텔레그램 삭제했는데 포렌식에서 다 나온다? — 진짜 지워지는 것과 안 지워지는 것

“텔레그램이니까 괜찮아. 삭제하면 끝이잖아.”

이 말을 믿고 앱을 지운 사람이 적지 않다. 단톡방에서 나오고, 앱을 삭제하고, 심지어 계정까지 탈퇴했는데 — 핸드폰 압수 후 포렌식에서 대화 내용이 그대로 나왔다는 사례가 실제로 있다.

텔레그램 앱을 “삭제”하는 것과, 데이터를 “삭제”하는 건 완전히 다른 행위다. 이 차이를 모르면 큰일난다.

텔레그램은 내 폰에 뭘 저장하고 있나?

텔레그램을 설치하고 대화를 나누면, 폰 안에 이런 것들이 쌓인다.

cache4.db — 텔레그램의 핵심 데이터베이스 파일이다. SQLite(경량 데이터베이스) 형식으로, 대화 내용, 연락처 목록, 메시지 시간, 읽음 여부 같은 정보가 전부 여기 들어간다. 안드로이드 기준 /data/data/org.telegram.messenger/files/ 경로에 저장된다.

cache4.db-wal — WAL(Write-Ahead Log, 쓰기 선행 로그)이라는 파일이다. 데이터베이스에 반영되기 전 변경 사항이 임시로 기록되는 곳이다. 메시지를 삭제해도, 삭제 명령이 DB에 완전히 반영되기 전까지 원본 데이터가 이 파일에 남아 있다.

캐시 폴더 — 사진 썸네일, 영상 미리보기, 문서 프리뷰 같은 미디어 파일 조각이 쌓인다. /Android/data/org.telegram.messenger/cache/ 경로다. 채팅에서 사진을 한 번이라도 열었으면, 작은 크기의 썸네일이 여기 남는다.

미디어 파일 — 직접 다운로드하거나 자동 다운로드된 사진, 영상, 문서는 /Android/data/org.telegram.messenger/files/Telegram/ 하위 폴더에 저장된다.

핵심은 이거다. 앱을 삭제하면 아이콘은 사라지지만, 이 파일들이 전부 깔끔하게 지워진다는 보장이 없다.

앱 삭제 ≠ 데이터 삭제인 이유

안드로이드에서 앱을 “삭제”하면 일반적으로 앱 데이터도 함께 삭제된다. 그런데 현실은 좀 더 복잡하다.

첫째, OS가 파일을 “삭제”할 때 실제로 데이터를 0으로 덮어쓰는 게 아니다. 파일 시스템의 색인(인덱스)에서 “이 공간은 빈 공간이다”라고 표시만 바꾸는 거다. 실제 데이터는 다른 데이터가 그 위에 덮어쓸 때까지 디스크에 남아 있다.

둘째, /Android/data/ 하위의 미디어 파일이나 캐시는 앱 삭제 시점에 완전히 처리되지 않는 경우가 있다. 특히 SD카드에 저장된 텔레그램 파일은 앱을 지워도 그대로 남는다.

셋째, 클라우드 백업이다. 구글 드라이브나 제조사 백업 서비스가 앱 데이터를 자동으로 백업하고 있었다면, 앱을 삭제해도 백업 안에 텔레그램 데이터가 살아 있다.

포렌식은 뭘 어떻게 꺼내나?

수사기관이 핸드폰을 압수하면, 디지털 포렌식 전문가가 기기의 데이터를 추출한다. 이 과정에서 텔레그램과 관련해 확인하는 것들이 있다.

SQLite DB 분석 — cache4.db 파일을 열어 messages 테이블의 데이터를 읽는다. 여기엔 메시지 본문, 발신자, 수신자, 타임스탬프가 들어 있다. 사용자가 앱에서 메시지를 삭제했더라도, DB 내부의 비할당 영역(unallocated space)이나 WAL 파일에 흔적이 남아 있으면 복구가 가능하다.

