Episode24. 포렌식 분석 보고서

기밀 (CONFIDENTIAL)

Episode24. 포렌식 분석 보고서

영업 비밀 및 핵심 기술 유출 사건 디지털 포렌식 조사

분석 일시: 2026-08-04

분석관: 김수영

목적: 행위 파악 및 유출 자료 확인

1. 사건 개요 및 분석 시나리오

사건 배경

혐의 내용: 2020년 9월 14일부터 2020년 11월 2일까지 (주)투스타커피의 재무팀장으로 재직했던 '홍길동'이 경쟁회사인 (주)커피천사로 이직하면서, (주)투스타커피의 로스팅(Roasting) 관련 핵심 기술이 담긴 기밀문서를 유출한 정황이 발생함.

의뢰 경위: '홍길동' 퇴사 후 약 3개월이 지난 시점에 경쟁사인 (주)커피천사에서 (주)투스타커피와 동일한 로스팅 기술을 활용한 신제품으로 프랜차이즈 업계에서 이슈를 일으킴. 이에 (주)투스타커피 대표이사 '이몽룡'은 기술 유출을 의심하고 홍길동이 사용했던 업무용 노트북에 대한 디지털 포렌식 분석을 의뢰함.

분석 대상 및 도구

관리 상태: 반납 직후 Windows 10 OS 재설치(포맷) 후 창고 보관.
분석 대상: 홍길동 PC L01 파일

사용 분석 도구: Exterro FTK Imager 4.7.3.81 Autopsy 4.23.1 Registry Viewer 2.0.0 자체제작 메일 분석 도구

2. 사건 인물 관계도

(주)투스타커피 (내부)

이몽룡 대표이사 / 의뢰인

성춘향 / 홍길동 지휘 및 감독

성춘향 팀장/과장

사내 내부 중간 관리자

홍길동 前 재무팀장 (피의자)

기밀 유출 및 불법 물품 거래 주체

외부 관계자

김놀부 (주)커피천사

홍길동과 지인 / 기밀 유출 수혜 및 매각 협상 대상

이철수 채권자

1,000만 원 대여 및 독촉

박향단 브로커

마약 추정 불법 물품 전달

3. 사건 종합 타임라인

2020. 09. 12

범행용 이메일 계정 생성

· 범행에 사용할 신규 구글 계정(hong20200912@gmail.com) 가입

2020. 09. 14

(주)투스타커피 입사

· 홍길동, 팀장 직급으로 입사

2020. 09. 25 (07:11)

구글 이메일 데이터 1차 백업 및 추출

· 구글 테이크아웃 기능을 이용해 메일 데이터 백업 파일 추출

2020. 09. 27 (17:24)

불법 물품(마약류 등) 견본 접수 및 암호 은닉 전달

· 브로커(박향단)가 은어("가루쟁이", "고기 견본")를 사용하며 스테가노그래피(비밀번호: 1234)로 암호화된 이미지 전달

2020. 10. 10 (07:31)

기밀자료 개인 PC에 저장

· 이몽룡의 USB가 홍길동의 PC에 연결됨을 확인. 해당 시간의 연결로 유출되었음으로 추측

2020. 10. 13 (14:42)

비대면 던지기 거래 장소 및 시간 통보

· 브로커(박향단)가 감시를 피해 "사당역 물품보관함 C, 오늘 22:00" 오프라인 비대면 거래 제안

2020. 10. 13

물품 구매자금 마련을 위한 거액 채무 발생

· 이철수에게 변제기일 일주일(10.20.) 조건으로 1,000만 원 차용증 작성

2020. 10. 13 (20:57)

사당역 물품보관함 현장 방문 및 물품 수령

· 약속 시간 전 사당역 C 물품보관함 현장에 직접 도착하여 보관함 상태 확인 및 사진 촬영

2020. 10. 15 (13:35)

스마트폰 백업 수행

· 개인 스마트폰 데이터를 PC로 백업 (차용증 및 사당역 현장 사진 저장)

2020. 10. 20 ~ 22

채권자의 강력한 고소 위협 및 빚 독촉

· 변제기일 초과로 채권자(이철수)로부터 "내일 안 주면 고소하겠다"는 강력한 상환 압박 수신

2020. 10. 22 (16:28)

