구글 계정을 삭제했을 시 포렌식 가능 여부

Question

포렌식을 통해 구글의 검색기록이나 시청기록 등을 확인하는 절차가 진행될 때, 그 사람의 삭제된 계정의 검색기록이나 시청기록 또한 모두 확인 가능한가요? 만약 가능하다면 구글 서버를 통해 알아내는건가요 폰 내부의 메모리 장치등에서 알아내는건가요?

Answer 1

안녕하세요. 김재훈 전문가입니다.

구글 계정을 삭제했다고 해서 포렌식으로 모든 검색기록이나 시청기록을 반드시 확인할 수 있는 것은 아닙니다 계정 삭제 전에 서버에 남아 있던 데이터를 법적 절차에 따라 구글 서버에서 확보될 가능성이 있지만 계정이 완전히 삭제되어 데이터가 제거된 뒤에는 복구가 어려울 수 있으며 휴대전화 내부에는 캐시나 브라우저 기록 등 일부 흔적만 남아 있을 가능서이 있습니다 그래서 확인 대상은 구글 서버의 데이터와 휴대전화 저장장치의 잔존 데이터가 각각 별도로 분석되며 상화에 따라 가능한 정보가 달라집니다

Answer 2

안녕하세요. 박재화 전문가입니다.

구글 계정을 삭제했다고 해서 검색기록이나 시청기록이 무조건 모두 확인 불가능해진다고 보기는 어려울 것 같습니다. 물론 삭제된 계정의 기록들이 전부 그대로 다 나온다고 단정할 수도 없구요.

가능하다고 생각되는게, 구글 서버에 남아 있는 자료를 법적 절차를 거쳐서 요구하는 방법이 있을수도 있고, 아니면 휴대폰 내부에 남은 흔적을 포렌식으로 확인하는 경우가 있을 수 있습니다. 구글의 서버 쪽은 계정의 삭제 시점이나 보존 기간, 법적 요청 여부, 구글의 보관 정책에 따라서 달라질 수 있을 것 같습니다.

Answer 3

안녕하세요. 최정훈 전문가입니다.

Google 계정을 삭제하시면 일정 유예 기간이 지난 뒤에 서버 데이터가 완전히 삭제됩니다. 그래서 Google 본사를 통한 기록 확보는 사실상 불가능하다고 보셔도 되겠습니다. 하지만 수사 기간이 미리 개정 보존 요청을 해 뒀거나 삭제 직후라면은 서버에 기록이 잠시 남아 있을 수는 있습니다. 또한 서버 쪽에 데이터가 다 지워졌더라도 기존에 사용하시던 스마트폰이나 PC 저장 장치를 직접 디지털 포렌식하시면 캐시나 데이터베이스 잔지가 나와서 기록이 복구되기도 하죠. 결국에는 Google 서버보다는 기기 내부의 메모리를 분석해서 흔적을 찾아내시는 게 훨씬 자주 쓰인다고 이해될 것 같습니다. 따라서 계정을 지우더라도 기기 자체의 잔여 데이터가 남을 수 있습니다. 그러므로 완벽하게 기록을 지우기는 힘듭니다.