아래 기사는 여러 사람의 메모를 바탕으로 증인신문을 복기한 것입니다. 실제 워딩과 일부 사소한 차이가 있을 수 있으나, 전반적인 내용은 진실합니다. 장시간 진행된 증인신문의 상세한 내용을 국민들에게 보다 신속히 알리기 위해 작성한 기사로, 추후 송지안 증인신문 녹취록이 나오면 더 정확히 보강하도록 하겠습니다. -편집자 주 |
송지안 검찰 포렌식 수사관이 ‘JTBC 태블릿PC’에 대한 디지털포렌식을 진행하면서 거의 모든 법적 절차와 규정을 어겼다고 자백했다. 다만, 송 수사관은 그러한 절차 위반은 “보안상 필요”에 의해 이루어졌으며 “검사의 지시”에 따랐을 뿐이라고 말했다. 그러면서도 지시한 검사의 이름만큼은 끝까지 말하지 않았다.
18일 태블릿재판 항소심 제7차 공판에서는 2016년 태블릿PC를 포렌식 했던 송지안 당시 서울중앙지검 첨단범죄수사제2부 디지털포렌식센터(DFC) 수사관에 대한 증인신문이 진행됐다.
이날 증인신문은 오후 2시 30분경부터 오후 6시경까지, 3시간 반 가량 진행됐다. 새 재판부(김양섭 26기, 반정모 28기, 차은경 30기)는 간단히 피고인들의 신상을 물은 뒤, 곧바로 증인신문을 진행했다.
태블릿 디지털 포렌식, 전산 시스템에 등록 안 하고 무단불법 진행 ‘시인’
우선, 이동환 변호사는 주 신문에서 당시 수사팀이 디지털포렌식 관련 규정을 지켰는지 캐물었다. 대검찰청 예규 제805호 ‘디지털포렌식 수사관의 증거 수집 및 분석 규정’에 따르면 수사관은 디지털 증거의 무결성을 지키기 위해 다양한 절차를 준수해야 한다.
위 규정에서는 검사가 직접 ‘디지털수사통합업무관리시스템(이하 통합관리시스템)’을 통해 지원요청을 하도록 되어 있다. 이때 검사는 증거물의 정보와 분석을 요하는 내용, 지원요청 일시 등을 기재해야 한다.
송 수사관은 “통상적인 경우에는 그렇게 하지만, 일부 ‘보안상 필요한 경우’에는 검사가 직접 구두로 지원요청을 하기도 한다”며 “이 태블릿의 경우 통합관리시스템에는 지원요청 등록이 안 돼 있었다”고 말했다.
이와 관련 변호인이 규정 위반 아니냐고 추궁하자 송 수사관은 “보안을 요하는 경우에는 그러한 일이 있고 중앙지검에서는 종종 있는 일”이라며 “태블릿PC에 대해서는 보안 문제 때문에 그렇게 해 달라고, 검사가 부탁을 했다”고 덧붙였다.
당시 검찰과 송 수사관은 태블릿 증거 사본(이미징 파일)을 통합관리시스템에 남겨야 한다는 규정도 위반했다. 송 수사관은 “태블릿 이미징 파일도 시스템에 등록하지 않았다”며 “검사의 요청에 따라 ‘오프라인’으로 진행하고 이미징 파일도 ‘오프라인’으로 전달해드렸다”고 증언했다.
송 수사관은 ‘오프라인’의 의미에 대해선 “하드디스크”라고 설명했다. 즉, 당시 검찰은 태블릿PC 포렌식 지원요청뿐만 아니라, 이미징 파일, 봉인절차 인증사진 등 모두를 통합관리시스템에 하나도 등록하지 않았다는 것이다.
이 증언이 사실이라면, 일국의 대통령 탄핵에 결정적으로 기여한 증거물을 검찰은 관련 규정을 통째로 위반하며 사실상 불법으로 비밀리에 포렌식을 한 셈이다. 심지어 그 과정을 되짚어볼 근거 자료조차 통합관리시스템에 저장하지 않고, 불법 보관하고 있는 상황이라고 할 수 있다.
송 수사관은 ‘오프라인’으로 진행한 결과물과 증거물들을 “하드디스크에 담아 검사실에 전달했고, 현재는 서울중앙지검 포렌식팀에 보관되어 있을 것”이라고 말했다.
검사는 실사용자 분석 의뢰도 안했다
변희재 피고인은 “당시 검사가 포렌식 분석을 요청하면서 태블릿의 ‘실사용자’가 누구인지 가려달라고 했느냐”고 증인에게 물었다. 송 수사관은 “그런 요청은 없었다”면서 “저는 단지 자동분석 보고서와 위치정보에 관한 구두 요청을 받아 분석해 주었다”고 말했다.
