·수색에 있어서와 유사하게 수사관이 그때마다 통신회사에 임장하여 사전 영장 원본을 제시하는 절차를 요구할 경우 업무가 마비되거나 곤란을 겪을 우려가 있고, 수사의 밀행성에도 반할 가능성이 있다.
업무의 특성상 수사기관이 직접 통신회사의 서버를 수색한 후 필요한 자료를 추출하는 방식으로 압수·수색절차를 진행하기 곤란하고, 추출하는 용량이 큰 경우에는 상당한 기간이 소요되는 경우도 있어서, 수사기관이 사전에 팩스 등을 통해 압수·수색영장 사본을 송부하게 되면 통신회사의 직원이 요구받은 정보를 검색하여 필요한 자료를 추출한 후, 수사기관이 이를 최종적으로 압수하는 방식으로 진행되는 등 정형화된 업무 매뉴얼에 따른 실무 관행이 상당 기간 이어져 왔다.

수사기관이 영장 사본을 팩스로 기업 측에 송신해주고,
직원이 피의자와 관련된 이메일 일체 자료를 수사관에게 이메일로 보내주면,
수사관이 그 중에서 범죄혐의와 관련 있는 자료만 선별해 다시 직원에게 보내주고,
직원은 이를 추출해 CD에 저장해서 준비한다.
수사관이 영장 원본을 가지고 와서 영장을 제시하고 확인서를 받은 뒤에 압수조서를 작성하고 압수목록을 교부하는 절차를 거친다.

기업의 입장에서는 하루에 몇 건씩 이메일과 관련된 압수·수색에 대응해야 하는 경우가 있고, 근무하는 도중 계속 내려와 수사관을 맞이하면 업무를 진행하는데 있어 상당한 지장이 생긴다.

원칙적인 영장집행이 실무적으로 거의 불가능한 이유는 분산되어 있는 서버에 저장되어 있는 데이터의 위치를 실시간으로 확인하는것이 번거로울 뿐더러 다른 지역에 서버가 있어 수사관이 계속해서 이동해야 하는 번거로움이 발생할 수 있기 때문임.

압수·수색영장의 집행 단계에서 원본 제시 이외에 사전에 팩스로 송부하는 것을 금지하는 명시적인 법률 규정이 없는 점
통신회사에 대한 이메일 압수·수색의 경우 통신회사의 직원이 수사기관으로부터 요구받은 정보를 검색한 후 필요한 자료를 추출하여 제공하는 정형화된 업무 매뉴얼에 근거하여 압수·수색 절차가 진행되어 온 측면이 있는 점
이러한 집행 방식에 대하여 집행 대상자인 통신회사 측에서 그동안 별다른 이의를 제기하지 않았던 점

등을 고려할 때, 이메일 압수·수색에 관한 집행 초기 단계에서 압수·수색영장을 팩스로 송부하여 절차를 진행했다는 사정만으로 그 절차가 무조건적으로 위법하다고 볼 것은 아니다.
다만, 압수물이 담긴 기록저장장치를 수사관이 현실적으로 교부받게 되는 시점까지는 압수·수색영장의 원본을 제시한 후 압수하는 이메일의 목록을 통신회사 측에 교부하고, 압수조서를 작성하면서 참여자의 확인을 받는 등 압수·수색에 관한 형사소송법이 정한 일반적인 절차를 준수하는 것이 절차의 적법성을 갖추기 위해 전제되어야 한다.
집행 장소가 여러 곳일 경우에는 형사소송규칙 제93조 및 제107조에 의하여 수통의 압수·수색영장을 발부받아 각각의 집행장소에서 해당 영장의 원본을 제시하는 방식으로 이루어져야 할 것임.

7. 영장 사본 교부 의무

압수·수색영장을 집행할 때 처분을 받는 자가 피의자 또는 피고인인 경우 영장 사본을 교부해야 한다.(형사소송법 제118조 본문 후단, 제219조)

피의자에 대한 영장 사본 교부를 의무화한 개정안의 의안원문상 제안 이유도 "실무상 수사기관이 제대로 영장을 제시하지도 않거나 영장을 제시하지 않은 채 포괄적이고 광범위하게 압수·수색을 하는 경우가 많아 법원의 허용범위를 넘어선 위법수집증거 문제와 함께 당사자의 기본권이 과도하게 침해되고 있다는 비판이 있음"이라고 기재되어 있다.

8. 제시·교부의 상대방

압수·수색영장은 '처분을 받는 자'에게 반드시 제시해야 된다.(형사소송법 제118조 본문 전단, 제219조, 군사법원법 제159조, 제258조) 여기서 '처분을 받는 자'는 반드시 압수할 물건 또는 수색할 장소를 현실적으로 지배하는 사람일 것을 요하지 않고, 영장 집행 절차에 참여할 권한을 갖는 자를 포함한다. 따라서 참여권자가 영장을 제시받지 못한 상태에서 수사기관이 적법하게 압수물에 대한 점유를 취득하였더라도, 압수·수색 절차가 아직 종료되지 아니하여 참여권이 존속하는 경우 수사기관으로서는 그 후속 집행 절차에 참여한 참여권자에게 반드시 영장을 제시해야 한다(서울중앙지방법원 2020. 7. 24. 자 2020보7 결정(대법원 2020. 11. 13. 자 2020모2485 결정으로 확정)).

8-1) 개별 제시·교부의 원칙

법원은 처분받는 자가 여러 명일 경우 모두에게 개별적으로 영장을 제시해야 하는 것이 원칙이라고 본다. 따라서 장소의 관리책임자에게 영장을 제시했다고 하더라도, 물건을 소지하고 있는 다른 사람으로부터 이를 압수하고자 할 때에는 그 사람에게 따로 영장을 제시해야 한다(대법원 2009. 3. 12. 선고 2008도763 판결, 대법원 2024. 12. 24. 선고 2022도2071 판결).

고위공직자범죄수사처 검사 등이 국회 의원회관 사무실을 압수·수색할 대 보좌관 W 외에 비서관 1명, 비서 2명이 있었음에도 보좌관 W에게만 영장을 제시한 사안에서 다른 보좌직원들이 현실적으로 직접 점유·보관하고 있던 서류까지 수색한 것은 영장 제시 의무를 위반한 것으로 위법하다고 판단했다.(대법원 2022. 11. 8. 자 2021모3291 결정)

수사준칙에도 '처분을 받는 자가 여럿인 경우 모두에게 개별적으로 영장을 제시하여야 하고, 피의자에게는 개별적으로 해당 영장의 사본을 교부해야 한다.'고 규정한다(수사준칙 제38조 제2항).

8-2) 처분을 받는 자가 미성년자인 경우

미성년자에게 의사능력이 있는 한 그 미성년자에게 영장이 반드시 제시되어야 하고 그 친권자에 대한 영장 제시로 이를 갈음할 수 없다(대법원 2024. 12. 24. 선고 2022도2071 판결).

경찰이 A를 피의자로 하여 발부받은 압수·수색영장을 A에게 제시하였고, A는 자신의 딸인 피고인들(각 16세)로부터 그들이 사용하거나 보관 중인 휴대전화 4대를 인도받아 경찰에 제출했으나, 미성년자인 피고인들에게는 영장이 제시되지 않았던 사안에서 법원은 친권자인 A에 대한 영장 제시로 피고인들에 대한 영장 제시를 갈음할 수 없다고 보아 위 휴대전화 내의 전자정보와 이에 기초하여 수집한 2차 증거의 증거능력을 모두 부정했다.

8-3) 영장의 적법한 제시는 어느정도?

