박종완 - Linux & Web Portfolio

📌 분석 상태: ● 완료 🔴 종합 위험도: ● 상 (HIGH) 📁 분석 대상: 업무용 노트북 1대 ⚠ 주요 증거: 12건 📎 복원 데이터: 약 23GB 🎓 분석관 경력: 36일차 (수습)

01 사건 개요 (Case Summary)

▪ 피의자: 홍길동 (前 (주)투스타커피 재무팀장)

▪ 피해자: (주)투스타커피 · 대표이사 이몽룡

▪ 의혹: 2020.9.14 ~ 2020.11.2 경, 경쟁사 (주)커피천사로 이직하면서
로스팅(Roasting) 핵심 기술이 담긴 기밀문서를 불법 유출한 정황

▪ 분석 대상: 홍길동 사용 업무용 노트북 (Windows 10)
→ 퇴사 후 OS 재설치됨 · 회사 창고 보관 중 분석 의뢰

🔑 배경: 홍길동 이직 후 (주)커피천사가 투스타커피와 동일한 로스팅 기술로
프랜차이즈 시장에 돌풍을 일으키면서 기술 유출 의심 증폭

📌 분석관 코멘트: "산대특 수업 36일차로 아직 부족하지만,
레지스트리 하이브 분석과 휴지통 복원 기법을 활용하여 최대한 증거를 확보했습니다." — 박종완 분석관

02 컴퓨터 일반적 사용 현황 분석 (총 14개 항목)

🔄 1. OS 재설치 사실 확인

설치일2020-11-02 (퇴사일)

이전 OSWindows 10 Pro

재설치 방식● 클린 설치

⚠ 분석관 의견

퇴사 당일 OS 재설치는 증거 인멸 시도로 의심됨

💾 2. 과거 데이터 흔적 및 복원

복원 데이터약 23GB

복원 파일1,847개

복원 폴더C:\Windows.old\

✅ 복원 완료

삭제된 파티션에서 데이터 복원 성공

📂 3. 레지스트리 복원 및 파티션 복원

복원 하이브SAM, SYSTEM, SOFTWARE

복원 위치C:\Windows.old\System32\config\

NTUSER.DAT● 복원 성공

✅ 복원 완료

레지스트리 하이브 4개 + NTUSER.DAT 복원

🖥️ 4. 과거 OS 설치 기본 정보

OS 버전Windows 10 Pro 1909

설치 날짜2020-03-15

제품 ID00329-00000-00003-AA123

호스트명HONG-PC

👤 5. 과거 시스템 주된 사용자

사용자명홍길동

SIDS-1-5-21-3813...-1001

계정 생성일2020-03-15

마지막 로그온2020-11-01 23:45:12

🔌 6. 외부 장치 연결 분석

USB 연결● 7개 장치

시리얼 넘버4C530101541208122240

연결 시간2020-10-20 14:32

🔴 중요 증거

해당 USB는 이몽룡 대표 소유로 추정

📦 7. 주요 응용프로그램

WinRARv5.80 (설치됨)

7-Zipv19.00 (설치됨)

Microsoft Office2019

Acrobat ReaderDC (설치됨)

⚠ 분석관 의견

압축 프로그램 사용 흔적 다수 발견

🌐 8. 네트워크 연결 정보

IP 주소192.168.0.100

MAC 주소00-1A-2B-3C-4D-5E

Wi-Fi 연결투스타커피_WiFi

VPN 사용● 기록 없음

💿 9. 가상 볼륨 발견

볼륨 유형BitLocker 암호화 의심

볼륨 크기약 5GB

상태● 별도 이미징 처리 완료

🔴 추가 분석 필요

암호 해독 후 내부 데이터 확인 필요

🖨️ 10. 프린터 등 주변기기

프린터Samsung M2020

마지막 사용2020-10-28 16:20

출력 문서● 내부문서.pdf

⚠ 분석관 의견

기밀문서 출력 흔적 발견

🌍 11. 인터넷 사용 흔적

브라우저Chrome, Edge

방문 사이트네이버, 구글, 커피천사

히스토리● 일부 삭제됨

⚠ 분석관 의견

커피천사 관련 검색 기록 다수 발견

📧 12. 이메일 사용 흔적

클라이언트Outlook 2019

계정hong@twostar.com

첨부파일● .zip 파일 다수

🔴 중요 증거

외부 이메일로 압축파일 전송 흔적

🔗 13. .lnk 파일 분석

발견 개수47개

최근 문서RecentDocs MRUListEx

의심 파일로스팅_기술_v2.pdf

🔴 중요 증거

바로가기 파일을 통해 문서 접근 패턴 확인

⏰ 14. 시간 정보 정확성

Time ZoneKST (UTC+9)

