디지털 증거 해시값 대조, 동일성·무결성 못 갖추면 증거능력이 없다 

수사기관이 압수한 휴대전화나 컴퓨터에서 나온 파일이 법정에서 그대로 유죄의 증거가 되려면 그 전에 반드시 통과해야 하는 관문이 있습니다. 압수 당시의 원본과 지금 법정에 제출된 사본이 정말 같은 파일인지, 그 사이 단 한 비트도 조작되지 않았는지를 증명하는 일입니다. 이 증명의 핵심 도구가 해시값 대조인데, 수사기관이 이 절차를 소홀히 하거나 참여권을 보장하지 않은 채 진행하면 아무리 결정적인 내용이 담긴 파일이라도 증거능력 자체를 인정받지 못할 수 있습니다. 이 글에서는 디지털 증거가 법정에서 증거로 쓰이기 위해 어떤 절차를 거쳐야 하는지, 해시값 대조가 구체적으로 무엇을 증명하는지 살펴보겠습니다.

법무법인 도모 강대현 대표변호사

---

디지털 증거, 왜 원본 그대로의 증명이 필요한가

디지털 증거는 종이 문서와 달리 아무리 복제해도 원본과 겉보기에 구분이 되지 않고, 내용을 삭제하거나 수정해도 흔적이 남지 않을 수 있어 그 자체로 특별한 증명이 요구됩니다. 형사소송법 제106조 제3항은 정보저장매체등을 압수할 경우 원칙적으로 그 안에 기억된 정보의 범위를 정하여 출력하거나 복제하여 제출받아야 한다고 정하고 있고, 저장매체 자체를 통째로 반출하는 것은 예외적으로만 허용됩니다. 이렇게 출력·복제된 파일이 법정 증거로 제출되면 전문법칙의 적용을 받는데, 2016년 개정된 형사소송법 제313조는 진술서 등의 작성자가 성립의 진정을 부인하더라도 디지털포렌식 자료나 감정 등 객관적 방법으로 성립의 진정이 증명되면 증거로 쓸 수 있다고 규정합니다.

대법원은 여기에 더해 디지털 증거 특유의 선결요건으로 동일성·무결성·신뢰성 세 가지를 판례로 축적해 왔습니다. 동일성은 압수된 원본 저장매체에 들어있던 내용과 법정에 제출된 출력물·사본 파일의 내용이 같다는 것을 뜻하고, 무결성은 압수 시점부터 법정 제출 시점까지 그 내용에 어떤 변경도 가해지지 않았다는 것을 뜻합니다. 신뢰성은 하드카피·이미징 등 복제 절차에 사용된 장비와 프로그램이 정확했고 그 작업을 수행한 사람이 전문성을 갖췄다는 것을 의미합니다. 이 세 요건 중 하나라도 다투어지면 법원은 증거능력 판단을 위한 별도 심리를 열어야 하고, 검사 측이 이를 증명하지 못하면 그 증거는 유죄 인정의 자료로 쓰이지 못합니다.

디지털 증거는 동일성·무결성·신뢰성 세 요건을 모두 갖춰야 증거능력이 인정되고, 이 중 하나라도 증명되지 않으면 아무리 내용이 결정적이어도 유죄의 증거로 쓸 수 없다.

해시값 대조란 무엇인가 — 동일성을 숫자로 증명하는 방법

해시함수는 임의 길이의 데이터를 입력하면 고정된 길이의 고유한 값, 즉 해시값을 산출하는 함수로, 원본 데이터가 단 한 비트라도 달라지면 전혀 다른 해시값이 나오는 특성을 가집니다. 수사기관은 통상 SHA-256 같은 해시함수를 이용해 압수 직후 원본 저장매체나 그 이미징 파일의 해시값을 산출하고, 이후 복제·출력 과정을 거친 사본 파일의 해시값을 다시 계산해 두 값이 일치하는지 대조합니다. 두 해시값이 같다면 그 사이 어떤 변경도 없었다는 것이 수학적으로 증명되고, 하나라도 다르다면 원본과 다른 파일이거나 중간에 변경이 있었다는 뜻이 됩니다.

