태블릿 이미징 원본 검증 필요성에 대한 의견서

사 건 2018노4088

죄 명 정보통신망이용촉진및정보보호등에관한법률위반(명예훼손)등

피고인 변 희 재 외3

위 사건에 관하여 검찰이 제출한 포렌식 보고서를 피고인의 변호인 측이 검증해야 할 이유에 대해서 다음과 같이 의견을 개진합니다.

다 음 

1. 디지털 포렌식 보고서는 완벽한 과학적 사실 증명이 아닙니다.

재판 과정에서 각종 증거에 대한 조사 보고서가 제출되고 있지만 이들의 진정성립을 다투게 됩니다. 그 중 유전자 감식과 같이 전문적인 분야의 감식 보고서는 누가 만들어도 같은 결론이 나고, 조작 가능성도 없다고 인정되고 있습니다. 

현재 검찰, 국과수, 국정원 등에서 제출되는 디지털 포렌식 보고서 또한 완벽한 과학적 사실만을 기술한 보고서처럼 취급되지만 이는 디지털 보고서가 만들어지는 실제 과정을 모르기 때문에 나온 판단이라고 생각됩니다.

2. 검찰, 국정원의 디지털 보고서는 필요에 따라 수시로 조작되어 왔습니다.

이 의견서를 작성하는 저는 2009년부터 변호인 측의 의뢰를 받아 검찰, 국정원, 국과수의 디지털 포렌식 보고서를 감정해 온 바 있습니다. 이 과정에서 다수의 디지털 포렌식 보고서 조작을 확인하고, 법정에서 인정을 받았으며, 이로 인해 국정원 포렌식 담당자가 실형을 받게 만들기도 했습니다.

   2-1. 2010년 최열 환경재단 대표 사건 디지털 포렌식 조작 

최열 환경재단 대표는 이명박 정권의 대운하, 사대강 사업에 협조를 거부한 후 표적 수사의 대상이 되어 기소된 바 있습니다. 이 때 검찰은 회계 부정 혐의를 뒷받침 할 포렌식 보고서를 제출합니다.

이 보고서에는 “환경재단 회계용 엑셀 파일의 숫자가 고쳐진 정황이 존재한다”라는 내용이 들어 있었고 이것이 최열의 회계 부정을 뒷받침하는 증거로 제기되었습니다.

하지만 변호인의 검증 요청을 받은 제가 법정에 제출된 원본 하드디스크와 백업 CDROM을 열람 복사하여 검증한 결과 1. 원본 하드디스크에는 다달이 회계 자료를 정리하는 작업을 했고 2. 이 과정에서 지방 환경단체에서 올라오는 회계 정보가 수정되기도 했으며 3. 매달 말일에 모든 자료를 취합한 최종판 엑셀 파일을 남기고 삭제했다는 사실을 확인했습니다.

함께 증거로 제출된 백업 CDROM에는 매달 회계 정산 작업 과정에서 임시 저장 엑셀 파일, 중간 엑셀 파일, 최종 엑셀 파일을 폴더를 달리해 “같은 파일명”으로 저장해 놓았음을 알 수 있었습니다.

즉, CDROM은 일정 시점의 하드디스크 내용을 모두 저장해 놓았기 때문에 같은 파일명을 가진 임시 파일과 최종 파일이 여러 폴더에 저장되어 있는 상태였지만, 하드디스크는 최종 파일만 남아 있었습니다. 하드디스크에는 최종 파일이 만들어지고 나면 임시 파일들을 지웠기 때문입니다.

검찰 포렌식 작업자는 최열의 회계 부정 증거를 찾아내라는 검사의 요청을 수행하기 위해 같은 이름을 가진 하드디스크의 “최종 파일”과 백업 CDROM의 “최종 파일”을 비교하지 않고, 하드디스크의 “최종 파일”과 백업 CDROM의 “임시 중간 파일”을 비교하여 마치 환경 재단에 회계 조작이 있는 것처럼 조작된 보고서를 제출했습니다.

제가 하드디스크와 백업 CDROM을 비교하여 이 사실을 밝혔고, 변호인이 검찰 포렌식 작업자를 증인으로 소환하여 이 사실을 추궁하였으나 아무런 답변을 하지 못했습니다. 그 결과 1심 판결문에 “회계 자료 조작은 근거가 없다”고 명시되기도 했습니다.

(자세한 내용은 첨부한 책자 “IT가 구한 세상 112p 참조)

   2-2. 유우성 서울시 탈북자 간첩 사건의 국정원의 디지털 증거 조작

유우성씨는 탈북자로서 서울시 임시 공무원으로 재직하고 있던 2013년 국정원은 유우성씨가 탈북한 이후에도 수시로 북한을 드나들며 간첩 행위를 하도록 포섭되었다는 혐의로 기소된 바 있습니다. 