삭제된 레코드 복원 — SQLite는 데이터를 삭제할 때 해당 영역을 “사용 가능”으로 표시만 한다(freelist). 새 데이터가 그 위에 덮어쓰기 전까지 원본 바이트가 그대로 남는다. 포렌식 도구는 이 freelist와 WAL을 스캔해서 삭제된 메시지를 꺼낸다.

미디어 잔여물 수집 — 캐시 폴더의 썸네일, 임시 파일, 다운로드된 미디어를 수집한다. 채팅에서 주고받은 사진의 썸네일은 원본을 삭제해도 캐시에 남아 있는 경우가 많다. 사진이 뭔지 식별할 수 있을 정도의 해상도다.

Belkasoft의 iOS 텔레그램 포렌식 연구에 따르면, 일반 대화에서 삭제된 메시지는 삭제 후 수 시간에서 며칠까지 DB 내에 흔적이 남는다. 기기 사용량이 적을수록 — 즉, 삭제 후 폰을 덜 쓸수록 — 복구 확률이 올라간다.

🟢 일반 사용자: 포렌식은 핸드폰을 물리적으로 압수당했을 때 이야기다. 경찰이 영장 없이 폰을 뒤지는 건 불가능하고, 포렌식 대상이 되려면 이미 구체적 혐의로 수사를 받고 있어야 한다. 일반적인 대화를 나눈 것만으로 포렌식 대상이 될 일은 없다.

🔴 OPSEC 필요 (이미 수사 대상이거나, 압수수색 가능성이 있는 경우): 앱 삭제만으로는 부족하다. 아래 “제대로 삭제하는 법”을 반드시 따라야 한다.

비밀 대화만 안전한 이유

텔레그램에는 두 가지 대화 모드가 있다.

일반 대화(Cloud Chat) — 서버에 평문으로 저장된다. 클라우드 동기화가 되는 대신, 텔레그램 서버에도, 내 기기의 로컬 DB에도 내용이 남는다. 포렌식 복구가 가능한 건 이 일반 대화다.

비밀 대화(Secret Chat) — 종단 간 암호화(E2EE)가 적용된다. 텔레그램 공식 문서에 따르면, 비밀 대화는 서버에 저장되지 않고 참여한 두 기기에서만 존재한다. 기기에서도 암호화된 상태로 저장되며, 자동 삭제 타이머를 설정하면 지정 시간 후 양쪽에서 파기된다.

Belkasoft의 포렌식 분석에서도 삭제된 비밀 대화는 복구가 불가능하다고 명시하고 있다.

차이를 정리하면 이렇다.

	일반 대화	비밀 대화
서버 저장	O (평문)	X
로컬 DB 저장	O (평문)	O (암호화)
포렌식 복구	가능 (수시간~수일)	사실상 불가능
자동 삭제 타이머	있음 (서버+로컬)	있음 (로컬 only)
다중 기기 동기화	O	X (단일 기기)

대부분의 사람이 쓰는 건 일반 대화다. 텔레그램 기본 설정이 일반 대화이기 때문이다. 비밀 대화는 상대방 프로필에서 따로 시작해야 하고, 그룹 채팅에서는 사용할 수 없다.

“텔레그램이니까 안전하다”는 착각이 여기서 생긴다. 텔레그램의 보안이 강한 건 비밀 대화에 한정된 이야기고, 일반 대화는 카카오톡과 구조적으로 다를 게 없다.

제대로 삭제하는 법 — 1, 2, 3

앱 아이콘을 꾹 눌러서 삭제하는 건 삭제가 아니다. 이 순서를 따라야 한다.

1단계: 캐시부터 비운다

텔레그램 앱 → 설정 → 데이터 및 저장소 → 저장소 사용량 → 캐시 비우기.

이게 먼저다. 썸네일, 미리보기, 임시 파일이 여기서 날아간다. 앱을 먼저 삭제하면 이 과정을 밟을 수 없다.

