1.서론
유튜브 쇼츠를 보던 중 다운로드 한 파일과 직접 촬영한 사진을 경찰 포렌식에서 구별 가능하다고 이야기 하는 영상을 보았다. 여기에 한 발 더가서 다운로드 한 파일이 트위터에서 받았는지 구글, 페이스 북 어디서 받았는지 까지 경찰이 포렌식 하면 다 알 수 있다고 주장하는 영상을 보았다.
촬영한 사진과 다운한 사진은 exif가 크게 차이 나니 구별이 기술적으로 가능 하다고 생각이 드는데 다운로드한 파일이 어디서 다운했는지 구별하는게 기술적으로 가능한지 의문이 들었다.
그래서 X-Ways의 RVS기능을 이용하여 직접 실험 해보기로 마음먹었다.
2. 실험 및 결과
tip : X-Ways excire ai와 다르게 RVS는 기본 탑제된 기능으로 추가로 셋팅할 필요가 없다!
우선 X-Ways를 실행하고 사진 디렉토리를 case에 추가한다.
F10을 눌러 RVS 팝업창을 띄운다음, Extract internal metadata, browser history and events 체크 한다 (나머지 체크는 선택사항)
실행이 완료되면 상단 리스트를 왼쪽으로 당겨서 결과를 확인한다.
트위터에서 받은 사진을 진짜로 구분하였다! 다른 출처의 사진들도 제대로 구별하는지 추가로 확인 하였다.
DSLR, 구글에서 다운한 사진도 제대로 구별하였다.
다만, 100% 모두 다 정확한 건 아니였고 체감 상 65-70% 정도의 정확도가 보였다. 공군 로고의 경우는 다운로드 출처는 정확했지만, 디바이스 타입이 틀리게 판정되었다.
위 rvs 실행결과가 완벽한 증거가 되기보단 수천개의 파일이 있을때 의심되는 것을 빠르게 추려주는 1차 필터로 쓰이기에는 좋을 것 같다.
3. 추가 탐구
이게 어떤 식으로 탐지하는지 근본적인 탐지 기술을 알고 싶어 추가로 조사를 진행했다.
| 플랫폼 | 품질값(JPG) | 출처 |
|---|---|---|
| Twitter(X) | Q_f ≈ 85 (4:2:0 변환 후 재압축 시) | Chuman, Iida, Sirichotedumrong, Kiya, “Image Manipulation Specifications on Social Networking Services for Encryption-then-Compression Systems”, arXiv:1810.02062 |
| Facebook (HQ) | Q_f 71~85 (이미지마다 변동) | 위와 동일 |
우선 JPG 사진의 경우 포렌식 툴에서 품질값을 역산하여, 품질 값이 해당 값에 일치하면 해당 플랫폼에서 다운로드 진행 한 것으로 판단한다
두번째 방법은 Software exif 탭에 Google과 같은 문자열이 있는지 확인 후 분류한다.
이 외에 다른 자료는 찾기 못하였지만, 이와 비슷한 방법으로 사진의 고유한 특징을 이용하여 분석하는 것으로 추정된다.
4. 추가 생각 (내가 기술보조인이라면…?)
만약 내가 형사 사건의 기술 보조인으로 포렌식 현장에 참관한다면, 수사기관이 Generator Signature나 EXIF Software 태그만으로 “이 사진은 SNS에서 받은 것이다”라고 단정 지으려 할 때 다음을 확인할 것 같다.
- 변인통제 확인: RVS를 돌릴 때 Picture analysis처럼 무관한 옵션이 같이 켜져서 결과가 오염되지는 않았는지, 동일한 절차로 재현 가능한 값인지 확인한다.
- 서명의 종류부터 구분: Generator Signature(양자화 테이블 기반, 조작이 어려움)인지, EXIF Software 태그(텍스트, 조작이 쉬움)인지 확인한다.
- 단일 지표인지 교차검증인지: 서명 하나만으로 결론을 냈는지, 검색 기록·메신저 로그 같은 다른 디지털 증거와 함께 봤는지 확인한다.
- 경로 추적의 공백: “트위터 서명이 있다”는 사실이 “트위터에서 직접 받았다”를 보장하지 않는다(구글 검색으로도 유입될 수 있다). 이 공백을 메우지 않고 의도까지 단정하는 건 아닌지 짚는다.
- 정확도 고지 여부: 100% 확정적 증거처럼 제시되는지, 아니면 한계를 인정하고 정황 증거로만 쓰이는지 확인한다.
- 파일 포맷 확인: 애초에 PNG 같은 무손실 포맷이면 위 방법 자체가 적용되지 않음
다만 이 체크리스트가 항상 의뢰인에게 유리하게만 작용하는 것은 아니다.
의뢰인이 “다운로드했다”고 주장하는데 직접 촬영한 것으로 의심되는 exif가 나온다면, 오히려 불리한 증거가 될 수도 있다.
기술 보조인은 의뢰인에게 유리한 결과가 나오든 불리한 결과가 나오든 그에 맞춰 말을 바꿔서는 안 되고, 증거를 있는 그대로 객관적으로 검토해야 한다.