디지털 유품 정리 중 발견한 USB 저장장치의 안전한 확인 절차

서랍에서 USB 메모리 세 개가 나왔다. 하나에는 회사 이름이 적혀 있고, 하나는 단자가 휘어 있으며, 나머지 하나에는 아무 표시가 없다. 세 장치를 같은 컴퓨터에 차례로 연결해 보는 방식보다 먼저 할 수 있는 일이 있다. 외관과 발견 경위를 적어 소유 관계와 손상 여부에 따라 확인 경로를 나누는 것이다.

USB는 작은 물건이지만 내부에는 유일한 가족사진과 업무 자료가 함께 있을 수 있다. 출처가 불분명한 장치는 악성 파일과 예기치 않은 동작도 고려해야 한다. 안전한 확인은 파일을 빨리 여는 기술보다 연결해도 되는 상황과 멈춰야 할 상황을 고르는 과정에 가깝다.

첫 분류는 컴퓨터 없이도 할 수 있다

장치마다 임시 번호를 붙이고 앞뒤 외관, 이름표와 함께 있던 메모를 촬영한다. 발견 장소와 날짜를 적어 놓으면 가족이 나중에 원래 용도를 설명해 줄 때 연결하기 쉽다. 장치가 여러 개라면 확인한 것과 아직 손대지 않은 것을 별도로 보관한다.

발견 상태	첫 행동	다음 판단
회사·기관 표시가 있다	조직 담당자에게 장치의 존재를 알린다	반환 대상과 개인 자료 처리 범위를 협의한다
단자 손상·침수 흔적이 있다	연결과 분해를 보류한다	자료 가치에 따라 복구·점검 상담을 검토한다
가족사진용이라는 메모가 있다	다른 사본과 소유 관계를 찾는다	적절한 검사 환경과 자료 보존 방법을 정한다
제품 종류와 출처를 모른다	외관과 모델 정보를 먼저 식별한다	저장장치인지 인증용 보안키인지부터 알아본다

USB 모양의 기기라고 모두 일반 메모리는 아니다. 보안키와 인증 장치일 수도 있으므로 제품명과 제조사 자료를 먼저 살펴볼 필요가 있다. 작동 여부를 알아보려고 여러 기기에 꽂는 것보다 식별 가능한 단서부터 모으는 쪽이 원본과 주변 기기를 함께 보호한다.

출처가 불분명하면 평소 쓰는 PC를 시험대로 삼지 않는다

가족의 금융 업무와 사진 보관에 사용하는 PC는 첫 검사 장소로 적절하지 않다. 네트워크 연결을 끊어도 장치 연결과 파일 실행에 관한 위험이 모두 없어지는 것은 아니다. 회사 PC로 가져가 시험하면 조직의 장치 반입 규정과 정보보호 문제까지 생길 수 있다.

KISA의 PC 보안 자료는 실시간 감시와 악성코드 검사, USB 자동 실행 파일 검사 기능 점검을 다룬다. 해당 자료의 특정 보안 제품 화면을 모든 현재 제품에 그대로 적용할 수는 없지만, 연결 전에 보호 기능과 이동식 매체 검사 설정을 준비해야 한다는 실무적 방향을 얻을 수 있다. 보안 프로그램 설치 여부와 실제 작동 여부도 다를 수 있다.

개인이 적절한 점검 환경을 준비하기 어렵다면 전문 지원을 받는 선택이 낫다. 특히 출처 미상 장치와 대체 사본이 없는 자료가 겹친다면 일반 PC 수리점에 ‘한번 열어 봐 달라’고 맡기기보다 보안 점검과 데이터 보존을 함께 다룰 수 있는지 물어야 한다. 자료를 보기 위한 점검과 장치 초기화는 목적이 다르다.

정상 장치를 확인할 때도 검사와 원본 보존의 순서를 정한다

Windows 보안에는 특정 파일과 폴더를 검사하는 기능이 있다. Microsoft 안내에서는 파일이나 폴더의 추가 옵션에서 Microsoft Defender 검사를 선택하는 방법을 설명한다. 다만 이 기능은 연결된 장치가 어떤 종류인지 식별하고 안전한 환경을 준비하는 판단을 대신하지 않는다.

다른 백신이 설치된 환경에서는 Defender의 동작 상태가 달라질 수 있다. 현재 보호 제품, 업데이트 상태와 검사 결과를 기록하고 보안 경고가 떴다는 이유로 기능을 끄지 않는다. 검사에서 위협이 발견되지 않았더라도 출처 불명의 프로그램 실행까지 안전하다는 뜻은 아니다.