법원은 "피압수자로 하여금 법관이 발부한 영장에 의한 압수·수색이라는 사실을 확인함과 동시에 형사소송법이 압수·수색영장에 필요적으로 기재하도록 정한 사항이나 그와 일체를 이루는 사항을 충분히 알 수 있도록 압수·수색영장을 제시하여야 한다"고 본다. 따라서 수사기관이 영장의 첫 표지나 혐의사실이 기재된 부분만을 보여주었을 뿐, 검증할 물건·장소, 검증을 필요로 하는 사유, 압수 대상 및 방법의 제한 등 필요적 기재 사항 및 그와 일체를 이루는 부분을 확인하지 못하게 한 것은 적법한 영장의 제시로 볼 수 없다(대법원 2017. 9. 21. 선고 2015도12400 판결).

법원은 수사기관이 피압수자로부터 휴대전화 등을 압수할 때 피압수자가 영장의 구체적인 확인을 요구하였음에도 영장의 혐의사실 기재 부분을 보여주지 않았다면, 그 후 피압수자의 변호인이 피압수자에 대한 조사에 참여하면서 영장을 확인했다고 하더라도 적법한 제시로 인정하기 어렵다고 보았다.

사례1(대법원 2020. 11. 17. 자 2019모291 결정)

수사기관이 임의제출받은 전자정보에서 별건 혐의를 발견하여 그 별건 혐의사실로 압수·수색영장을 발부받았으나 피압수자에게 고지하지 않은 경우

국방부 검찰단 보통검찰부는 A가 뇌물을 제공하고 진급을 청탁했다는 혐의로 내사에 착수했다. 군사법경찰관은 A의 사무실에서 A로부터 휴대전화를 임의제출받아 이를 복제한 후 그 복제파일도 같이 임의제출받아 압수했고(제1처분), 휴대전화는 당일 가환부했다. 군사법경찰관은 위 복제파일을 탐색하던 중 A의 알선수재 등 별건 혐의에 관한 전자정보를 발견하여 해당 별건 혐의로 위 복제파일에 대한 압수·수색영장을 발부받았다.

군사법경찰관은 A에게 전화하여 추가 압수·수색영장이 발부된 사실이나 영장 기재 사항에 대해서 고지하지 않고 '별건 수사와 관련하여 증거자료 확보를 위해 재항고인의 복제파일등에 대해 추가 압수를 진행하고자 하는데, 재항고인이 참여할 수 있고, 참여하고자 한다면 그 일정을 조율하겠다'고 고지했다. 이에 A는 참여하지 않겠다는 뜻을 밝혔다.
군사법경찰관은 국방부 검찰단 과학수사과에서 보관 중이던 위 복제파일 및 그에 대한 분석자료 파일을 복제하는 방법으로 압수했으나(제2처분), A에게 그 압수목록을 작성·교부하지 않았다. 이후 군검찰은 별건 혐의에 관하여 A와 참고인들을 상대로 추가 압수·수색영장을 발부받아 이를 집행했다.(제3처분)

법원은 A가 복제파일을 임의제출하여 그것을 압수했다고 하더라도 새로운 별건 혐의와 관련된 전자정보는 최초 임의제출물 압수(제1처분)의 대상이 아니므로 별건 혐의에 관하여 발부된 추가 압수·수색영장의 피압수자는 최초 임의제출물 압수 이전부터 해당 전자정보를 관리하고 있던 A라고 봤다. 즉, 군사법경찰관은 피압수자인 A에게 별건 혐의에 대한 영장을 집행하여 복제파일에 대한 압수·수색을 실시한다는 사실과 영장의 필요적 기재사항 및 그와 일체를 이루는 사항을 충분히 알 수 있도록 영장을 제시했어야 했고, 현실 제시가 곤란한 경우 영장 발부 사실 및 영장의 필요적 기재 사항 등을 피압수자인 재항고인에게 고지하는 등의 방법으로 제시하였어야 한다고 본 것이다.
결과적으로 군사법경찰관은 별건의 영장이 발부된 사실이나 위 영장에 기재된 사항에 대해서는 아무런 고지를 하지 않은 상태에서 영장을 집행했기 때문에 법원은 이것이 압수·수색영장의 제시 없는 집행으로서 군사법원법 제258조, 제159조를 위반한 위법이 있다고 판단했다.

사례2(서울중앙지방법원 2020. 7. 24. 자 2020보7 결정(대법원 2020. 11. 13. 자 2020모2485 결정으로 확정)

정보저장매체 원본을 현장에서 반출할 당시 피의자가 현장에 없어 영장을 제시할 수 없었고, 나중에 피의자가 현장에 와서 영장 제시를 요구했으나 제시하지 않은 경우

H언론사 기자인 A의 휴대전화 등 압수 대상이 내부 조사 목적으로 H사 사무실 금고에 보관되어 있었는데, 이에 대한 압수·수색영장의 집행이 이루어지던 중 H사의 본부장 B가 피의자의 휴대전화 등 압수 대상물을 반출한 후 제3의 장소에서 검사를 만나 해당 압수 대상물을 제출했다. A는 수사기관이 H사 사무실에 대해 압수·수색영장의 집행에 착수한 사실을 알고 있었으나, 후속 선별 절차에 참여할 것을 통지받아 참관실에 입장할 때까지 압수·수색영장을 제시받지 못했고, B에 의해 자신의 휴대전화 등 압수물이 수사기관으로 반출된 사실조차 모르고 있었다. 이에 피의자와 변호인이 압수 장소가 H사가 아닌 제3의 장소인 점 등에 대해 이의를 제기하며 압수·수색영장의 제시를 요구했으나 검사가 이를 거부하면서 '압수물이 보관 중인 제3의 장소' 또한 '수색할 장소'로 영장에 기재되어 있다고만 설명하였다.

법원은 영장 집행 절차에 참여할 권한을 갖는 피의자와 변호인에게 압수·수색영장의 필요적 기재 사항 및 그 일체를 이루는 사항을 충분히 알 수 있도록 영장을 제시했어야 함에도 피의자와 변호인이 영장 집행 효력에 이의를 제기하면서 영장 제시를 요구하고 마침내 참관을 거부하고 떠날 때까지 영장을 제시하지 않았다고 보아 압수 절차가 전체적으로 위법하다고 판단했다.
검사는 영장을 보여주며 '피압수자 도는 형사소송법 제123조에 정한 참여인의 진술 등에 의하여 압수할 물건이 다른 장소에 보관되어 있음이 확인되는 경우 그 보관 장소'라는 문구를 피압수자에게 확인시켜 주었다고 주장했으나 법원은 필요적 기재사항 및 그 일체를 이루는 사항을 충분히 제시하지 못했다고 보았다.

사례3(울산지방법원 2020. 8. 13. 선고 2019노138 판결(대법원 2021. 7. 29. 선고 2020도 12087 판결로 확정))

수사기관이 영장을 한 통만 발부받아 동시에 서로 다른 두 지역에서 집행했는데 어느 곳에서 영장 원본이 제시되었는지 명확하지 않았던 사안에서 법원은 두 곳에서의 압수가 모두 위법하다고 보았다. 이와 같은 사고가 발생한 경위는 경찰관이 A 지역에서 영장의 원본을 제시했다고 증언했으나 A지역에서 압수한 물건이 B지역 관련 압수조서에 기재되어 있는 등 압수조서의 진정성, 신뢰성 등을 담보할 수 없는 정황이 발견되었기 때문이다.

사례4(서울고등법원 2022. 5. 18. 선고 2020노2058 판결(대법원 2022. 9. 15. 선고 2022도 6686 판결로 확정))

수사관이 두 곳의 집행 장소에 대한 서로 다른 영장에 기재될 주소를 서로 바꿔 작성한 경우

법원은 두 곳에서의 압수가 모두 위법하다고 보았다.

9. 영장 제시·교부 의무의 예외

처분을 받는 자가 현장에 없는 등 영장의 제시나 그 사본의 교부가 현실적으로 불가능한 경우 또는 처분을 받는 자가 영장의 제시나 사본의 교부를 거부한 때에는 예외적으로 영장 제시나 사본 교부 없이도 적법하게 영장을 집행할 수 있다(형사소송법 제118조 단서, 제219조).

