숙명여고 쌍둥이 발목 어떻게 잡았나...'디지털 포렌식'의 숨겨진 비밀

서울 숙명여고 교무부장의 쌍둥이 딸 전교 1등 의혹에 대해 경찰이 물증을 확보한 것으로 전해졌다.

쌍둥이 딸은 1학년 때인 2017년 중위권(전교 121등), 중상위권(전교 59등)이었지만 2018학년 들어 나란히 전교1등으로 급상승, '교무부장인 아버지가 연출한 기적'이라는 말이 나돌았고 서울시 교육청이 특별감사에 나섰다.

조희연 교육감 등은 감사 결과를 발표하면서 "심증은 가지만 물증이 없어 경찰에 수사를 의뢰할 수 밖에 없다"고 답답함을 나타냈다.

바로 이 물증을 경찰이 찾은 것으로 10일 전해졌다.  

▲ 디지털 포렌식을 통해 스마트폰 등에서 '정답 확인'관련 단서 찾아

경찰은 디지털 포렌식(digital forensic) 수사를 통해 물증을 확보했다. 쌍둥이 딸과 아버지인 숙명여고 전 교무부장 등을 불러 조사하기 전 경찰은 아버지의 스마트폰, 노트북을 확보해 디지털 포렌식 기법을 동원, 시험지와 정답 여부를 묻고 답한 사실을 발견했다는 것.

▲ 디지털 포렌식이란

디지털 포렌식(digital forensic)에서 포렌식의 사전적 의미는 법의학적인, 범죄 과학 수사의, 법정의, 재판에 관한'이다.

디지털 포렌식 전문가인 군산대학교 법학과 권양섭 교수는 "디지털 포렌식은 법정에서 증거로 사용하기 위해 디지털 증거를 수집ㆍ보존ㆍ처리하는 과학적ㆍ기술적인 기법을 말한다"며 "법정 증거가 되려면 증거능력(admissibility)이 있어야 하며 그를 위해 증거가 법정에 제출될 때까지 변조 혹은 오염되지 않는 온전한 상태(integrity) 를 유지하는 일련의 절차 내지 과정을 일컫는다"고 했다.

권 교수는 "초기에는 컴퓨터를 중심으로 압수ㆍ수색해 컴퓨터로부터 증거를 발견했지만 1998년에 들어오면서 디지털 정보 자체에 주목하기 시작해 명칭도 컴퓨터 포렌식서 디지털 포렌식으로 변화됐다"고 설명했다.

디지털 포렌식 절차. 법정 증거로 사용되는 만큼 분석 못지 않게 완벽한 보존이 중요하다. 사진=군산대 디지털 포렌식 전공 홈페이지 캡처

따라서 컴퓨터, 휴대폰 등 디지털 매체에 저장되어 있는 증거(데이터· DNAㆍ지문ㆍ핏자국 등)를 확보하는 절차는 물론이고 네트워크를 통해 전송되고 있을 때 발생한 데이터가 더욱 중요하게 다루지고 있다.

▲ 2007년 신정아 사건으로 널리 알려져, 2008년 대검에 디지털분석센터 설치

디지털 포렌식이 일반에 널리 알려진 계기는 2007년 학력위조 파문을 낳았떤 신정아 전 동국대 교수의 사건.

신 전 교수와 변양균 전 청와대 정책실장이 주고 받은 이메일을 검찰이 디지털 폿렌식을 통해 복구, 일반에 공개하면서 '디지털 포렌식' 용어가 널리 퍼졌다.

이어 2008년 검찰은 대검찰청에 '국가 디지털포렌식 센터'를 설치했다.

▲ 세월호, 최순실 태블릿 PC 때도 디지털 포렌식 맹활약

국정농단 사건 실체를 드러낸 최순실의 테블릿 PC. 디지털 포렌식 기법에 의해 관련 내용과 데이터를 찾아냈다. 연합뉴스

디지털 포렌식 기법은 세월호와 최순실 진실을 밝히는데 크게 기여했다.