시스템 시간정확함

파일 타임스탬프● 일치

✅ 확인 완료

모든 로그 시간대 일치 - 신뢰도 높음

03 혐의 내용 분석 (총 4개 항목)

📂 1. 사내 기밀정보 절취

접근 문서로스팅_기술_v2.pdf

파일 경로C:\Work\내부문서\

접근 시간2020-10-28 15:20

USB 복사● 확인됨

🔴 절취 확인

홍길동이 기밀문서를 USB로 복사한 흔적 확인

📤 2. 사내 기밀정보 유출

유출 경로USB + 이메일

수신자unknown@coffeeangel.com

파일명로스팅_기술_v2.zip

전송 시간2020-10-29 09:15

🔴 유출 확인

외부 이메일로 압축파일 전송 + USB 복사 확인

📄 3. 허위 재직증명서 작성

파일명재직증명서_수정.docx

작성일2020-10-25

수정 내역● 재직기간 조작 의심

⚠ 추가 조사 필요

재직기간 수정 흔적 발견, 문서 원본 비교 필요

📋 4. 출장서류 조작

파일명출장보고서_202010.docx

작성일2020-10-30

의심 사항● 허위 출장 의심

⚠ 추가 조사 필요

실제 출장 내역과 문서 내용 불일치 의심

04 분석 결과 종합 (최종 결론)

🔴 데이터 절취

로스팅 기술 문서 4개 접근 확인 확인
USB 복사 흔적 발견 (시리얼: 4C5301...) 확인
휴지통 확장자 변경 파일 4개 확인
압축 프로그램 실행 기록 다수 추가분석

✅ 절취 사실 확인됨

홍길동이 기밀문서를 USB로 복사한 정황 확인

🔴 기밀 정보 유출

외부 이메일 전송 흔적 확인
USB 연결 기록 (이몽룡 소유 추정) 확인
암호화 볼륨 내 추가 데이터 의심 추가분석
커피천사 관련 검색 기록 다수 추가분석

✅ 유출 사실 확인됨

외부 이메일 + USB를 통한 기밀 유출 확인

🟡 사문서 위조

재직증명서 수정 흔적 의심
출장보고서 조작 의심 의심
문서 메타데이터 분석 필요 대기중

⚠ 추가 분석 필요

문서 원본과 비교 분석 후 확정 필요

🟡 출장 보고서 조작

허위 출장 내역 의심 의심
출장비 정산 내역 불일치 의심
실제 방문 기록 부재 대기중

⚠ 추가 분석 필요

출장비 정산 내역과 교차 검증 필요

05 최종 결론 및 권고사항

🔴 종합 판정: 유출 정황 확인됨

1. 데이터 절취
홍길동은 2020.10.15 ~ 2020.10.28 사이 (주)투스타커피의 로스팅 기술 관련 기밀문서 4개에 접근하였고, 이를 USB 저장장치(시리얼: 4C530101541208122240)로 복사한 흔적이 확인됨.

2. 기밀 유출
복사된 문서는 외부 이메일로 전송되었으며, 해당 USB는 이몽룡 대표의 소유로 추정되어 내부 공모 가능성도 배제할 수 없음.

3. 사문서 위조 및 출장 조작
재직증명서 및 출장보고서 수정 흔적이 발견되어 추가 분석이 필요함.

📌 박종완 분석관 최종 의견

"산대특 수업 36일차로 아직 경험이 부족하지만,
레지스트리 하이브 분석과 파일 복원 기법을 최대한 활용하여 증거를 확보했습니다.
다만 암호화 볼륨과 일부 삭제된 데이터는 고급 분석 도구 및 추가 교육이 필요합니다."

📋 권고사항

① 암호화 볼륨(약 5GB)에 대한 암호 해독 및 내부 데이터 분석
② 휴지통 4개 파일 Export 및 압축 해제 후 내부 확인
③ 이몽룡 대표 USB 교차 분석 (공모 가능성 조사)
④ 출장 내역 및 재직증명서 원본과 대조 분석

🔬 FORENSIC ANALYSIS REPORT