법원도 피압수자들이 현장에 없었거나 수사관들에게 자신의 신분을 밝히지 않은 채 압수장소인 건물 밖에서 지켜보기만 했던 사안에서 압수·수색 당시 피압수자들에게 영장을 제시하지 않았다고 하여 이를 위법하다고 볼 수 없다고 판단하였다(대법원 2015. 1. 22. 선고 2014도10978 전원합의체 판결).

10. 피압수자 등의 권리 보호

압수·수색영장을 집행할 때는 타인의 비밀을 보호해야 하며 처분받은 자의 명예를 해하지 아니하도록 주의해야 한다(형사소송법 제116조).

검사와 사법경찰관은 압수·수색 과정에서 사생활의 비밀, 주거의 평온을 최대한 보장하고, 피의자 및 현장에 있는 가족 등 지인들의 인격과 명예를 침해하지 않도록 유의해야 한다(수사준칙 제10조).

11. 긴급압수·수색에 따른 사후영장의 경우

압수·수색영장의 제시에 관한 형사소송법 제118조는 사후에 영장을 받아야 하는 경우에 관한 형사소송법 제216조 등에 대하여는 적용되지 않는다는 것이 판례다.

대법원 2014. 9. 4. 선고 2014도3263 판결.
서울고등법원 2024. 7. 12. 선고 2023노3991 판결(대법원 2024. 10. 31. 선고 2024도11971 판결로 확정)
서울고등법원 2024. 12. 12. 선고 2024노1950 판결(대법원 2025. 3. 13. 선고 2024도20714 판결로 확정)

압수수색의 적법한 절차 및 법리 공부의 필요성

present4n6 — Fri, 16 Jan 2026 10:48:20 +0900

지식재산처 특사경으로 일하게 되면서 압수·수색을 실무적으로 경험할 수 있게 되었습니다. 압수·수색 절차를 진행함에 있어서 알아야 하는 법리 및 그에 기반한 판례에 대한 공부의 필요성을 느끼게 되었습니다.

따라서 본 카테고리에서는 추천받은 위의 책 "압수·수색의 법리"을 참고하여 요약 및 정리 또는 추가한 내용을 다루고자 합니다.

책의 내용이 괜찮으니 수사기관에서 재직하시는 분들 혹은 압수수색에 관심이 있으신 분들께서는 읽어보시는 것을 추천드립니다.

2023 KDFS DFC 풀이

present4n6 — Sat, 2 Aug 2025 23:36:59 +0900

이번 게시글에서는 플레인비트에서 연구팀으로 근무할 때 출제했었던 2023년 (사)한국디지털포렌식학회 디지털포렌식 챌린지 문제의 풀이 과정을 다루면서, 출제 의도 및 관점에 대해서도 작성해보겠습니다.

당시 회사에서 암호화폐 온체인 추적 및 암호화폐 서비스 아티팩트 연구를 메인 업무로 담당하고 있었는데, 당시 공부했던 내용을 대회 문제에 녹여내어 보고 싶기도 했고 이전에 암호화폐를 메인으로 다루던 디지털포렌식 대회가 없었던 것 같아 겸사겸사 출제를 하게 됐습니다.

1. 시나리오 분석

1-1) 배경

평소 주식 투자를 즐겨하던 프로그래머 출신 김영끌은 최근 코인 투자를 시작했다. 코인 투자에 대한 지식이 없는 상태 에서 주식 투자 경험만 믿고 공격적인 투자를 지속한 결과 큰 자금 손실을 경험하게 되었다. 이를 비관한 김영끌은 감정에 치우쳐 코인 관련 커뮤니티에 범죄 예고 글을 게시하였다.

1-2) 주요 쟁점

사이버 수사관은 김영끌이 올린 범죄 예고 글을 신고 받고 김영끌의 집을 압수수색하였다. 수사관은 김영끌의 PC를 이미징하고 현장 조사하는 과정에서 랜섬웨어 범죄와 관련한 정황을 추가로 확인해 별건 수사를 진행하게 되었다. 김영끌은 범죄 예고와 관련된 행위는 인정했지만, 랜섬웨어와 관련한 모든 내용은 전면 부인하고 있다. 아래의 수집된 자료를 분석해 김영끌의 범죄 혐의를 입증하고 추가 공모자가 있는지 확인하자.

(사)한국디지털포렌식학회의 디지털포렌식 챌린지 대회는 시나리오 형 문제입니다. 주어진 시나리오를 기반으로 이미지 파일을 분석해서 보고서를 작성해 제출하는 형식의 대회입니다. 시나리오(문제 지문)는 대회 문제 파일과 함께 제공됩니다.

위 시나리오 정보를 바탕으로 혐의자 김영끌의 최근 관심사가 코인 투자라는 것, 그리고 랜섬웨어 관련 범죄 혐의를 전면 부인하고 있기 때문에 이미지 파일을 분석해서 코인과 랜섬웨어와 관련된 정보를 찾아야 하는 것이 관건이라는 것을 알 수 있습니다.

함께 제공된 그림 파일(랜섬웨어 피해자의 바탕화면 촬영 사진)

김영끌의 PC 이미지 파일의 해시값

SHA1 : 39c4e63ecc0715d249f57f57caaef35e7004bfec

랜섬웨어 피해자의 바탕화면 촬영 사진의 해시값

SHA1 : e8d1754a67218bf7ae14a5fa7b45be4d8b747b37

피해자의 시스템에서 확보한 랜섬웨어 파일의 해시값

SHA1 : 0b88dd8519259f4afd15aeb376ccea9c27b2a253

그리고 이번 대회에서는 위와 같은 촬영 이미지와 함께 랜섬웨어 파일의 해시값이 함께 제공되었습니다. 바탕화면을 보면 흔히 랜섬웨어에 감염되었을 때 볼 수 있는 랜섬 메시지를 확인할 수 있으며 중요한 내용은 일부러 가려놓은 것을 알 수 있습니다. 이는 문제 풀이에 있어 중요한 단서가 되는 것으로 추측할 수 있습니다.

김영끌의 시스템에 다른 피해자의 시스템에서 발견된 랜섬웨어 파일의 해시값과 동일한 파일이 있고, 그 파일을 실행했을 때 위 그림과 같이 랜섬 메시지를 확인할 수 있다면 김영끌의 랜섬웨어 범죄 혐의를 입증할 수 있을 것입니다.

1-3) 서술형 문제

이미지 분석을 통해 “확인한 근거”를 바탕으로, “본 사건에서“ 조사관이 추가로 해야 할 조치가 올바르게 제시되었는가?
- 분석 결과를 바탕으로 조사관이 추가적으로 확보해야 하는 증거물
- 공범의 신원 확보와 체포로 이어지도록 하기 위해 조사관이 해야 할 조치

이번 대회에서는 통상적인 분석 보고서와 별도로 서술형 문제도 포함되어 있었습니다. 서술형 문제를 통해 얻을 수 있는 정보는 공범이 존재한다는 점과, 조사관이 놓친 증거물을 식별하는 것이 필요하다는 사실입니다.

2. 이미지 파일 분석

지금부터는 문제 풀이에 필요한 핵심적인 내용만 짚고 넘어가겠습니다.

C:\Users\souldrag\Desktop\#BTC매매일지.xlsx

시나리오의 앞 부분에서 확인한 바와 같이 김영끌의 코인 거래 장부 파일을 통해 초기 자금(약 4억)에서 3억 원 이상의 큰 금액을 손해본 것을 알 수 있습니다.

2-1) 메일 분석

C:\Users\souldrag\AppData\Local\Microsoft\Outlook

\souldrag576@gmail.com.ost

분석 도구 : Kernel OST Viewer

김영끌의 시스템에는 MS Outlook이 설치되어 있습니다. 김영끌이 사용한 계정 중 souldrag@gmail.com의 메일 내역을 보면 BM Company라는 곳으로부터 채무 협박에 시달리고 있는 것을 알 수 있습니다.