송 수사관은 담당 검사가 분석을 요청하면서 제공한 정보에 대해선 “(검사는) JTBC가 전달한 태블릿이라고, 빨리 분석을 해야 한다 정도만 설명했다”며, 사전에 최서원의 것이라는 식의 설명은 전혀 없었다고 증언했다.
또 ‘최서원이 사용한 것이 명백하다’고 단정한 검찰 보고서 6건에 대해 “검찰 수사팀에서 작성한 것”이라며 자신은 “전혀 모른다”고 말했다. 송 수사관의 증언이 사실이라면, 검찰은 애초에 태블릿 실사용자가 누구인지 가리기 위한 포렌식 분석을 의뢰조차 하지 않은 셈이다. 그런 가운데 최서원의 것으로 결론 내리는 여러 보고서를 작성한 것이다.
실제, 2016년 10월 28일부터 11월 초까지 작성된 서울중앙지검 검사들의 수사보고를 보면, “태블릿PC는 최서원 씨가 사용한 것이 명백히 확인”, “최서원이 태블릿PC를 이용하여”, “최서원이 사용한 태블릿PC”, “최서원이 태블릿PC로 G메일 계정에 접속하여” 같은 확정적 표현들이 나열돼 있다.
태블릿PC 증거봉투엔 봉인지도, 조택수 서명도 없었다
증인신문을 진행할수록, 당시 검찰의 포렌식 절차위반 실태는 점입가경이었다. 이 변호사는 이어 증거물인 태블릿PC의 봉인 상태에 대해 질문했다. 이 변호사는 태블릿을 전달받을 때 봉인이 돼 있었는지, 봉인지에 서명은 있었는지 등을 물었다.
송 수사관은 “통상은 그렇지만, 이번 태블릿 같은 경우에는 그냥 봉투 안에만 들어 있었다”며 “봉인은 안 되어 있었다”고 말했다. 송 수사관은 거듭 “피압수자의 서명은 없었다”면서 “통상적으로 봉인지에 서명이 없으면 저희가 검사에게 연락해 서명을 해 달라고 요청을 하는데, 이번에는 긴급하다고 해서 그냥 진행했다”고 증언했다.
홍성준 검사와 JTBC는 김필준이 입수한 태블릿을 법조팀장이던 JTBC 조택수 기자가 노승권 당시 서울중앙지검 1차장검사실에 전했다고 주장하고 있다. 임의제출자는 조택수라는 것이다.
이 변호사는 “대검찰청 예규에는 긴급을 요하는 예외적인 특수 상황에서도 봉인과 확인·서명은 필수라고 되어 있다”며 “검찰이 조택수에게 임의제출 받았다고 하니까 봉인지에는 조택수의 서명이 있어야 하지요”라고 물었다. 송 수사관은 “네”라고 대답했다.
하지만 송 수사관은 “태블릿이 들어있는 봉투에 봉인지는 없었으며, 그냥 종이 봉투였고 (투입구는) 열리지 않게 붙여져 있었다”고 증언했다. 또 “저는 포렌식을 위한 이미징을 뜬 직후 곧바로 ‘정전기 방지봉투’에 태블릿을 담아 봉인지를 붙였으며, 당연히 여기에는 봉인 일시와 서명을 썼을 것 같다”고 말했다.
대검 예규에 따르면, 디지털 증거물의 봉인을 해제하고 재봉인 할 때는 모든 과정을 사진으로 남겨 통합관리시스템에 등록하도록 돼 있다. 이와 관련, 송 수사관은 “사진을 찍었으며 시스템에는 등록하지 않고 분석보고서가 담긴 하드디스크에 다 담아 검사에게 전달했다”고 증언했다.
이때, 송 수사관은 검사에게 인쇄물 형태의 보고서가 아니라 파일 형태로 하드디스크에 담아 분석보고서를 전달했다고 증언했다. 송 수사관은 검찰이 법원에 제출한 포렌식 보고서의 표지와 목차를 보여주자 “처음 본다, 알지 못한다”면서 “저는 분석 결과 부분만 파일로 전달했다”고 말했다.
송 수사관은 그러나 근거를 남기지 않고 구두 지시로 포렌식 수사를 지원요청한 검사가 누구인지에 대해선 “기억이 나지 않는다”는 대답으로 일관했다. 심지어 그는 “직접 검사실에 가서 태블릿을 받아왔고 되돌려 줄때도 직접 가져다 줬다”면서도, 태블릿을 주며 지원요청을 한 검사가 누구인지 기억나지 않는다고 증언했다. 송 수사관이 증언한 정보는 ‘당시 형사6부 부장급 40~50대 검사’까지다.