희생자 휴대폰서 침몰전 세월호 모습이 담긴 영상을 복원하는가 하면 가족 등에 보맨 메시지 복원, 세월호 적재 차량 블랙박스 복원 등을 통해 세월호 참사를 보다 가깝게 전했다.

또 박근혜 전 대통령 탄핵을 몰고 왔던 최순실 국정농단의 단초가 된 태블릿 PC에 저장된 내용은 물론이고 전송된 데이터도 복원해 냈다.

▲ 디지털 포렌식 분석 최근 4년사이 3배 가량 늘어 

대검의 국가 디지털 포렌식 센터의 모습. 수억원짜리 장비들을 사용해 증거를 찾아내면서 '안티 포렌식'과 싸움하고 있다.  

디지털 기기 사용이 일반화 되는 것과 맞물려 디지털 포렌식 분석 건수도 해마다 큰 폭으로 늘었다.

경찰청 자료에 따르면 경찰 수사에서 사용된 디지털 포렌식 건수가 2013년 1만1200건에서 2017년 3만6060건으로 3배 이상 증가했다.

▲ '안티 포렌식'수법도 늘어나…디가우징, 덮어쓰기

디지털 포렌식 건수가 늘어나고 기법도 발달되는 것에 비례해 디지털 포렌식 방어수법(안티 포렌식)도 발달하고 있다.

재판거래 의혹과 관련해 대법원이 디가우징을 통해 법관 컴퓨터 자료를 모두 없애 버렸다는 보도가 잇따랐다.

바로 디가우징이 안티포렌식의 대표적 방법으로 강력한 자기장을 이용해 하드디스크 등에 저장된 파일, 프로그램 등 데이터를 완전히 지워버리는 것이다.

군산대 권양섭 교수는 "덮어쓰기도 안티포렌식 방법 중 하나이다"며 "포렌식 장비에 따라 다르지만 몇 번 덮어쓰면 원데이터를 제대로 복원하기 힘들다"고 했다.

권 교수는 "일부 보고에는 14번 덮어 쓴 것도 찾아냈다고 하지만 덮어쓴 데이터에서 원래 데이터를 복구하기는 참 어려운 숙제다"고 했다.

▲ 디지털 포렌식은 장비와의 싸움, 14번 덮어 쓴 것도 복구


디지털 포렌식은 장비와의 싸움이다. 더 좋은 장비를 투입하면 흔적을 보다 빨리 자세히 찾아낼 수 있다. 14번 덮어쓴 것을 복구한 것도 비싼 장비 덕분이다.

국제적으로 인정된 스마트폰 디지털 포렌식 장비의 경우 1억원 이상이며 7~8억원짜리도 있다.

이 정도 장비는 지방 경찰청별로 있는 디지털 포렌식계도 갖추고 있다.

또 경찰과 검찰, 민간 업체 등이 디스크 증거 분석 프로그램으로 널리 활용하고 있넌 '엔케이스 포렌식(EnCase Forensic)'프로그램은 700만원 가량 된다.

이밖에 악성코드 탐지 분석 도구인 '마에스트로 윈도우 포렌식(Maestro Window Forensic)', 이미지와 동영상 통합 디지털 포렌식 솔루션인 '그리프아이 DI(Griffeye DI)',  디스크 이미징 복제 장비인 '미디어이매저(Mediaimager)' 등이 있다.

모두 구입에 큰 돈이 필요하며 무엇보다 '유지 보수(신규 구입 포함)'에 많은 비용이 들어간다.

▲ 분석자 경험과 실력, 감각도 필수요수

디지털 포렌식에는 장비를 다룰 수 있는 능력, 오염방지 자세, 많은 경험을 갖춘 전문가가 반드시 필요하다.

검찰과 경찰은 전문가를 자체적으로 육성하고 있지만 특수분야인 만큼 대학서 전공하고 관련 기관이나 업체에서 실무 경력을 쌓은 이들을 특채하는 것이 일반적이다.

박태훈 기자 [e-mail]