USB 사용 기록 확인 방법｜USB 연결 시간부터 파일 복사 흔적까지 포렌식 분석

회사 컴퓨터에 USB 메모리를 연결한 기록이 남아 있을까요? USB를 제거하거나 사용 기록을 삭제했더라도 과거 연결 흔적을 확인할 수 있을까요?

특히 퇴사자가 사용하던 업무용 PC에서 중요한 회사 자료가 사라졌거나, 고객 명단과 영업자료가 외부로 유출된 것으로 의심되는 경우 USB 사용 기록 확인은 중요한 분석 과정이 될 수 있습니다.

결론부터 말씀드리면, Windows 컴퓨터에는 과거 USB 저장장치의 연결 기록과 관련된 디지털 흔적이 남을 수 있습니다.

Windows 레지스트리, 시스템 로그, 파일시스템 정보 등을 분석하면 USB 장치의 식별정보와 연결 관련 시간정보, 일부 파일 사용 흔적을 확인할 가능성이 있습니다.

다만 USB를 연결했다는 사실만으로 회사 자료를 복사하거나 유출했다고 단정할 수는 없습니다.

이번 글에서는 USB 사용 기록 확인 방법과 USB 포렌식 분석 기술, 파일 복사 흔적을 확인할 때 주의해야 할 사항을 자세히 알아보겠습니다.

USB 사용 기록이란?
USB를 제거해도 연결 기록이 남을까?
Windows USB 사용 기록 확인 방법
USB 연결 시간과 마지막 사용 시간
USB에 복사한 파일도 확인할 수 있을까?
USBSTOR와 MountedDevices 분석
MFT·LNK·Jump List 분석
USB 사용 기록을 삭제했다면?
퇴사자 PC에서 USB 기록이 중요한 이유
USB 사용 기록 포렌식 절차
USB 포렌식 보고서와 법원 제출
USB 사용 기록 FAQ

1. USB 사용 기록이란?

**USB 사용 기록(USB Usage History)**은 컴퓨터에 USB 저장장치가 연결되거나 사용되는 과정에서 운영체제와 프로그램에 남는 디지털 정보를 말합니다.

Windows에서는 USB 메모리나 외장하드를 인식하면서 장치 식별정보와 드라이버 설치 관련 정보 등을 저장할 수 있습니다.

대표적으로 다음과 같은 항목을 분석합니다.

USB 저장장치 연결 이력
USB 제조사와 모델 관련 정보
USB 장치 식별정보
연결 및 설치 관련 시간정보
USB 저장장치의 볼륨 정보
관련 파일 접근 및 사용 흔적

이러한 정보는 USB 사용 여부를 확인하는 데 도움이 되지만, 운영체제 버전과 장치 종류에 따라 확보 가능한 기록이 달라질 수 있습니다.

2. USB를 제거해도 연결 기록이 남을까?

네. USB를 컴퓨터에서 분리했다고 해서 관련 기록이 반드시 삭제되는 것은 아닙니다.

Windows는 과거에 연결했던 USB 장치 정보를 레지스트리와 일부 시스템 기록에 보관할 수 있습니다.

따라서 USB 메모리가 현재 연결되어 있지 않더라도 과거에 사용했던 장치의 흔적을 확인할 가능성이 있습니다.

예를 들어 퇴사자가 업무용 PC에서 USB를 사용한 뒤 장치를 제거했더라도 관련 장치 정보가 남아 있을 수 있습니다.

하지만 USB 연결 기록이 존재한다는 사실과 특정 회사 문서를 복사했다는 사실은 구분해야 합니다.

USB 연결 기록은 자료 유출 여부를 검토하는 단서일 수 있지만, 그 자체로 파일 복사를 증명하는 것은 아닙니다.

3. Windows USB 사용 기록 확인 방법

Windows에서 USB 사용 기록을 확인할 때는 여러 시스템 영역을 분석합니다.

대표적인 분석 대상은 다음과 같습니다.

분석 항목	주요 확인 내용
USBSTOR	USB 저장장치 등록 및 식별정보
USB 관련 레지스트리	USB 장치 인식 관련 정보
MountedDevices	볼륨과 드라이브 문자 매핑
SetupAPI 로그	장치 설치 및 구성 기록
Windows 이벤트 로그	일부 장치 연결 관련 이벤트
LNK 파일	파일 접근 및 저장장치 관련 흔적
Jump List	프로그램에서 사용한 파일 관련 기록
MFT	NTFS 파일 및 폴더 메타데이터

USB 사용 기록은 하나의 파일에 모든 내용이 저장되는 구조가 아닙니다.

따라서 여러 기록을 비교하여 장치 식별정보와 시간정보의 관련성을 검토해야 합니다.

4. USB 연결 시간과 마지막 사용 시간도 확인할 수 있을까?

USB 사용 기록을 분석할 때 가장 궁금해하는 정보 중 하나가 연결 시간입니다.

Windows에는 장치 설치 시점이나 일부 연결·제거 활동과 관련된 시간정보가 남을 수 있습니다.

하지만 모든 PC에서 USB의 정확한 마지막 연결 시간을 확인할 수 있는 것은 아닙니다.