이와 같은 정보를 바탕으로 김영끌은 빚을 지고 있었음을 알 수 있고 채무에 시달리고 있어 결정적인 범행 동기가 된 것을 추측할 수 있습니다. 또한 다른 메일을 보면 디스코드 사용 내역 또한 확인할 수 있습니다.

C:\Users\souldrag\AppData\Local\Microsoft\Outlook

\everyrecover56@gmail.com.ost

함께 발견된 everyrecover56@gmail.com 계정에는 비트코인을 지불했으니 복호화 프로그램을 달라는 요청 메일 2건이 수신되어 있는 것을 알 수 있습니다.

메일에 첨부된 캡처 이미지

식별된 비트코인 주소 : bc1q7ng04nqppjf6cf3296q4l56h9pxg3suzltud4e

피해자로 추정되는 인물들이 보낸 메일에 첨부된 캡처 이미지를 보면 수신 주소로 동일한 비트코인 주소를 확인할 수 있습니다. 또한 0.003 BTC가 전송되었는데, 경찰이 입수한 피해자의 랜섬 메시지에서 일부 확인된 정보와 동일한 것을 알 수 있습니다.

2-2) 웹 방문 기록 분석

C:\Users\souldrag\AppData\Local\Google\Chrome\User Data\Default\History

분석 도구 : BrowsingHistoryView

김영끌은 평소 경제, 코인, 주식 등의 주제로 유투브 시청 기록이 많이 있으며, 채무 독촉 메일을 받은 19일 이후에는 사채 관련 글을 검색하며 상당히 불안에 시달리고 있었다는 것을 확인할 수 있습니다.

C:\Users\souldrag\AppData\Local\Google\Chrome\User Data\Default\History

그리고 중요한 점으로 21일부터 랜섬웨어와 관련해 검색을 했으며, 디스코드 채팅을 이용한 사실을 확인할 수 있습니다.

추가로, 크롬 확장 프로그램인 Metamask 검색 내역을 확인할 수 있습니다. Metamask는 암호화폐 지갑 프로그램으로 널리 알려져 있습니다.

또한, 파일 공유 사이트인 gofile.io에 접근해 어떤 파일을 업로드한 것을 추측할 수 있습니다.

그리고 23일에는 랜섬웨어와 관련된 뉴스 기사를 검색한 사실을 확인할 수 있습니다. 이는 김영끌이 랜섬웨어 공격을 수행한 뒤 피해 소식을 검색한 것으로 추측할 수 있습니다.

2-3) 디스코드 채팅 분석

C:\Users\souldrag\AppData\Local\Google\Chrome\User Data\Default\Local Storage\leveldb

분석 도구 : leveldb parser

디스코드는 사용자의 토큰 값을 이용해 로그인할 수 있습니다. 따라서 김영끌의 디스코드 대화 내역을 확인하기 위해서는 김영끌의 web discord 토큰 값 획득이 필요합니다. 이 토큰 값은 위 경로의 *.ldb 파일과 *.log 파일에서 획득할 수 있습니다.

김영끌의 디스코드 대화방 목록

분석 도구 : DiscordChatExporter

김영끌의 디스코드에는 1:1 대화방 3개를 확인할 수 있으며 그 중 범죄와 관련된 대화방은 CyberNinja 대화방입니다.

CyberNinja와의 대화내역 중 일부

대화내역을 보면 김영끌이 CyberNinja에게 공범으로 삼기 위해 포섭을 시도하고 있는 것을 알 수 있습니다. 범죄 성공 한 건당 인센티브를 제공하는 것으로 합의가 되었으며, 0.0085 wBTC를 지불하는 것으로 범죄가 착수되었습니다. 또한 웹 방문 내역에서 확인한 gofile.io 서비스를 통해 랜섬웨어 파일을 전송한 사실도 확인 가능합니다.

2-4) 암호화폐 지갑 프로그램 분석 (Ledger Live)

김영끌의 디스코드 대화 내역을 바탕으로 코인을 전송한 사실을 알 수 있기 때문에 시스템에 설치된 암호화폐 지갑 프로그램에 대한 아티팩트 분석이 필요해진 상황입니다.

C:\Users\souldrag\AppData\Roaming\Ledger Live\app.json

김영끌의 시스템에는 Ledger Live라는 프로그램이 설치되어 있습니다. 해당 프로그램은 하드웨어 지갑인 Ledger를 컴퓨터에 연동하여 사용할 수 있도록 지원하는 프로그램입니다. 이 프로그램은 사용자의 코인과 관련된 정보를 app.json이라는 파일에 기록합니다. 여기서 김영끌의 Ledger 모델은 nano S Plus 인 것을 확인할 수 있습니다.

C:\Users\souldrag\AppData\Roaming\Ledger Live\app.json

또한 김영끌의 Ledger BTC, ETH 주소를 확인할 수 있으며, 이는 Outlook 메일에서 확인한 것과 동일한 주소입니다.

BTC(Ledger) : bc1q7ng04nqppjf6cf3296q4l56h9pxg3suzltud4e
ETH (Ledger) : 0x88e0e062325b2C8e5D161745C9C0ec09f4140027

C:\Users\souldrag\AppData\Roaming\Ledger Live\app.json

또한 김영끌이 수행한 트랜잭션 내역, 어느 주소에서 어느 주소로 얼마를 보냈는지도 확인할 수 있습니다.

C:\Users\souldrag\AppData\Roaming\Ledger Live\app.json

Swap 내역도 확인할 수 있습니다. Swap이란 특정 암호화폐를 다른 종류의 암호화폐로 교환하는 것을 의미합니다. 여기서 김영끌은 비트코인을 이더리움으로 스왑한 사실을 알 수 있습니다. 왜냐하면, 공범이 wBTC(ERC-20)를 요구했는데, 본인은 BTC 밖에 없기 때문입니다. BTC -> ETH -> wBTC로 전환할 수 있습니다.(물론 중간 과정을 거치지 않고 다이렉트로 스왑해주는 서비스도 있습니다.)

wBTC는 이더리움 환경에서 비트코인의 가치와 동일한 토큰을 이용하기 위한 목적으로 사용되는 토큰입니다. 즉, 1wBTC = 1BTC 입니다.

2-5) 암호화폐 지갑 프로그램 분석 (Metamask)

C:\Users\souldrag\AppData\Local\Google\Chrome\User Data\Default\Cache\Cache_Data

분석 도구 : ChromeCacheView

크롬 브라우저의 캐시 데이터에서 메타마스크 앱에서 사용한 암호화폐 주소와 생성된 트랜잭션 등의 정보를 확인할 수 있습니다.

ETH(Metamask) : 0x5a6bF322C916c1a5E6Dc6A4284c7d4B20d79E617

2-6) 온-체인(On-Chain) 분석

지금 부터는 온-체인 분석입니다. 온-체인 분석은 시스템에 저장된 데이터가 아닌, 암호화폐 네트워크 상의 데이터를 조회해 분석하는 것을 의미합니다.

https://www.blockchain.com/explorer/transactions/eth/0xa45364dc20493dded53bac86e920c55f0a9d69c7f78898e4dd9fb4193c4724d0

분석 도구(비트코인) : https://www.blockchain.com/explorer
분석 도구(이더리움) : https://etherscan.io/

0x5a6bF322C916c1a5E6Dc6A4284c7d4B20d79E617 주소에서 0.15 ETH를 0.00892858 wBTC로 스왑한 것을 알 수 있습니다. 그 후, 스왑한 wBTC 중 약속한 금액인 0.0085 wBTC를 공범(takemejail.eth) 주소로 전송한 것을 알 수 있습니다.

takemejail.eth 프로필 정보

ENS는 Ethereum Name Service의 약자입니다. DNS와 유사한 성격으로, 이더리움 주소를 외우기 쉽도록 부여할 수 있는 고유한 별칭 주소 서비스 입니다.