빚 상환을 위한 회사 기밀 매각 협상 (범행 감행)

· 독촉 압박을 이기지 못하고 경쟁사((주)커피천사 김놀부)에 "수고비 최소 1,000만 원"을 조건으로 회사 기밀 매각 협상

2020. 10. 24 (05:28)

회사 기밀 2차 백업 및 최종 암호화 은닉

· 구글 테이크아웃 2차 백업 수행 후 암호화 가상 파티션 툴을 이용해 추출 데이터 은닉

2020. 11. 02

(주)투스타커피 퇴사 및 경쟁사 이직

· 정황상 모종의 방법으로 기밀자료 유출 후 이직

4. 상세 분석 내용

가. 메일 분석 및 증거 수집

L01 파일을 FTK Imager를 이용해 분석 시작. 사용자가 자주 사용할 법한 개인 폴더 중 gdHong 계정의 Downloads 폴더에서 주고받은 메일을 저장한 mbox 파일 발견.

해당 파일을 자체 제작한 메일 분석 도구를 이용해 분석한 결과, 홍길동의 마약류 등 불법거래 정황을 발견.

'스테고'라는 언급과 PNG 파일 첨부 정황으로 스테가노그래피를 이용한 자료 은닉을 의심하여 Autopsy의 키워드 검색을 실행.

첨부로 받은 두 파일 모두 C드라이브에 존재함을 확인했으나, 제공된 증거 파일 환경 특성상 C드라이브 직접 복원 및 분석은 불가능하여 정황상 불법 거래로 추정.

나. 직거래 및 휴대폰 백업 데이터 분석

직거래 시도 정황 확인 후 FTK Imager를 사용해 백업 폴더를 조사함.

연결되어 백업된 사진 중 메일에서 언급된 현장 장소 사진 확인 및 이미지 포렌식으로 대상자 동선 입증.

추가로 해당 백업 폴더 내에서 1,000만 원에 대한 차용증 사진을 추가 교차 발굴함.

다. 금전적 압박 및 기밀 유출 협상

메일함 재분석 과정에서 채권자(이철수) 및 경쟁사(김놀부)와의 메일 내역을 발굴.

경쟁사 직원 김놀부와는 지인 관계였음이 확인되며, 강한 빚 독촉 압박 속에 수고비 1,000만 원을 조건으로 기밀을 매각하기로 상호 합의함.

라. 유출 파일 식별 및 레지스트리 분석

Autopsy의 Extension mismatch detected 기능을 활용하여 휴지통 내 위장/숨김 파일 4개 발견.

각 파일의 시그니처 분석 결과 JPEG 3개, PDF 1개로 확인되어 원래 확장자로 복원 실행.

권한 및 접근 경로 분석: 해당 문서는 재무팀장 권한으로 접근이 불가한 대외비 설계도면 자료임.

USB 접속 흔적: 대표이사 이몽룡의 USB 시리얼 넘버 4C530101541208122240&0 확인.

SYSTEM 레지스트리 분석: ControlSet001\Enum\USBSTOR 키 분석을 통해 해당 USB가 홍길동 PC에 연결된 사실을 입증함 (마지막 연결 시간: 2020-10-10).

5. 결론 및 한계점

범행 동기 입증 Chain

불법 물품 구매 대금 마련: 2020.10.13. 브로커(박향단)로부터 불법 물품 거래 약속 후 채권자(이철수)에게 1,000만 원 차용증 작성.
채무 독촉과 기밀 매각의 연관성: 2020.10.20.~10.22. 채권자의 고소 위협 독촉에 당일 경쟁사(김놀부)에 "최소 1,000만 원 수고비" 요구.
결론: 불법 물품 구매 ➔ 채무 압박 ➔ 회사 기밀 매각으로 이어지는 명확한 범행 동기 Chain 입증.

분석의 한계점 및 추후 과제

결정적으로 정보를 최종 외부 유출하거나 금전적 대가를 받았음을 증명하는 직접적 증거(파일 전송 로그 등) 부족.
메일, USB 모두 보안 단속으로 반출이 불가능하므로 TeamViewer 등의 원격 제어/파일전송 기능 이용 가능성 추측 중.
법적 혐의 완벽 입증을 위한 추가 보완 증거 확보 필요.