재판 과정에서 간첩임을 자백하라는 강요를 받았다는 사실, 유우성씨의 동생 유가려에게 오빠를 간첩이라고 증언하라는 협박을 당한 사실 등이 확인되었으나 유우성씨가 북한에서 찍었다는 사진이 결정적인 증거로 제출됨으로써 간첩 혐의는 벗어날 수 없을 듯 했습니다.

이 사건에서도 저는 변호인 측의 의뢰로 국정원 디지털 보고서를 검증한 사실이 있습니다. 국정원은 디지털 컬러 사진을 a4 용지에 흑백으로 인쇄해서 제출함으로써 검증을 피하려 했으나 저는 원본 노트북과 하드디스크를 복구하여 북한에서 찍었다는 디지털 사진을 확보했습니다.

그 사진의 디지털 메타 정보를 확인한 결과 아이폰으로 찍은 사진이며 사진을 찍을 때 위치정보가 함께 저장되어 있는 것을 확인했고 위치 정보 상으로 그 사진은 북한이 아니라 연변에서 찍은 것으로 확인되었습니다. 

이런 검증 결과 사진을 조작한 국정원 작업자는 기소되어 실형을 받았고 유우성씨는 1심 무죄를 받게 되었습니다. 국정원은 이를 만회하기 위해 2심을 대비하여 북한 출입경 기록을 조작했고 이것이 발각되어 관련자들이 기소되기도 했습니다.

(구체적인 내용은 “IT가 구한 세상” 138p 참조)

   2-3. 그외 다양한 사건들에서 디지털 포렌식 보고서 검증

저는 이 뿐만 아니라 정당 내 부정경선 의혹을 밝히기 위해 선거 시스템 포렌식 조사, 각종 공안 사건의 포렌식 보고서 검증, 세월호 디지털 포렌식 센터 운영, 세월호 CCTV 증거보전 감정촉탁인 등을 맡으면서 다양한 디지털 증거의 훼손과 조작 행위를 확인한 바 있습니다. 

이런 경험으로 판단해 볼 때 디지털 포렌식 보고서를 당연한 사실의 기술로 여겨서는 안 되며 상대편의 검증을 반드시 거쳐야 한다는 점을 강조하고 싶습니다. 

3. 이번 사건에서 가장 중요한 쟁점이 태블릿의 조작 여부이므로 피고인 측이 태블릿 원본 이미징 데이터를 재검증하는 것은 반드시 필요한 일입니다.

제가 본 사건의 디지털 포렌식 자문을 의뢰 받은 것은 2020년 4월이었는데, 이 때는 이 사건이 시작된 지 3년이 훨씬 지난 시기였습니다. 저는 의뢰를 받은 직후 태블릿 이미징 원본과 검찰 포렌식 보고서를 요청하였는데 피고인 측에서 태블릿 이미징 원본을 가지고 있지 않다는 충격적인 사실을 확인하였습니다.

제가 여태까지 의뢰 받은 각종 공안 사건, 국가보안법 사건에서도 검찰 측은 모든 증거를 열람 복사할 수 있도록 허용했고 저는 필요한 모든 자료를 제한 없이 조사할 수 있었습니다. 

하지만 본 사건의 변호인들은 재판이 시작된 지 3년이 지나도록 이 사건의 결정적인 증거인 태블릿 원본 이미징 데이터를 보지 못했다는 것은 이해할 수 없는 일입니다. 

1) 이 사건이 허위 사실에 의한 명예훼손인지, 사실 적시에 의한 명예훼손인지 판단하기 위해서 태블릿 원본 이미징이 필수적이며, 2) 검찰의 포렌식 보고서가 진정성립하는지 검증하기 위해서도 반드시 원본이 필요하며, 3) 국과수의 포렌식 보고서를 조사하기 위해서도 필요합니다. 태블릿 원본에 대한 재 이미징 작업도 필요합니다. 4) 태블릿이 검찰에 제출되어 이미징된 이후 어떤 변화가 있었는지, 혹시 의도적인 조작이나 삭제는 없었는지 확인해야 하기 때문입니다.

이 모든 것을 떠나서 재판에 필요한 모든 증거는 피고인 변호인들이 조사할 권한이 있으므로 검찰은 변호인들에게 반드시 태블릿 이미징과 태블릿 원본에 대한 열람 등사를 허용해야 할 것입니다. 

2020.12.

피고인의 변호인 측 디지털 포렌식 담당자

M포렌식 대표 김인성 

(끝)