특히 레지스트리 키의 마지막 수정 시간이 반드시 USB의 마지막 연결 시간과 일치하는 것은 아닙니다.

레지스트리 정보는 장치 설정이나 운영체제 동작 등 여러 이유로 변경될 수 있기 때문입니다.

따라서 USB 연결 시간을 분석할 때는 SetupAPI 로그와 관련 이벤트 로그, 장치별 레지스트리 정보 등을 종합적으로 검토해야 합니다.

5. USB에 복사한 파일도 확인할 수 있을까?

기업에서 USB 포렌식을 의뢰할 때 자주 등장하는 질문입니다.

“퇴사자가 회사 고객 명단을 USB로 복사했는지 확인할 수 있나요?”

Windows는 모든 파일 복사 행위를 완전한 기록으로 저장하지 않습니다.

따라서 USB 연결 기록만으로 어떤 파일이 복사되었는지 모두 확인할 수는 없습니다.

다만 다음과 같은 디지털 흔적을 함께 분석할 수 있습니다.

회사 문서의 접근 및 사용 흔적
USB 저장장치 연결 관련 시간정보
파일시스템 메타데이터
최근 사용 파일 기록
파일 탐색기 및 프로그램 실행 흔적
적법하게 확보한 USB 원본의 파일 정보

예를 들어 특정 회사 문서가 사용된 시점과 USB 연결 관련 시간이 가까운 경우, 관련성을 추가로 검토할 수 있습니다.

그러나 두 기록의 시간이 비슷하다는 이유만으로 실제 파일 복사가 이루어졌다고 단정할 수는 없습니다.

6. USBSTOR와 MountedDevices 분석

Windows USB 포렌식에서는 레지스트리 분석이 중요합니다.

대표적인 USB 저장장치 관련 경로는 다음과 같습니다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR

이 영역에는 USB 대용량 저장장치의 등록 및 식별과 관련된 정보가 저장될 수 있습니다.

USBSTOR를 분석하면 과거 인식된 장치의 제조사·모델 관련 정보와 장치 식별정보 등을 검토할 수 있습니다.

한편 MountedDevices는 볼륨과 드라이브 문자 매핑을 분석하는 데 활용됩니다.

다만 MountedDevices에 등록된 모든 볼륨이 USB 저장장치를 의미하는 것은 아닙니다.

또한 오프라인 SYSTEM 레지스트리 하이브를 분석할 때는 CurrentControlSet 대신 실제 ControlSet과 Select 정보를 확인해야 합니다.

7. MFT·LNK·Jump List 분석이 중요한 이유

USB 사용 기록을 확인할 때 레지스트리만으로 충분하지 않은 경우가 많습니다.

이때 Windows 파일시스템과 사용자 활동 관련 아티팩트를 함께 분석합니다.

MFT 분석

MFT(Master File Table)는 NTFS 파일시스템에서 파일과 폴더의 메타데이터를 관리하는 핵심 구조입니다.

파일명, 크기, 시간정보 등을 분석할 수 있지만 모든 파일 복사 행위를 직접 기록하는 것은 아닙니다.

LNK 파일 분석

LNK 파일은 Windows 바로가기 파일입니다.

특정 파일이나 저장장치에 접근한 흔적을 분석하는 데 활용될 수 있습니다.

Jump List 분석

Jump List에는 프로그램에서 최근 사용한 파일과 관련된 정보가 남을 수 있습니다.

이러한 기록을 USB 연결 정보와 비교하면 사건과 관련된 파일 사용 정황을 검토하는 데 도움이 됩니다.

다만 각각의 기록은 생성 조건과 해석상의 한계가 있으므로 종합적인 분석이 필요합니다.

8. USB 사용 기록을 삭제했다면 복구할 수 있을까?

USB 사용 기록을 삭제했더라도 다른 시스템 영역에 관련 흔적이 남아 있을 가능성은 있습니다.

하지만 모든 삭제 기록을 복구할 수 있는 것은 아닙니다.

레지스트리 데이터가 변경되었거나 시스템 로그가 덮어쓰기 되었을 수 있으며, Windows 재설치나 저장장치 초기화로 기존 정보를 확보하기 어려운 경우도 있습니다.

또한 SSD는 TRIM과 내부 저장관리 기능으로 인해 삭제된 데이터의 원본 복구가 제한될 수 있습니다.

따라서 USB 사용 기록 복구 가능성은 실제 PC의 운영체제와 저장장치 상태, 데이터 보존 여부 등을 확인해야 판단할 수 있습니다.

9. 퇴사자 PC에서 USB 사용 기록이 중요한 이유

퇴사자 PC 포렌식에서는 회사 자료의 외부 반출 여부가 중요한 쟁점이 될 수 있습니다.

예를 들어 퇴사 직전에 고객 명단이나 영업자료에 접근한 흔적이 발견되고, 같은 기간에 USB 저장장치가 연결된 기록이 확인될 수 있습니다.

이러한 자료는 사건의 시간적 흐름을 파악하는 데 도움이 됩니다.