원본 보존이 중요할 때는 자동 검사와 격리 기능의 영향을 먼저 상담한다. 보안 프로그램이 위협으로 분류한 파일을 격리하면 저장장치의 상태가 바뀔 수 있기 때문이다. 분쟁 증거로 쓸 가능성이 있는 장치라면 일반적인 가족자료 열람과 다른 보존 절차가 필요할 수 있다.

쓰기 방지 장비도 목적을 정확하게 이해해야 한다. 원본에 기록되는 변경을 줄이는 장비가 모든 악성 동작을 차단해 주는 것은 아니다. 보안상 안전한 검사와 원본 변경 방지는 각각 준비할 항목이며, 하나의 장비가 둘을 모두 해결한다고 기대하기 어렵다.

다음 화면이 나오면 더 진행하기 전에 멈춘다

• 드라이브를 사용하려면 포맷해야 한다는 안내가 나온다.
• 알 수 없는 실행 파일이나 바로가기를 실행해야 자료가 열린다고 한다.
• 문서가 보안 기능 해제나 매크로 실행을 요구한다.
• 계속 연결이 끊기거나 비정상적으로 뜨거워지는 등 이상 징후가 있다.
• 암호가 필요하지만 장치의 소유자와 복구 방법을 모른다.

포맷 안내는 빈 장치라는 증거가 아니다. 파일 시스템 차이와 암호화, 손상 등의 가능성을 살펴야 하므로 유일한 원본일 수 있다면 동의를 보류한다. 자동 복구와 파일 시스템 수정도 변경을 줄 수 있어 자료 가치가 클수록 실행 전에 영향을 알아보는 편이 좋다.

문서의 이름과 아이콘도 안전성을 대신하지 않는다. 사진이나 청구서처럼 보이는 이름이 실제 내용과 같다는 보장이 없기 때문이다. 낯선 파일은 지워야 할 대상으로 즉시 분류하기보다 실행을 보류할 대상으로 남긴다.

암호가 걸린 업무용 장치는 조직이 복구 정보를 관리할 수 있다. 가족이 임의 도구로 암호를 반복 시도하는 대신 장치 식별 정보와 발견 경위를 담당자에게 전달한다. 개인 장치라도 암호와 복구키를 찾지 못했다면 확인 가능한 방법과 한계를 안내받아야 한다.

전문가에게 맡길 때는 ‘복구 성공’보다 작업 조건을 먼저 묻는다

고인이 남긴 USB이며 다른 사본의 존재를 아직 알지 못합니다. 초기화와 파일 시스템 수정 없이 상태를 평가할 수 있는지, 보안 검사와 원본 보존은 어떤 순서로 진행하는지, 작업 중 만들어지는 사본은 어디에 보관하고 언제 삭제하는지 안내해 주시기 바랍니다.

외관 손상이 있다면 전원을 공급했는지와 그때 보인 증상도 알려 준다. 이미 포맷이나 복구를 시도했다면 수행한 프로그램과 작업을 가능한 범위에서 적는다. 이 정보를 숨기는 것보다 정확하게 전달하는 편이 불필요한 반복 작업을 줄인다.

장치가 회사 소유일 가능성이 있거나 제삼자의 자료가 많다면 열람 범위를 협의한다. 업체가 파일을 확인할 수 있다는 사실과 모든 내용을 가족에게 넘겨도 된다는 판단은 다르다. 작업 범위, 접근자, 재위탁과 사본 보관 조건이 설명되는 곳을 선택하는 것이 중요하다.

사본을 확보한 뒤에는 자료의 종류별로 정리한다

자료 확인이 가능해졌다면 가족사진, 계약·정산 자료, 업무 자료와 제삼자 정보를 나눈다. 모든 파일을 개인 클라우드에 일괄 업로드하는 방식은 빠르지만 필요 이상의 자료를 외부에 보내게 될 수 있다. 필요한 보존 범위가 정해진 뒤 사본의 저장 위치와 접근자를 결정한다.

원본 USB는 사본을 확인하기 전까지 그대로 보관하는 편이 좋다. 중요한 파일 몇 개가 정상적으로 열린다는 사실과 전체 사본이 신뢰할 만하다는 사실도 차이가 있다. 자료 가치에 맞춰 파일 목록과 주요 파일, 필요한 경우 내용 비교를 통해 사본 상태를 검토한다.

최종 기록에는 장치 번호, 검사 환경, 작업일, 변경 여부, 확보한 사본과 보류 자료를 남긴다. 다른 가족이 같은 USB를 다시 발견했을 때 처음부터 시험하지 않도록 하기 위해서이다. 연결하지 않고 기록부터 남기는 선택도 디지털 유품을 지키는 실질적인 행동이다.

공식 참고자료

KISA 보호나라 - PC 보안 강화·해킹 방지 안내

Microsoft 지원 - Windows 보안으로 항목 검사하기

Microsoft 지원 - 바이러스 및 위협 방지 기능