송지안 “‘정상’ 카톡방 삭제는 불가능” 답변
차기환 변호사는 ‘정상’ 상태의 카톡방은 일부러 삭제하지 않으면 전원 동작만으로는 수백 건의 대량 삭제가 불가능하다는 송지안 수사관의 증언을 이끌어냈다.
차 변호사는 똑같은 소프트웨어(파이널모바일포렌식)로 포렌식을 했음에도, 검찰 보고서와 1년 뒤 국과수 보고서의 카카오톡 채팅방 개수가 415개나 차이 나는 현상에 대해 질의했다.
2016년 10월 25일 송 수사관이 직접 분석한 보고서에는 ‘카카오톡-채팅방목록’이 정상 312개, 삭제 0개, 알수없음 133개로 총 445개로 나온다. 그런데 1년 뒤 2017년 11월 16일 국립과학수사연구원 나기현 연구관이 책임 분석한 보고서에는 ‘카카오톡-채팅방목록’이 정상 8개, 삭제 22개, 알수없음 0개로 총 30개로 나온다.
차 변호사는 “검찰은 이것이 프로그램 버전의 차이 때문으로 설명을 하는데, 여러 포렌식 전문가들은 프로그램 버전이 달라진다고 해서 멀쩡한 카톡방 수백개가 한꺼번에 사라지는 일은 없다고 말한다”며 “단순히 태블릿 전원을 켜는 등의 행위로 이런 일이 가능한가”라고 물었다.
송 수사관은 처음에는 “시간이 지나면 포렌식으로 검출되는 데이터의 양이 줄어든다”며 “태블릿은 플래시 메모리이기 때문에 전하량이 줄어들면 전원을 꺼둔 상태에서도 데이터가 줄어들기도 한다”고 말했다.
차 변호사는 “가능성을 이야기하지 말고, 표를 자세히 보시라”며 “멀쩡히 있는 카톡방이 전원을 꺼둔다고 삭제가 된다니, 그것도 수백개가 한꺼번에 삭제가 된다는 게 말이 되는가”고 지적했다. 이어 “그런 일이 가능한 사례를 생각나는 대로 한번 말해보라”고 다그쳤다.
송 수사관은 가능한 사례를 제시하지 못하고 “전원을 껐다 켰다 하는 것만으로 카톡의 ‘정상’ 대화방은 변경되지 않는다”고 답변했다.
카톡방 질의에는 판사도 끼어들었다. 주심 왼편에 자리한 차은경 부장판사는 증인신문을 마치기 직전, 직접 증인에게 질의했다. 두 가지였다. 차 부장판사는 연락처DB에 ‘선생님’이라는 카톡 아이디가 생성됐다 사라진 것과 카카오톡 대화방 수백 건이 삭제된 것과 관련해 “혹시 전원을 켰을 때 자동으로 태블릿이 네트워크에 연결 되었다면, 연락처DB와 카톡방이 영향을 받을 수 있는가”라고 물었다.
송 수사관은 “가능하다”고 답변했다. 그러면서 “카카오톡 채팅방 참여자 중 일부가 방을 나가면, 네크워크 연결과 동기화를 통해 내 태블릿의 채팅방도 영향을 받았을 수 있다”고 부연했다.
차 변호사는 즉시 반박했다. “증인은 잘못 보낸 메시지를 나와 상대의 메시지창에서 모두 삭제하는 기능이 언제 출시됐는지 아는가”라며 “최근의 일”이라고 지적했다. 이어 “내가 들어있는 카카오톡 대화방의 참여자가 방에서 나가 지워버린다고 해서, 내 휴대전화에서 카카오톡 대화방이 삭제된다는 얘기는 지금도 들어본 바 없는데, 증인은 들어봤는가”라고 다그쳤다.
송 수사관은 결국 다시 한번 “네트워크 연결이나 단순한 전원 구동만으로 ‘정상’ 대화방은 삭제되지 않는다”고 대답할 수밖에 없었다. 그러자 차 부장판사도 차 변호사를 향해 “제 질문의 의도는 카카오톡 채팅방을 물어본 것이 아니고 연락처DB가 영향을 받을 수 있는지에 대한 것”이라고 말했다.
‘디지털 지문’이라는 해시값이 바뀐다? 그게 정상이다?
송 수사관은 이날 스스로 모순되는 답을 하거나, 디지털 수사관의 대답으로 보기 어려운 무논리 답변도 늘어놨다.