2단계: 대화를 하나씩 삭제한다

나가고 싶은 대화방에서 “대화 삭제”를 실행한다. 그냥 나가기만 하면 서버에 데이터가 남는다. “대화 삭제” 또는 “나의 대화 기록 삭제”를 명시적으로 선택해야 로컬과 서버 양쪽에서 제거된다.

민감한 대화가 많다면, 전체 자동삭제 타이머를 미리 설정해두는 것도 방법이다. 설정 → 개인 정보 보호 및 보안 → 메시지 자동 삭제에서 24시간 또는 7일을 선택할 수 있다.

3단계: 로그아웃 후 앱 삭제

텔레그램 설정 → 기기 → 현재 세션 종료(로그아웃). 그 다음 앱 삭제.

로그아웃을 먼저 하는 이유가 있다. 로그아웃 시 텔레그램이 로컬 세션 데이터를 정리하는 과정을 거친다. 앱을 바로 삭제하면 이 정리 과정이 생략된다.

🟢 일반 사용자: 이 3단계면 충분하다. 포렌식 수준의 복구까지 걱정할 상황이 아니라면, 로컬에 의미 있는 데이터가 남지 않는다.

🟡 민감한 상황: 3단계 실행 후, 안드로이드 설정 → 앱 → 텔레그램 → 저장소 → 데이터 삭제/캐시 삭제를 추가로 실행한다. 이미 앱이 삭제됐다면 이 과정은 불가능하니, 반드시 앱 삭제 전에 해야 한다.

🔴 OPSEC 필요: 위 단계를 전부 밟은 뒤, 기기 초기화(공장 초기화)까지 해야 비할당 영역의 잔여 데이터까지 덮어쓸 수 있다. 최신 안드로이드(10 이상)는 파일 기반 암호화(FBE)가 기본 적용돼 있어, 초기화 후에는 암호화 키가 파기되면서 잔여 데이터의 복호화가 현실적으로 불가능해진다.

기술 지식과 악용 사이의 경계

이 글은 “포렌식을 피하는 법”을 알려주는 글이 아니다. 디지털 기기에서 데이터가 어떻게 남고, 어떻게 사라지는지 — 기술적 현실을 설명하는 글이다.

텔레그램에서 뭘 얘기했든, 그게 지인과의 사적 대화였다면 그건 본인의 영역이다.

선은 다른 데서 갈린다. 딥페이크 합성물을 텔레그램에서 돌린 10대는 실제로 검거됐고, 마약 거래 대화는 포렌식에서 복구돼 증거로 채택됐다. 삭제했으니 안전할 거라는 믿음은 — 기술적으로 틀렸다.

“추적이 어렵다”는 이야기는 일반적인 사적 대화에 해당되는 거지, 피해자가 있는 범죄에 해당되는 게 아니다. 수사기관은 메신저 하나에 의존하지 않는다. 암호화폐 거래내역, IP 추적, 관계자 제보, 기기 포렌식 — 경로는 여러 개다.

정리

텔레그램 앱 삭제와 데이터 삭제는 다르다.

일반 대화는 로컬 SQLite DB(cache4.db)와 캐시에 평문으로 저장되고, 앱을 삭제해도 비할당 영역에 흔적이 남는다. 기기를 압수당하면 포렌식으로 복구될 수 있다.

비밀 대화는 종단 간 암호화 + 서버 미저장 구조라 포렌식으로도 복구가 사실상 불가능하다.

“삭제했으니 끝”이 아니라, 캐시 비우기 → 대화 삭제 → 로그아웃 → 앱 삭제 순서를 지켜야 의미 있는 삭제가 된다.

지금 텔레그램에 민감한 대화가 남아 있다면 — 위의 3단계를 먼저 실행하고, 앞으로는 비밀 대화 + 자동 삭제 타이머를 기본으로 쓰는 게 현실적인 방어다.