2-7) 공범 자금 추적

https://etherscan.io/address/0xF5F53280aE3555A629c2e5F4E6bCf3A38FD49a4e#tokentxns

공범은 김영끌로부터 받은 0.0085 wBTC를 0x4C666B763A54e6eAD70786039a6704738a93Dc0b 주소로 전송했습니다.

https://etherscan.io/address/0x4C666B763A54e6eAD70786039a6704738a93Dc0b#tokentxns

이후, wBTC를 전송하고나서 SWINGBY 토큰을 수신한 것을 알 수 있습니다.

https://swingby.network/

Swingby는 wBTC와 BTC를 교환할 수 있는 사이트입니다. 공범이 wBTC를 전송하고 Swingby Token을 수신한 것으로 보아 Swingby 서비스를 이용했을 것으로 판단할 수 있습니다. Swingby는 트랜잭션 내역을 조회할 수 있습니다.

0x42a285edd7b606ab2300c2f286b8c9dc727dcb2761a24980f12dfe940c9a826a 트랜잭션 조회 결과

익스플로어 페이지에서 트랜잭션을 조회한 결과 수신 비트코인 주소(bc1qpd2k6rguqsqe7wk4f8kq59yyl7mm8pg6f745q4)를 확인할 수 있습니다.

해당 비트코인 주소를 조회하면 Binance로 식별되는 주소에 0.0003 BTC를 보낸 사실을 확인할 수 있습니다. 이와 같은 사실을 바탕으로, Binance 거래소의 협조를 통해 공범의 신원을 확보할 수 있는 가능성이 생기게 됩니다.

2-8) 랜섬웨어 분석

C:\Users\souldrag\Pictures\ransom\ransom.exe

위 경로의 파일을 실행하면 바탕화면이 변경되고, 랜섬 메시지를 확인할 수 있습니다. 해당 파일의 해시값과 문제에서 제시한 다른 피해자의 시스템에서 발견된 파일의 해시값이 동일한지 검증할 필요가 있습니다. 랜섬 메시지의 내용은 다음과 같습니다.

1.    0.003 btc를 [김영끌 Ledger BTC 주소]로 전송해라.
2.    everyrecover56@gmail.com 으로 이메일 보내라.
3.    트랜잭션 캡처 이미지를 포함해라.
4.    그러면 복구 도구를 줄것이다.

C:\Windows\System32\winevt\Logs\System.evtx

분석 도구 : EventViewer

이벤트 로그를 통해 23.09.21 14:50:15 시각에 SanDisk USB 연결 이력 사실을 확인할 수 있습니다.

김영끌 시스템에서 발견된 C:\Users\souldrag\Pictures\ransom.zip 파일의 생성시각이 23.09.21 14:50:49 이므로 USB에서 가져온 파일임을 추측할 수 있습니다.

김영끌 BTC 주소로 수신된 트랜잭션

이미지 파일 정보

김영끌의 랜섬 주소로 0.003 BTC가 전송된 트랜잭션은 총 3건 입니다. 하지만 Outlook 메일에서 확인한 복구 요청 메일은 2건이었습니다. 마지막 피해자의 수신 트랜잭션이 9월 26일이며, 이미징 날짜가 9월 23일 입니다. 최신 메일이 OST 파일에 동기화 되지 못한 채로 이미징을 했기 때문으로 추측할 수 있습니다. 따라서 범죄 수익을 계산할 때 총 3건의 트랜잭션이 모두 포함되어야 합니다.

이는 주요한 출제 포인트 중 하나였습니다. 암호화폐 거래라는 것은 언제 어디서나 수행될 수 있기 때문에 시스템을 이미징하고 접근하지 못하게 하더라도 자금이 움직일 수 있다는 점을 일러주고 싶은 의도가 담긴 문항입니다.

https://etherscan.io/address/0x88e0e062325b2C8e5D161745C9C0ec09f4140027

김영끌이 공범에게 지급한 인센티브 (0.005 ETH) 2건이 존재합니다. 23일 이미징이 이뤄지고 수사를 받고 있었기 때문에 3번째 인센티브를 전송하지 못한 것으로 추측할 수 있습니다.

2-9) 분석 요약

김영끌의 범죄 행위 흐름도 (출처 : 정소민진짜예쁘더라 팀)

김영끌은 평소 Ledger Nano S Plus 모델을 사용
암호화폐 투자로 큰 손해를 입자 랜섬웨어 범죄 계획
웹 디스코드 채팅을 통해 공범 섭외
범죄 착수금 지급을 위해 BTC ➔ ETH ➔ wBTC 스왑
- Ledger ➔ Metamask ➔ 공범
SanDisk USB로부터 랜섬웨어 파일 가져온 뒤,
- gofile 서비스 이용해 공범에게 공유
공범은 Swingby Bridge를 이용해 wBTC ➔ BTC 스왑
- BTC 중 일부를 Binance 거래소로 전송
랜섬웨어 피해자는 총 3명
김영끌은 공범에게 인센티브 2 회 전송

3. 채점 기준

20개 이상의 세부 채점 항목이 존재했습니다. 그 중 핵심은 다음과 같습니다.

김영끌의 범죄 동기 / 범죄 행위 검색
Ledger 하드웨어 월렛 사용 식별 (하드웨어 모델 식별, 주소 식별, 트랜잭션 식별, Swap 식별)
Metamask 지갑 사용 식별 (주소 식별, 트랜잭션 식별, Swap 식별)
공범에게 전송한 자금 이동 경로 식별
랜섬웨어 파일 입수 경로, 잔존 경로, 유포 경로, 동일성 입증
랜섬웨어 피해자 정보 및 규모와 피해 금액 식별
추가 피해자 식별
김영끌 범죄 수익 및 공범 인센티브 식별

4. 서술형 답안

이미지 분석을 통해 “확인한 근거”를 바탕으로, “본 사건에서“ 조사관이 추가로 해야 할 조치가 올바르게 제시되었는가?
- 분석 결과를 바탕으로 조사관이 추가적으로 확보해야 하는 증거물
  ✓ SanDisk Cruzer Blade 언급
  ✓ Ledger Nano S Plus 언급
- 공범의 신원 확보와 체포로 이어지도록 하기 위해 조사관이 해야 할 조치
  ✓ 공범 자금 추적 결과 최종적으로 Binance 거래소로 자금 중 일부가 전송되었다는 사실 언급
  ✓ Binance 거래소 협조를 통해 공범 신원 확보 시도 언급

서술형 답안의 경우 위 4가지 항목에 대해 적절한 근거를 들어 설명했으면 문제 없습니다.

5. 마치며...

5-1) 출제 의도 / 출제 목표

암호화폐가 사회적 이슈가 된 지는 꽤 오랜 시간이 지났는데, 암호화폐를 메인 테마로 한 대회 문제가 출제되지 않았습니다.
그래서 암호화폐 연구 내용을 바탕으로 대회 문제를 만들어보게 되었습니다.
대회 참가자들이 로컬 아티팩트 분석과 온 체인 분석을 모두 경험해볼 수 있도록 시나리오를 설계했습니다.
- 단순 전송 뿐만 아니라 크로스 체인 서비스 추적도 경험해볼 수 있도록 작성했습니다.
블록체인 특성을 활용해보고 싶었습니다.
- 대부분의 블록체인은 누구나 조회할 수 있도록 오픈되어 있습니다.
  - 이미지 파일 내부에서는 해결할 수 없는 문제를 이미지 파일 외적으로 해결할 수 있도록 유도했습니다.
시나리오는 최대한 실감나고 몰입할 수 있게 만들었습니다.
- 김영끌이 처한 상황과 심경이 참가자에게 잘 느껴질 수 있도록 백그라운드 데이터 생성에 신경을 썼습니다.
- 주고 받은 메일과 디스코드 채팅 내용은 최대한 현실감 있게 작성해보려고 했습니다.