송 수사관은 해시값이 무엇이냐는 변호인의 질문에 “일종의 ‘디지털 지문’”이라며 장황하게 설명했다. 하지만 곧이어 이동환 변호사가 검찰 포렌식의 해시값과 국과수 포렌식의 해시값이 5개 중 4개가 다른 사실을 제시하며 이유를 묻자 “해시값은 포렌식을 할 때마다 변하는 게 정상”이라고 대답했다.
하지만 해시값이 다르다면 증거의 무결성이 훼손됐다고 보는 것이 정상이다. 즉 정상적인 보관 절차로 무결성이 지켜진 경우, 이미징 사본의 해시값은 처음 원본 이미징의 해시값과 동일해야 하는 것이 상식이다.
2016년 10월 31일에 수백개의 파일이 수정삭제된 데 대해서도 송 수사관은 무리한 증언을 했다. 검찰은 2016년 10월 25일에 포렌식을 했다. 송 수사관은 “이미징파일을 뜨기 직전 봉투에서 태블릿을 꺼냈고, 이미징을 뜬 직후 태블릿을 봉인해서 검사에게 돌려줬다”며 “돌려준 시각은 25일 밤”이라고 증언했다. 또 “전원을 분명히 끄고 봉인했다”고 명확하게 말했다.
그렇다면 밀봉된 ‘정전기 방지봉투’ 속에서 얌전히 잠자고 있어야 할 태블릿이 일주일 뒤인 31일 다시 켜져 수백개의 파일이 수정삭제됐다는 말이 된다. 송 수사관은 수정삭제된 파일 목록을 확인하며 “전원이 켜진 것이 확실하다”고 증언했다.
이쯤 되자 송 수사관은 31일 기록에 대해 “증거 봉투에 물리적 외력이 가해지는 경우에는 자동으로 봉투 안에서 전원이 켜질 수 있다”고 말했다.
이를 받아서, 홍성준 검사는 반대신문에서 다시 언급 “증인은 증거 봉투 안에서 디지털 기기의 전원이 물리적 충격 등으로 켜질 수 있다고 했는데, 그런 사례가 종종 있는가요”라고 물었다. 송 수사관은 지체없이 “종종 있는 것으로 알고 있습니다”라고 말했다.
모바일 기기 제조사들은 전원버튼이 실수로 켜지지 않도록, 버튼을 작게 만들고 3~5초 가량 누르고 있어야 켜지도록 만든다. 게다가 오랜기간 방전된 기기는 충전을 하지 않으면 전원 동작 자체를 하지 않는다.
우연히 켜졌다고 해도 몇 시간 집중적으로 수백개의 파일이 수정삭제된 후 자동으로 꺼졌다는 것은 말이 되지 않는다. 봉투 안에서 자연적으로 전원이 나갔다면 최소 하루에서 이틀은 태블릿이 구동한 기록이 남았어야 한다. 하지만 태블릿의 파일 수정삭제는 31일 몇시간 동안에만 이뤄졌을 뿐이다.
태블릿 이미징 파일은 총 3곳에 보관
송지안 증인신문으로 서울중앙지검 포렌식팀에 2016년 10월 25일 만들어진 이미징 파일이 보관돼 있다는 점이 드러났다. 물론, 검찰과 송 수사관은 이미징 파일을 통합관리시스템에 등록하지 않고 하드디스크에 보관하고 있다고 밝혔다. 그러나 송 수사관이 위증의 죄를 받겠다는 선서를 하고 “중앙지검 포렌식팀에 이미징 파일을 넘겼다”고 증언한 만큼, 변호인들은 이 증언을 근거로 검찰에 이미징 파일 열람복사나 존재확인에 나서겠다는 방침이다.
만약 검찰이 이미징 파일을 내놓지 않거나, 분실했다고 나오는 경우 이는 증거인멸에 해당돼 즉각적인 형사고발이 가능한 사안이다.
이외에도 국과수가 2017년 11월 13일 사본화한 이미징 파일은 법원과 검찰에 각각 보관돼 있다. 변호인단은 이들 이미징 파일을 확보해 자체적인 디지털포렌식을 진행, 실사용자를 밝히겠다는 의지가 강하다.
한편, 이날 법원은 방청객을 12명으로 제한했다. 공개 재판임에도 많은 사람이 법정에 들어가지 못했다. 판사는 유튜브 영상에 댓글로 재판 소식을 전하던 방청객을 일으켜세워 퇴정을 명령하기도 했다.
제8차 공판기일은 9월 10일이다. 재판부는 그 전까지 변호인이 제출한 사실조회 신청서를 검토한 후 채부를 결정하겠다고 밝혔다. 검찰에게는 사실조회 채부에 관한 의견서를 내면 참조해서 결정하겠다고 안내했다.