하지만 정상적인 업무 과정에서도 USB 사용은 발생할 수 있습니다.

따라서 USB 연결 기록과 회사 자료 접근 기록을 함께 분석하되, 실제 확인된 사실과 추정을 명확하게 구분해야 합니다.

10. USB 사용 기록 포렌식은 어떻게 진행할까?

일반적인 USB 포렌식 분석 과정은 다음과 같습니다.

1단계. 분석 목적 및 권한 확인

USB 사용 기록을 확인해야 하는 이유와 대상 PC, 분석 기간, 적법한 접근 권한을 확인합니다.

2단계. 원본 PC 보존

불필요한 컴퓨터 사용을 줄이고 원본 데이터가 변경될 가능성을 최소화합니다.

3단계. 포렌식 이미지 확보

상황에 따라 원본 저장장치의 분석용 이미지 또는 복제본을 확보합니다.

4단계. USB 연결 기록 분석

USBSTOR, MountedDevices, SetupAPI 로그, Windows 이벤트 로그 등을 검토합니다.

5단계. 파일 사용 흔적 분석

MFT, LNK, Jump List 등 관련 기록을 분석합니다.

6단계. 타임라인 분석

USB 연결과 파일 사용 관련 기록을 시간순으로 정리합니다.

7단계. 포렌식 보고서 작성

확인된 사실과 분석 결과, 한계사항 등을 객관적으로 정리합니다.

11. USB 포렌식 보고서를 법원에 제출할 수 있을까?

USB 사용 기록은 사건과 관련된 디지털 자료로 검토될 수 있습니다.

특히 회사 자료 유출, 영업비밀 관련 분쟁, 퇴사자 PC 조사 등에서 사실관계를 확인하는 자료가 될 수 있습니다.

다만 USB 연결 기록만으로 자료 유출이나 위법행위가 증명되는 것은 아닙니다.

법적 분쟁에 활용할 예정이라면 원본 보존, 데이터 확보 과정, 분석 방법, 시간정보 해석, 분석 결과의 객관성 등을 고려해야 합니다.

또한 회사 소유 PC라도 개인정보와 사적인 자료가 포함될 수 있으므로 분석 권한과 범위를 검토해야 합니다.

실제 법원 제출 방법과 증거가치는 사건에 따라 달라질 수 있으므로 법률전문가와 함께 검토하는 것이 좋습니다.

12. USB 사용 기록 자주 묻는 질문(FAQ)

Q1. USB를 컴퓨터에서 제거해도 연결 기록이 남나요?

네. Windows 레지스트리와 일부 시스템 로그에 과거 USB 연결 흔적이 남을 수 있습니다. 다만 운영체제와 PC 상태에 따라 확인 가능한 정보는 달라집니다.

Q2. USB를 마지막으로 연결한 날짜를 확인할 수 있나요?

일부 시스템 기록을 통해 연결 관련 시간정보를 확인할 수 있습니다. 하지만 모든 PC에서 정확한 마지막 연결 시간을 확인할 수 있는 것은 아닙니다.

Q3. USB에 복사한 파일 목록을 확인할 수 있나요?

USB 연결 기록만으로 복사한 파일 목록을 모두 확인할 수는 없습니다. 파일 사용 흔적과 USB 원본, 관련 시스템 기록 등을 함께 분석해야 합니다.

Q4. USB 사용 기록을 삭제해도 포렌식으로 확인할 수 있나요?

삭제 후에도 다른 관련 흔적이 남아 있는지 검토할 수 있습니다. 다만 모든 삭제 기록이 복구되는 것은 아닙니다.

Q5. USB 사용 기록을 법원 증거로 활용할 수 있나요?

사건과 관련된 디지털 자료로 검토할 수 있습니다. 다만 적법한 확보 과정, 신뢰성, 사건과의 관련성 등을 함께 고려해야 합니다.

결론｜USB 사용 기록 확인, 연결 흔적과 파일 유출은 구분해야 합니다

USB 사용 기록 확인은 컴퓨터에 USB 저장장치가 연결되었는지, 관련 시간정보와 파일 사용 흔적이 존재하는지 분석하는 디지털포렌식 작업입니다.

Windows 레지스트리의 USBSTOR, MountedDevices, SetupAPI 로그, 이벤트 로그와 함께 MFT, LNK, Jump List 등을 분석하면 사건과 관련된 디지털 흔적을 종합적으로 검토할 수 있습니다.

특히 퇴사자 PC나 회사 자료 유출이 의심되는 사건에서는 USB 연결 기록이 중요한 분석 자료가 될 수 있습니다.

하지만 USB가 연결되었다는 사실과 특정 회사 파일이 USB로 복사되었다는 사실은 다릅니다.

USB 포렌식은 의심을 사실로 만드는 기술이 아니라 컴퓨터에 실제로 남아 있는 기록을 분석하여 당시 상황을 객관적으로 확인하는 과정입니다.

회사 자료 유출이나 내부정보 반출이 의심된다면 PC를 초기화하거나 재사용하기 전에 원본을 보존하고, 적법한 범위에서 USB 사용 기록 분석을 검토하는 것이 좋습니다.