JTBC 손석희가 태블릿PC에서 사진폴더인 ‘DCIM’ 폴더를 삭제한 기록이 새롭게 발견됐다. 삭제된 사진폴더에 다량의 사진이 저장돼 있었다면, 이는 조작보도를 넘어 기기 자체를 조작한 중대 범죄에 해당할 수 있다는 지적이다. 또한 이를 알고서도 눈감아줬다면 특검·검찰도 책임을 면하기 어려워 보인다.
태블릿 사진폴더, 지난해 10월 23일 통째로 삭제
국립과학수사연구소 포렌식 자료에 따르면, 태블릿PC 내장 SD카드에 있는 사진폴더(DCIM)는 2016년 10월 23일 삭제됐다. DCIM(Digital Camera IMages) 폴더는 카메라가 있는 스마트폰이나 태블릿을 구매하면 처음부터 설치돼 있는 기본 폴더다. 당연히 있어야 하는 폴더를 삭제한 것은 결국 2016년 10월 18일(입수)~25일(검찰에 제출)까지 태블릿을 소유하고 있던 JTBC의 인위적인 행위라고 밖에 설명할 길이 없다.
이러한 사실은 국과수가 미디어로그 분석을 제공한 덕분에 처음 발견될 수 있었다. 국과수 미디어로그 분석결과의 81번 항목을 보면 현재 상태가 ‘삭제’로 표시됐다. 저장경로 표시가 나타내는 정보는 '내장 메모리카드(mnt/sdcard)에 있는 기본 사진폴더(DCIM)가 삭제됐다'는 소리다.
삭제된 시간은 ‘생성시간’으로 표시된 2016년 10월 23일 오전 5시 43분. 생성시간이 곧 삭제시간을 의미하는 것은 디지털 기기의 특성 때문이다. 디지털 기기에서 무언가를 삭제하는 행위는 정보 자체를 완전히 ‘날려버리는’ 것이 아니라, 표시 정보값만 변경하는 것이다. ‘삭제’란, 곧 ‘삭제로 표시되는 정보값을 생성했다’는 것으로 이해할 수 있다.
삭제된 사진폴더의 수정시간과 촬영시간은 모두 2011년 1월 1일이다. 이 시간은 특별한 의미가 없는 것으로, 당시에 생산된 안드로이드 운영체제 기반 기기에 적용된 기본값이다.
JTBC의 손에서 발생한 의심스런 기록은 또 있다. 포렌식 기록상, JTBC는 사진폴더 삭제 하루 전날 카메라 폴더(mnt/sdcard/DCIM/Camera)를 생성했다. 카메라 폴더는 사진 촬영을 하면 자동으로 생성되는 폴더다. 그러니까 JTBC가 2016년 10월 22일 새벽 1시 28분에 태블릿을 가지고 사진촬영을 해봤다는 소리다. 여기서도 생성시간이 누락된 점은 기술적으로 설명하기 어려워, 다소 수상하다는 지적이 있다.
7년된 태블릿, 일시촬영 사진 17장이 전부?
JTBC 태블릿 안에는 두 개의 기본 저장장치가 있다. 내장 시스템 메모리와 내장 SD카드가 그것이다. 여기에 추가로 저장용량을 늘리고 싶으면 외부 슬롯에 SD카드를 추가 장착할 수도 있다. 국과수 보고서에 따르면, 태블릿 외부에는 추가 장착된 SD카드는 없었다.
태블릿의 내장 SD카드 용량은 32GB. 2012년 구입 당시로선 상당히 큰 용량이다. 태블릿에는 사진폴더 DCIM이 기본으로 깔려있다. 이후 태블릿으로 사진촬영을 하면 자동으로 여기에 찍은 사진들이 저장된다.
태블릿은 2012년 김한수 전 청와대 행정관이 개통해 올해 10월까지도 김한수가 개인카드로 요금을 납부, 무려 햇수로 7년을 사용했다. 상당량의 사진이 저장돼 있었을 것으로 추정해 볼 수 있다.
