시나리오와 사건 개요
의뢰 배경과 증거 이미지의 실제 시간 범위를 먼저 분리하고, 영업비밀 유출 의혹을 검증할 핵심 질문을 정리했습니다.
가상 분석 시나리오
박경력 분석관은 디지털 포렌식 분석 경력 5년 차다. 그는 이튿날 팀장으로부터 어느 미제 사건에 대한 분석을 배당받았다.
그가 처리해야 할 사건은 영업 비밀과 기술 유출에 관한 것으로, 2020.9.14경부터 같은 해 11.23경까지 ‘(주)투스타커피’라는 회사에서 재무팀장으로 일하였던 ‘홍길동’이라는 혐의자가 경쟁회사인 ‘(주)커피춘천’으로 이직하면서 ‘(주)투스타커피’의 로스팅(Roasting) 관련 핵심 기술이 담긴 기밀 문서를 빼돌린 정황이 있었다는 내용이었다.
이에 ‘(주)투스타커피’의 대표이사인 ‘이몽룡’이 위와 같은 정황을 확인한 후, ‘홍길동’이 사용하였던 업무용 노트북에 대한 디지털 포렌식 조사를 의뢰하였다.
‘홍길동’은 2020.11.27경 퇴사를 하면서 자신이 사용하였던 노트북을 위 회사 측(투스타커피)에 반납하였고, 회사 측에서는 해당 노트북에 즉시 윈도우 10 운영체제를 새로이 설치하였다.
위 노트북은 그 이후 직원들에게 지급되지 아니한 상태에서 디지털 포렌식 분석이 이루어질 때까지 회사 창고에 보관 중이었다.
‘홍길동’이 퇴사하고 약 3개월이 지났을 무렵, ‘(주)커피춘천’에서는 ‘(주)투스타커피’의 로스팅 기술과 같은 기술을 이용하여 커피 프랜차이즈 업계에 돌풍을 일으키게 되었고, 이에 ‘(주)투스타커피’ 측에서는 ‘홍길동’이 ‘(주)커피춘천’사로 이직하면서 자사의 로스팅 기술에 관한 문건을 유출한 것으로 의심하고 디지털 포렌식 분석을 의뢰하였다.
투스타커피 영업비밀 유출 의혹
디지털 포렌식 경력 5년 차 분석관 박경력은 투스타커피 대표 이몽룡으로부터 홍길동이 사용한 업무용 노트북의 분석을 의뢰받았습니다.
홍길동이 경쟁사 커피춘천으로 이직한 뒤 약 3개월 만에 유사한 로스팅 기술이 사용되고 매출이 급증해 기술 유출 의혹이 제기됐습니다.
제공된 문서에는 근무기간이 2020-09-14~11-23, 노트북 반납일이 11-27로 적혀 있습니다. 두 날짜가 달라 퇴사·반납 기록 원본 확인이 필요합니다.
증거 이미지의 마지막 확인 시각은 2020-10-24입니다. 11월 퇴사·반납·재설치는 인사기록, 장비 인수증, 원본 디스크와 서버 로그를 결합하는 후속 시간축으로 분리했습니다.
경쟁사와의 직접 협의
김놀부는 특허 관련 자료를 보여 달라고 요청했고, 홍길동은 보안이 엄격해 메일·이동식 저장장치 사용이 어렵다며 다른 방법을 고민하고 최소 1천만 원의 대가를 요구했습니다.
자료의 출처와 반출 경로
커피연구.zip과 여러 형식의 로스팅 연구자료가 사용자 저장영역에서 확인됩니다. 생성·복사 시각, 원본 저장 위치, 외부 계정 접속 기록과 이동식 저장장치 사용 흔적을 결합하면 자료의 취득 경위와 반출 경로를 좁힐 수 있습니다.
시나리오의 입사일과 Windows 10 설치 시각이 같은 날입니다. ‘퇴사 후 즉시 재설치’ 진술과는 맞지 않아 원본 장비·시스템 시계 확인이 필요합니다.
커피연구.zip 안에 HWP·DOCX·Cell·Show 형식의 연구 문서 9종이 19시대 시각으로 기록돼 있습니다.
보고서의 기간은 3박 4일인데 비용란은 4박 5일로 작성됐습니다. 첨부 사진은 판교 상권·업무지구 중심이며 계약서·회의록·영수증과 연결되지 않아 보고 내용의 신뢰성을 훼손합니다.
TeamViewer 상대 456598216 원격제어 종료 직후 D:\confidential의 PDF·설계 이미지 4종이 열렸고 TrueCrypt가 실행·설치됐습니다.
실제 입사일과 다른 2011년 입사·9년 3개월 재직 내용, 회사 대표 명의와 직인이 포함된 홍길동 명의 문서가 확인됩니다.
홍길동은 로스팅 특허·보안·전달 방법을 언급하고 최소 1천만 원의 ‘수고비’를 요구했습니다.
JPEG·PDF 자료가 .exe/.dat/.db/.zip 확장자로 바뀐 채 OneDrive 문서 영역에서 확인됐고 TeamViewer 로그는 종료 직전까지 증가했습니다.
사건을 관통하는 세 가지 행위축
입사 직후 대표 이몽룡이 인수인계 압축파일과 재무·인사·법인카드·계좌 관련 자료를 개인 메일로 재송부했습니다. 홍길동은 짧은 재직기간에도 회사의 핵심 행정자료와 내부 업무 흐름을 빠르게 파악할 수 있는 위치에 놓였습니다.
Connections.txt가 상대 456598216 원격제어를 확정하고, 파일 전송 창에는 로컬 D:\와 상대 측 C:\Users\smlee\OneDrive\문서가 함께 저장됐습니다.
회사 직인과 대표 인감 이미지, 전임자 재직증명서 사본, 홍길동 명의 완성 문서가 같은 사용자 영역에서 발견됐습니다. 문서 형식과 직인을 재사용해 대외 제출용 문서를 만들 수 있는 준비 상태가 형성돼 있었습니다.
수사 판단: 자료 접근, 원격제어, 기밀 폴더 열람, 암호화 도구 설치, 경쟁사 협의와 위장 파일 생성이 gdHong 사용자 영역에서 시간상 연속성을 가집니다. 상대 번호 456598216과 smlee 장비의 TeamViewer·OneDrive 원본 확보가 최우선입니다.
E-02 · 화면 증거
E-05 · 문서·인감