참여하신 분들 모두 고생 많으셨습니다. 대회에 참여하면서 즐거우셨길 바랍니다!

암호화폐 거래소/투자 사기(돼지도살사기, 로맨스 스캠)

present4n6 — Mon, 7 Jul 2025 21:43:02 +0900

그림 출처 : https://www.powellvalleybank.com/whats-a-pig-butchering-scam/

1. 돼지, 도살, 사기?!

최근 피해사례가 급증하고 있는 유형 중 하나인 암호화폐를 매개체로 하는 돼지도살사기(Pig Butchering Scam)으로 알려진 수법에 대해 다뤄보겠습니다. 암호화폐를 중심으로 작성하겠지만, 일반적인 투자 사기에도 해당되는 내용이 포함되어 있으니 읽어보시는 것을 추천드립니다. 돼지도살사기라는 단어가 생소하실 수 있는데, 어원은 인간이 돼지를 먹기위해 도축하기 전 돼지에게 먹이를 배불리 먹여 살집을 키운 뒤, 도축한다는 의미에서 유래되었습니다. 이것이 사기꾼이 피해자를 속여 암호화폐를 점점 더 많이 보내게 만든 뒤, 사기를 친다는 의미와 통하게 되는 것입니다.

실제로 돼지도살사기로 인해 국내에서도 알게 모르게 피해자가 많이 발생하고 있습니다. 투자를 통해 돈을 벌어보려다 피해를 보는 경우도 있으며, SNS로 접근해 온 낯선이에게 마음을 빼앗겨 꼬드김에 넘어가는 경우 등 다양한 사례가 존재합니다.

피해금액 또한 넓은 범위에 포진되어 있습니다. 몇 백 만원 단위부터 시작해 많은 경우 억 단위의 피해를 입은 사례도 많습니다. 사기의 시작점은 다를 수 있습니다만, 결국에는 가짜 사이트를 통한 투자를 유도하기 위해 피해자를 끌어들입니다. 피해자의 공통점은 암호화폐 기술에 대한 이해 뿐만 아니라 가짜 사이트를 구분할 수 있는 기술적인 정보가 부족하다는 것입니다. 니모닉 시드나 개인키의 중요성에 대해서도 잘 모르는 경우가 대부분입니다.

이러한 사기의 가장 큰 문제점은 피해 사실을 알아채더라도 피해 자금을 돌려받을 수 있는 가능성이 0%에 수렴한다는 것입니다. 돼지도살사기의 경우 대부분이 국제적인 범죄 문제이며, 조직적으로 행해지는 집단 범죄입니다. 알려진 자료에 따르면 인신매매 등의 범죄를 통해 납치한 일반인들을 건물에 가두어 사람들을 속이는 방법을 교육한 뒤 범죄에 동참하도록 만들기도 합니다. 또 다른 문제점으로, 암호화폐 수사를 할 수 있는 수사 인력이 부족하며, 자금을 추적하더라도 국제 범죄이기 때문에 사건이 해결되지 못하는 경우가 대부분입니다.

로맨스 스캠은 피해자를 사랑하는 척 유혹해 사랑에 빠지게 만들어 등쳐먹는 사기 방법입니다. 돼지도살사기는 로맨스 스캠으로부터 연계되는 경우가 많습니다. 범죄자들은 피해자와 온라인 상에서 친밀감을 쌓기 위해 길게는 수 개월 씩 작업을 합니다. 피해자의 마음을 훔친 뒤에는 정신적으로 컨트롤해 가짜 사유를 들어 돈을 송금받거나 투자 사기로 이끌어낸 다음 많은 돈을 받아냅니다. 로맨스 스캠의 피해자는 피해 사실을 인지했을 때 정신적으로 더 큰 충격을 받게 됩니다.

2. 사기의 진행과정

사기가 진행되는 과정은 다양하지만, 큰 틀에서 다음과 같습니다.

2-1) 1:1로 진행되는 경우

당신의 SNS 또는 메신저 계정에 낯선 이로부터 메시지가 옵니다. 여기서 페이스북, 인스타그램, X(트위터), 쓰레드, 카카오톡, 라인 등이 해당됩니다.
낯선 이는 여러가지 이야기를 하면서 당신에게 호감을 표현합니다. 대부분 이 단계에서 낯선 이 본인은 해외에서 거주하고 있다고 하는 경우가 많습니다. 특히 군인, 연구원, 투자 전문가 등의 출신으로 당신을 속입니다. 이 과정에서 낯선 이는 일상적인 사진을 공유하면서 당신과 유대감을 형성하게 됩니다.
낯선 이와 연락을 주고받은 지 꽤 오랜 시간이 지나고, 당신 또한 당신을 만나고 싶다, 좋아한다는 등의 호감을 표현하는 낯선 이에게 호감을 가질 수 있습니다.
낯선 이는 당신과 충분한 유대감이 형성되었다고 판단되면, 당신을 실질적으로 부려먹기 위한 작업에 돌입합니다. 여기서 낯선 이는 투자 얘기를 꺼내면서 본인이 얼마의 수익을 봤다는 등 금전적으로 자랑을 합니다. 이 단계에서 이야기의 주제는 투자로 완전히 넘어가게 될 것입니다.
낯선 이는 당신에게 본인이 이용하고 있는 투자 관련 서비스를 홍보하기 시작합니다. 또한 수익을 얻을 가능성이 있는 주식에 대한 정보를 공유하기도 합니다. 이 단계에서 당신은 실제로 얻은 정보를 바탕으로 수익을 볼 가능성이 있으며 낯선 이가 하는 말에 더욱 빠져들게 됩니다.
낯선 이는 당신에게 정상적인 투자 사이트를 알려줄 수도 있으며, 시작부터 사기 사이트를 알려줄 수도 있습니다. 하지만 정상적인 사이트를 알려주었다고 하더라도 최종적으로 사기 사이트로 유도합니다.
사기 사이트를 통해 당신이 돈을 입금하게 되면 낯선 이는 사이트의 숫자를 조작해 당신이 큰 수익을 보는 것처럼 유도합니다.
당신은 점점 더 많은 돈을 입금하게 됩니다. 이 과정에서 당신은 일부 수익금을 인출하려고 시도할 수 있습니다. 인출하려는 금액이 적은 경우 정상적으로 인출이 될 수 있습니다. 하지만, 인출하려는 금액이 많다면 갖가지 거짓 제약(핑계)을 바탕으로 인출을 하지 못하게 합니다.
낯선 이 혹은 사기 사이트의 고객센터에서 더 많은 금액을 입금하도록 당신을 속이고 유도합니다. 당신은 인출을 하기 위해 혹은 청산이 되는 것을 막기 위해 반복해서 더 많은 금액을 입금합니다.
낯선 이 혹은 사기 사이트의 고객센터는 더 이상 입금을 할 수 없는 당신에게 대출 업체를 알려줍니다. 여기서 당신은 사채를 써가면서 입금을 하게 됩니다.
더 이상 입금이 불가능해져서, 혹은 너무 이상하다는 것을 깨닫게 되고 당신은 사기를 당했다는 사실을 인식하게 됩니다.

아래 문구는 당신을 속이고 더 많은 돈을 받기 위해 사기 사이트에서 활용하는 갖가지 핑계들 입니다.

안녕하세요, 시스템 검토 결과, 고객님의 계좌는 누적 충전 횟수가 7회에 달하고, 누적 거래 금액이 40,000USDT를 초과하여 시스템이 자동으로 고객님의 계좌를 VIP2로 업그레이드했습니다. VIP2로 업그레이드된 후, 첫 번째로 상점에 판매할 수 있는 최소 USDT 금액은 20,000USDT입니다. 따라서 고객님의 계좌는 이 금액에 도달해야 거래가 가능합니다. 앞으로 고객님의 계좌는 하루에 두 번 거래할 수 있습니다.