여기서, 손석희의 주장대로 이 태블릿이 최순실 것이라면 DCIM 폴더에는 딸 정유라와 승마장, 승마에 관련된 사진들이 상당량 들어 있을 것으로 예상해볼 수 있다. 반면, 공용메일과 웹검색 기록이 증명하는 것처럼, 이 태블릿이 대선캠프와 청와대에서 사용한 것이라면 당연히 업무 관련 사진이 최소한 수십여장 정도는 들어 있어야 상식적이다.
그런데 태블릿에는 상식적으로 있어야할 사진은 아무것도 없었다. 단지 최순실씨가 참석한 2012년 6월 25일 가족식사 당시의 사진 17장이 전부다. 7년 동안 태블릿으로 찍은 사진이 고작 17장이고, 그마저도 한날한시에 찍은 사진들이라는 소리다.
사실 전문가들은 이른바 ‘유심기변’을 염두에 두고 국과수 보고서를 심층 분석 중이다. 태블릿 실사용자가 모델이 노후화되자 최신 기종을 따로 구입해 유심(USIM)만 갈아끼웠을 가능성이 농후하기 때문이다.
다만, 유심기변 가능성을 감안해도 JTBC 주장대로라면 이 태블릿은 적어도 2014년 3월 박근혜 대통령의 드레스덴 연설때까지는 사용됐다. 3년 동안 태블릿으로 찍은 사진이 한날 한시에 촬영한 17장뿐이라는 것도 지극히 비상식적이긴 마찬가지다.
DCIM 폴더 왜 삭제했을까
최근 JTBC는 국과수 감정 결과 생성/수정된 파일이 5659개에 달하는 것으로 확인되자, “취재를 위해 태블릿을 구동했고 그 과정에서 생성 수정된 기록”이라고 주장해왔다. 고려대 디지털포렌식학과 이상진 교수도 이러한 JTBC 의 주장을 측면 지원해 왔다.
그러나, 기본 사진폴더는 운영 소프트웨어 업그레이드(펌웨어 업그레이드)를 해도 보존되는 영역이다. 결국, JTBC는 취재차원 구동이나 소프트웨어 업그레이드를 한 것이 아니라, 실사용자를 추정해볼 강력한 ‘시각적 자료’인 사진폴더를 통째로 날려버리는 조작·은폐를 감행했다는 합리적 의혹이 들 수 밖에 없는 지점이다.
JTBC가 의도적으로 사진폴더를 삭제한 것이 맞다면, 도대체 어떤 사진을 얼마나 지운 것일까.
한편, IT전문가들은 사진폴더 삭제 기록은 현재 태블릿에 남아있는 사진조차도 진짜가 맞는지 의심을 불러일으킬만한 사안이라고 지적했다. 전문가들은 “최순실 가족식사 사진의 저장 위치를 보면 소문자 ‘media’가 나온다”며 “SD카드에 저장됐다는 표시를, 이전에는 media 요즘은 sdcard로 표기한다”고 설명했다.
전문가들은 이를 근거로 추리하면 “JTBC가 DCIM 폴더를 삭제하고서 수 차례 초기화를 진행한 후 ‘media/DCIM/Camera’ 로 경로 지정한 최순실 가족식사 사진을 태블릿에 삽입했을 가능성도, 기술적으로 전혀 불가능하지는 않다”고 말했다.
실제, 단순히 사진을 지우는 수준을 뛰어넘어 새로운 사진 삽입조작을 시도한 증거도 이미 발견된 바 있다. 국과수 감정 자료에 따르면, 2012년 6월 25일 저녁 가족모임에 참석한 장승호 사진은 태블릿이 JTBC의 영향력 하에 있던 2016년 10월 18일에 생성됐다.
검찰은 장승호 사진과 관련, 재판정에서 ‘사진 한 장일 뿐’이라는 취지로 대답하며 의미를 축소하려 시도했다. 하지만 이번에는 아예 사진 폴더 자체를 삭제한 기록이 추가 발견된 것이다. JTBC와 손석희의 명확한 해명이 필요해 보인다.
변희재 미디어워치 대표고문은 "애초에 저장된 사진이 너무 적어 의아했다. 대선캠프와 청와대 직원들끼리 찍은 사진을 대량삭제했을 것. 이 증거조작 자료를 검찰에 제출하겠다"는 입장을 밝혔다.
