---
title: "FBI, 아이폰 알림 저장소에서 삭제된 Signal 메시지 복원 성공"
published: 2026-04-10T11:29:04.000Z
canonical: https://jeff.news/article/1656
---
# FBI, 아이폰 알림 저장소에서 삭제된 Signal 메시지 복원 성공

FBI가 아이폰 내부 알림 저장소를 통해 삭제된 Signal 앱의 수신 메시지를 복원했음. Signal 앱을 삭제해도 푸시 알림 데이터가 기기에 남아있었고, 알림 미리보기 설정을 끄지 않은 것이 결정적이었음. Apple은 iOS 26.4에서 푸시 알림 토큰 검증 방식을 변경함.

- FBI가 삭제된 Signal 메시지를 아이폰의 **알림 저장소**에서 복원하는 데 성공했음
  - 404 Media가 최초 보도한 내용으로, 텍사스 ICE 구금시설 관련 재판에서 드러남
  - 피고인 Lynette Sharp의 아이폰에서 Signal 앱을 삭제한 뒤에도 수신 메시지 내용이 남아 있었음
  - 핵심은 Apple의 내부 알림 저장소(internal notification storage) — Signal이 지워져도 알림 데이터는 기기 내부 메모리에 보존됨

- 수신 메시지만 복원 가능했고, 발신 메시지는 복원 불가
  - 알림 시스템 특성상 푸시 알림으로 들어온 메시지만 저장되기 때문
  - Signal에는 알림 미리보기에서 실제 메시지 내용을 숨기는 설정이 있는데, 해당 피고인은 이 설정을 **켜지 않은 상태**였음

> [!TIP]
> Signal 설정에서 알림 미리보기를 끄면 이런 방식의 메시지 복원을 막을 수 있음. 설정 하나로 보안 수준이 크게 달라지는 셈

- iOS의 보안 상태에 따라 데이터 접근 수준이 달라짐
  - BFU(Before First Unlock) — 기기 부팅 후 최초 잠금해제 전. 대부분의 데이터가 암호화된 상태
  - AFU(After First Unlock) — 한 번이라도 잠금해제한 뒤. 시스템이 다양한 보호 데이터에 접근 허용
  - 잠금해제 상태에서는 사용자가 있다고 판단하고 훨씬 넓은 범위의 데이터에 접근 가능
  - FBI가 정확히 어떤 상태에서 추출했는지는 공개되지 않았음

- 앱을 삭제해도 푸시 알림 토큰이 **즉시 무효화되지 않는다**는 점이 핵심
  - 서버 입장에서는 앱이 아직 설치돼 있는지 알 방법이 없음
  - 마지막으로 알림을 보낸 이후에도 계속 푸시를 보낼 수 있고, 아이폰이 표시 여부를 결정하는 구조
  - 이 과정에서 알림 데이터가 기기에 캐싱됨

- 타이밍이 묘한 건, Apple이 iOS 26.4에서 푸시 알림 토큰 검증 방식을 **방금 변경**했다는 것
  - 이 사건과 직접 관련이 있는지는 확인 불가
  - 하지만 시점이 절묘함

- FBI가 기기 백업에서 정보를 추출했을 가능성도 있음
  - 법 집행기관용 상용 포렌식 도구들이 iOS 취약점을 이용해 데이터를 추출하는 건 이미 잘 알려진 사실
  - Cellebrite, GrayKey 같은 도구들이 대표적

- Signal과 Apple 모두 알림 데이터의 저장/처리 방식에 대해 **아무런 코멘트를 하지 않음**

---

## 기술 맥락

- iOS가 알림 데이터를 내부에 캐싱하는 건 사실 성능 최적화 관점에서 자연스러운 설계예요. 사용자가 알림을 다시 보거나, 알림 센터를 스크롤할 때 빠르게 보여줘야 하니까요. 문제는 이 캐시가 앱 삭제 시에도 완전히 정리되지 않을 수 있다는 점이에요.

- BFU/AFU 구분은 iOS 보안 모델의 핵심이에요. BFU 상태에서는 사용자의 패스코드 없이는 거의 아무 데이터도 못 읽거든요. 그래서 포렌식 도구들은 기기가 AFU 상태일 때를 노리는 경우가 많아요. 한 번이라도 잠금해제된 기기는 키가 메모리에 남아있어서 접근 가능한 범위가 훨씬 넓어져요.

- 푸시 알림 토큰의 생명주기도 흥미로운 부분이에요. APNs(Apple Push Notification service)는 토큰이 무효화되면 피드백을 주긴 하지만, 앱 삭제 시점에 즉시 무효화가 보장되지는 않거든요. 이 갭 사이에서 서버가 계속 알림을 보내고, iOS가 이를 수신해서 내부에 저장할 수 있는 거예요.

- 결국 E2EE(종단간 암호화) 메신저라도 OS 레벨의 알림 시스템을 활용하는 순간, 암호화 바깥의 데이터가 기기에 남을 수 있다는 교훈이에요. Signal이 알림 미리보기 비활성화 옵션을 제공하는 이유가 바로 이거예요.

## 핵심 포인트

- FBI가 Apple 내부 알림 저장소에서 삭제된 Signal 수신 메시지를 복원
- 앱 삭제 후에도 푸시 알림 토큰이 즉시 무효화되지 않아 데이터가 캐싱됨
- Signal의 알림 미리보기 비활성화 설정으로 방지 가능했으나 피고인이 미설정
- Apple이 iOS 26.4에서 푸시 알림 토큰 검증 방식을 변경 — 시점이 묘함

## 인사이트

E2EE 메신저라도 OS 레벨 알림 시스템을 사용하면 암호화 바깥에 데이터가 남을 수 있다는 점을 보여주는 사례. 개발자 입장에서 알림 미리보기 설계 시 보안 영향을 고려해야 함.