시스템에서 알려드립니다. 72시간 이내에 계좌 업그레이드를 완료해야 하며, 지정된 시간을 초과하면 계좌 잔액의 3%가 매일 보관료로 차감됩니다. 거래를 진행하려면 업그레이드를 빠르게 완료해 주시기 바랍니다. 감사합니다.

일정 금액을 추가로 지불하지 않으면 당신의 계좌는 청산될 것입니다.

인출을 하려면 세금을 추가로 납부해야 합니다. 따라서 일정 금액을 추가로 입금해야 합니다.

특정 시일까지 추가적인 금액을 입금하지 않으면 저희는 법적인 대응을 취할 것입니다.

VIP 이시기 때문에 특별히 탕감해드리겠습니다. 사전에 고지한 금액의 절반만 입금하시면 됩니다.

계좌가 동결되어 출금이 불가능합니다.

2-2) 1:다수로 진행되는 경우

본인이 스스로 주식 투자 등을 주제로 하는 일명 투자 리딩방과 같은 단체 채팅방에 참여하게 됩니다.
혹은 SNS 메시지를 수신하고 1:1로 시작한 뒤, 단체 채팅방에 초대받게 됩니다.(텔레그램 혹은 카카오톡 오픈채팅방 등)
대부분 방장이 주식 또는 코인과 같은 정보를 공유하는 형태로 진행됩니다.
당신은 처음에 의심이 많았지만, 방장의 정보를 통해 수익을 봤다는 다른 사람들의 말에 솔깃하게 됩니다.
여기서 채팅을 하는 다른 사람들은 당신을 함께 속이기 위한 바람잡이들 즉, 방장과 한 패 입니다.
방장이 먼저 정상적인 투자 사이트를 홍보할 수도 있지만, 천천히 당신을 사기 사이트로 유도합니다.
사기 사이트로 유도된 다음은 똑같습니다. 갖가지 핑계를 통해 인출을 방해하고 당신을 겁줘서 더 많은 돈을 입금하도록 유도할 것입니다.

1:다수로 진행되는 경우 중요한 점은 바람잡이들이 함께 당신을 속이기 때문에 쉽게 빠져들 수 있다는 점입니다. 바람잡이들은 합성한 사진 또는 다른 사람의 사진을 도용해서 큰 돈을 번 것처럼 행세할 것입니다.

3. 사기가 진행되는 과정

수집한 자료를 통해 실제 사기가 진행되는 과정 중 일부를 보여드리겠습니다.

실제 피해자가 언급한 광고

한 피해자는 위와 같은 광고로부터 피해가 시작되었다고 했습니다.

텔레그램 초대

또는 위와 같이 텔레그램 초대로부터 시작될 수도 있습니다.

피해자로 하여금 지속적으로 입금을 유도하는 행위

사기꾼은 신규 청약, 이벤트 등을 핑계로 피해자에게 지속적으로 입금을 요구합니다.

사기 의혹에 대응하는 사기꾼과 바람잡이들

사기 의혹이 있자 사기꾼이 대응하는 방식입니다. 그리고 채팅방에 함께 있는 바람잡이들이 옹호하는 모습입니다.

사기꾼의 강의 진행

사기꾼은 위와 같은 방식으로 강의를 진행하고, 종목을 추천합니다.

바람잡이의 선동

사기꾼이 종목을 추천하면 바람잡이들이 해당 종목을 구입했다는 식으로 선동을 합니다.

한 차례 사기 작업이 끝난 모습

사기꾼은 한 차례의 사기 스텝이 진행되고 나면 위와 같이 정숙한다는 등의 핑계를 대면서 채팅을 못치도록 하기도 합니다. 이는 사기꾼들의 휴식시간 또는 다음 채팅방에서 작업을 하는 동안 피해자에게 의심을 주지 않기 위함으로 보입니다.

출금이 안된다고 하는 모습

피해자가 출금을 시도하자 사기꾼이 더 많은 돈을 뜯기 위해 갖가지 거짓 사유를 들며 출금을 거부하는 모습입니다.

4. 사기꾼들의 정체는?

국내에서 검거되는 사기꾼도 있지만, 대부분의 사기꾼은 해외에서 활동하고 있습니다. 최근 보도자료에 따르면 라오스/캄보디아 쪽 국가에 집단범죄조직이 있다고 합니다. 이들은 SNS와 같은 곳에서 해외 고수익알바를 홍보하고 캄보디아, 태국, 라오스 등의 나라로 지원자를 유인합니다. 지원자가 공항에 도착하면 범죄 조직에서는 차를 통해 범죄 단지로 납치를 하여 감금을 합니다. 이들은 폭행 및 고문을 통해 납치된 사람을 완전히 굴복시킨 뒤, 한국인을 대상으로 하는 범죄에 가담시킵니다. 여러분이 메신저에서 대화한 사람도 납치되어 일하고 있는 사람일 수 있습니다.

<울산신문> https://www.ulsanpress.net/news/articleView.html?idxno=538282

이와 관련된 내용은 '시사기획 창' , '그것이 알고싶다'에서 방영한 적이 있습니다. 관심 있으신 분들은 아래 영상을 보시기 바랍니다.

시사기획 창

그것이 알고 싶다

5. 이러한 경우 99.99% 사기입니다.

실제로 코인을 이용하는 사기 유형도 있지만 껍데기만 코인으로 가장하고 현금을 보내도록 하는 유형도 있습니다. 사기꾼들이 개발한 사이트는 피해자를 속여 사기치는 것만을 목적으로 하고 있기 때문에, 완벽하게 개발하지 않는 경우가 많아 여러가지 기능적 허점이 존재합니다. 아래에서 소개드리는 항목 중 하나라도 해당하는 부분이 있다면 사용하지 않는 것을 권해드립니다. 어떤 피해자 분은 어플이 있어서 믿었다고 합니다. 어플이 있는 것은 전혀 중요하지 않습니다. 다음 내용을 반드시 읽어보시기 바랍니다.

5-1) 지갑 연결 기능이 없는 경우

지갑 연결 기능이 있는 정상 사이트

실제 코인 스테이킹 등의 방법을 통해 수익을 볼 수 있는 정상적인 DeFi 사이트에는 위 그림과 같이 반드시 지갑 연결(Connect Wallet) 기능이 있습니다. 지갑 연결 기능이 있다고 하더라도 지갑 연결 시 사용자의 지갑 권한을 조작할 수 있도록 하는 사기 사이트도 있으니 조심해야 하는 것은 마찬가지입니다.

정상 사이트에서 지갑 연결 기능을 눌렀을 때

지갑 연결 기능을 이용하면 위와 같이 대중적으로 사용되는 코인 지갑을 연결할 수 있는 팝업 창이 나옵니다. 이게 도대체 뭐하는 것인지 모르시겠다면 무엇이든 당장 그만두시는 것이 좋을 것입니다.

coinmarketcap.com

중앙화 거래소의 경우 지갑 연결 기능이 불필요할 수 있습니다. 사기 사이트인지 구별하는 가장 손쉬운 방법은 https://coinmarketcap.com/rankings/exchanges/ 사이트에서 거래소를 검색해보는 방법입니다. 위 사이트의 검색 창에서 조회되지 않는다면 하지 않는 것이 좋습니다.

5-2) PC 화면을 지원하지 않는 경우

컴퓨터에서 접속한 사기 사이트의 모습

전달 받은 사이트 주소를 휴대폰이 아닌 컴퓨터에서 접속해보시기 바랍니다. 위 그림과 같이 모바일에서 보는 듯한 화면이 보인다면 이용하지 마십시오. 요즘 많은 사람들이 휴대폰을 이용해서 많은 것들을 하기 때문에, 일부 사기꾼들은 PC로 보는 것을 고려하지 않고 사이트를 개발합니다.

5-3) 홈페이지의 일부 메뉴가 정상적으로 동작하지 않는 경우, 다수의 버튼이 특정 페이지로만 넘어가는 경우

어떤 사기 사이트의 경우 사기에 필요한 기능만 그럴듯이 개발해놓았기 때문에 다른 페이지들은 정상적으로 작동하지 않는 경우가 있습니다. 홈페이지에 많은 버튼을 클릭해보고 정상적으로 작동하지 않거나 그래프가 있어야 할 자리에 보이지 않는 경우, 특정 페이지로만 계속 연결되는 경우 등은 사기 사이트일 것입니다.

5-4) 메신저에서 모든 것이 이뤄지는 경우

메신저에서(특히 텔레그램) 투자 정보 등의 내용이 진행되고 있다면 하지 않는 것이 좋습니다. 정상적인 사이트는 메신저의 채팅방에서 에서 무언가를 진행하지 않습니다. 채팅방 하나에서 당신 한 명을 속이기 위해 몇 십 명이 동원되기도 합니다. 특히 사람이 직접 지갑 주소를 알려주면서 여기에 코인을 보내라고 한다면 하지 않는 것이 좋습니다.

5-5) 계좌에 직접 입금하는 경우

그 어떤 정상적인 사이트에서도 투자를 위해 계좌번호에 직접 돈을 송금하도록 하는 경우는 없습니다. 특정 계좌번호에 돈을 입금하라고 한다면 당장 그만두십시오.

5-6) 인출 기능을 이용했을 때 즉시 처리되지 않는 경우

내가 인출 기능을 이용했는데 내 계좌로 즉시 돈이 입금되지 않고 시간이 한참 지난 뒤 돈이 들어온다면 사기 사이트일 것입니다. 시스템이 자동화되어 있지 않으며, 사기꾼들이 일일이 내역을 확인하고 돈을 입금하는 것이기 때문입니다.
또한 위의 2-1)에서 말씀 드렸듯이 갖가지 핑계를 대면서 인출을 지연시킨다면 역시 사기 사이트 입니다.

5-7) 다양한 언어를 지원하지 않는데, 한국어는 지원하는 경우

사기 사이트에서 지원하는 언어

이 사기 사이트에서 지원하는 언어를 보면 영어, 일본어, 한국어, 중국어, 베트남어, 태국어 등이 있습니다. 사실 한국어는 국제적으로 봤을 때 대부분의 사이트에서 지원을 하지 않습니다. 대부분의 사이트에서 많이 지원하는 언어는 영어, 스페인어, 불어, 중국어, 아랍어 정도 입니다. 그나마 일본어를 지원하기도 하는데, 한국어는 거의 지원하지 않습니다. 국내 거래소이거나 국내에 진출한 곳이 아닌 이상에야 한국어까지 지원하는 경우는 없다고 봐도 무방합니다. 사기꾼들은 한국인을 대상으로 사기를 치기 위해 한국어를 일부러 넣어 놓습니다.

정상적인 거래소에서 지원하는 언어

5-8) VIP 제도가 있는 경우

사기 사이트의 멤버십 제도

위 사기 사이트처럼 VIP 제도와 같이 계정에 등급제가 있는 경우 이용하지 않는 것이 좋습니다. 어떤 사기 사이트에서는 특정 VIP 등급에 도달하면 최신 휴대폰을 준다거나 금괴를 준다고 홍보하는 경우도 있었습니다. 실제로 그 사이트를 이용한 피해자는 VIP 등급에 도달해 휴대폰을 택배로 받고는 더더욱 돈을 많이 입금하기도 했습니다.

5-9) 개인키, 니모닉 시드와 같은 정보를 요구하는 경우

암호화폐를 이용하는데 핵심적인 중요 정보인 개인키 또는 니모닉 시드 값을 입력/제출하도록 요구한다면 그 곳은 사기 사이트입니다. 만약 이미 제출한 상태라면 신속하게 새로운 암호화폐 계정을 개설한 뒤(새로운 니모닉 시드 계정) 기존의 주소에서 새로운 주소로 암호화폐를 전송해야 합니다.

5-10) 긴가민가한 경우

긴가민가한 느낌이 든다면 안하는 것이 좋습니다. 긴가민가하다는 것은 내가 이것에 대한 정확한 지식과 정보가 없다는 뜻입니다. 많은 분들이 이런 질문을 합니다. "여기 사기 거래소인가요?" 이런 의문이 든다면 안하는 것이 맞습니다.

6. 사기를 인지한 뒤에는 어떻게? , 2차 사기를 당하지 않으려면?

사기를 인지하셨다면 즉시 채팅방의 모든 대화 내용을 캡처 등의 방법으로 보존하신 뒤 지역 경찰청에 방문하십시오. 사기꾼을 자극한다면 채팅방에서 쫓겨 날 가능성이 높으니 평소와 같이 대하시면 됩니다. 필요한 내역을 모두 보존하셨고, 경찰에 사건을 접수하셨다면 사기꾼을 구슬려 자금을 조금이나마 회수할 수 있도록 시도할 수 있습니다. 큰 돈을 인출하는 것은 사기꾼들이 허가해주지 않을 것이기 때문에 소액이라도 인출을 시도해 조금이나마 자금을 회수할 수 있습니다. 그리고, 지급정지신청, 고소장 작성 등과 같은 추가 조치는 수사관님과 같이 논의해보시면 됩니다.

※ 2차 사기는 굉장히 중요한 내용입니다. 반드시 읽어주세요.

사기 피해를 인지하고 여기저기 정보를 찾으러 다니다 보면, 잃어버린 자금을 되찾아준다고 하는 등의 게시글을 보거나 돈을 되찾아주겠다는 메일을 받거나 하실 수 있습니다. 절대 하지 마십시오. 착수금을 노리고 행하는 일종의 사기 행위 입니다. 이들은 절박해진 여러분의 심리를 이용해 감언이설로 꼬드길것이며 실제로 불가능한 일을 가능한 것처럼 꾸며내 여러분에게 다시금 피해를 입힙니다. 한 나라의 수사기관도 골치 아픈 이 문제를 일개 개인이 해결할 수는 없습니다.

법무법인을 찾아가시는 분들도 있습니다. 어떤 곳에서는 여러가지 법적 조치를 권유하며 불필요한 지출을 유도하는 경우가 있습니다. 불필요한 조치를 위해 추가적인 비용을 지불하지 마시고, 잘 알아보고 하시는 것이 좋습니다.

7. 마치며...

암호화폐를 매개체로 한 사기도 결국은 전통적인 수법을 이용합니다. 저명한 암호화폐 조사관인 'Nick Furneaux'는 "THERE'S NO SUCH THING AS CRYPTO CRIME"이라는 책을 집필했는데, 책의 제목에서 알 수 있듯이

암호화폐 사기란 없다. 전통적인 사기 수법에 단지 현금 대신 암호화폐가 이용되었을 뿐

이라는 뉘앙스의 이야기를 한 바 있습니다. 결국 사기 수법은 이전에 있었던 것과 크게 달라진 것이 없으며, 거기에 단지 암호화폐가 더해졌을 뿐이라는 것입니다.

대부분의 경우 국제적인 사기집단이기 때문에 이미 피해를 입으셨다면 잃어버린 피해자금을 회복하는 것은 가능성이 낮다고 볼 수 있습니다. 하지만 시간이 지나고 범죄자가 검거되는 사례도 분명 나오고 있습니다. 힘든 시간이더라도 참고 견뎌내시기 바랍니다.

명심하셔야 합니다.
낯선 이가 댓가 없이 당신의 재산을 불려줄 이유는 하나도 없습니다.
무언가를 시작하기 전에 충분한 공부를 하셔야 합니다!!!
어떤 피해자들은 가족들이, 지인들이 하지말라고 거듭해서 만류했지만 끝까지 본인을 믿었습니다.
주위에서 해주는 조언을 흘려듣지 마시고 귀담아 들으셔야 합니다.