실무에서는 이 해시값을 압수 당시 작성하는 압수조서나 전자정보 상세목록에 기재하고, 피압수자·변호인의 확인 서명을 받아두는 방식으로 절차를 진행합니다. 이렇게 생성된 해시값 기록이 있어야 나중에 법정에서 지금 제출된 파일이 압수 당시의 그 파일과 같다는 사실을 별도의 증인 없이도 객관적으로 뒷받침할 수 있습니다. 해시값 기록 없이 사본을 만들었거나, 만들었더라도 그 기록을 분실·누락했다면 동일성을 증명할 과학적 근거가 사라져 참여자 진술 등 다른 방법에 의존해야 하는데, 이는 법원의 신뢰를 받기 어렵습니다.

해시값이 압수 시점 원본과 법정 제출본에서 동일하게 산출된다는 것은, 그 사이 파일이 단 한 비트도 변경되지 않았음을 수학적으로 보여주는 증거다.

대법원이 요구하는 3단계 심사 — 판례로 굳어진 기준

대법원 2007. 12. 13. 선고 2007도7257 판결(이른바 일심회 사건)은 정보저장매체에서 출력한 문건이 증거로 쓰이려면 그 문건과 정보저장매체에 저장된 내용이 동일해야 하고, 이를 확인하려면 압수 시부터 문건 출력 시까지 저장매체 원본의 무결성이 유지되어야 한다는 법리를 처음으로 명확히 제시했습니다. 이후 대법원 2013. 7. 26. 선고 2013도2511 판결(왕재산 사건)은 여기서 한 걸음 더 나아가, 원본과 사본의 동일성은 압수·수색 과정에서 이미징한 매체가 원본과 물리적으로 같은지의 문제가 아니라 원본이 담고 있던 자료와 사본의 내용이 같은지의 문제이며, 이를 확인하는 유력한 방법의 하나로 원본과 사본의 해시값이 동일하다는 취지의 법정 증언이나 감정 결과를 들 수 있다고 판시했습니다.

이 판결은 동일성·무결성 확인에 그치지 않고 한 단계 더 나아가, 복제 절차 자체의 신뢰성도 심사 대상으로 삼았습니다. 하드카피나 이미징 작업에 쓰인 장비가 정상적으로 작동했는지, 프로그램에 오류는 없었는지, 그 작업을 수행한 사람에게 전문적인 기술능력과 정확성이 있었는지까지 심리 대상이 된다는 것입니다. 즉 해시값이 일치한다는 사실 하나만으로 자동으로 증거능력이 인정되는 것이 아니라, 그 해시값을 산출한 절차 자체의 신뢰성도 함께 증명되어야 완전한 요건이 충족됩니다.

• 동일성 — 원본 저장매체의 내용과 법정 제출 사본·출력물의 내용이 같다는 것.

• 무결성 — 압수 시점부터 제출 시점까지 그 내용에 변경이 없었다는 것.

• 신뢰성 — 하드카피·이미징에 쓰인 장비·프로그램과 조작자의 정확성·전문성.

• 해시값 대조 — 위 세 요건 중 동일성·무결성을 뒷받침하는 대표적인 과학적 방법.

해시값이 일치한다는 사실만으로 증거능력이 자동으로 인정되는 것이 아니라, 그 값을 산출한 복제·이미징 절차 자체의 신뢰성까지 함께 증명되어야 한다.

압수수색 현장에서 확인해야 할 것 — 해시값 생성 시점과 참여권

해시값 대조가 의미를 가지려면 애초에 압수 현장에서 정확한 시점에 해시값이 생성되어야 합니다. 원칙은 저장매체 자체를 반출하지 않고 현장에서 범위를 정해 출력·복제하는 것이지만, 현장 사정상 저장매체나 그 이미징 복제본을 수사기관 사무실로 옮겨 그곳에서 재복제·출력하는 경우도 드물지 않습니다. 대법원 2018. 2. 8. 선고 2017도13263 판결은 이처럼 이미징한 복제본을 수사기관 사무실 등으로 옮겨 그곳에서 다시 재복제·출력하는 경우에도 피압수자나 변호인에게 참여할 기회를 보장해야 한다고 판시했습니다.

참여권이 보장되지 않은 상태에서 만들어진 사본이라면, 그 사본과 원본의 동일성에 대한 주장·증명책임은 검사에게 있다는 것도 이 판결이 밝힌 부분입니다. 변호인이 이 사본이 원본과 같다는 근거를 대라고만 요구해도, 검사가 그 증명을 하지 못하면 사본의 증거능력이 부정될 수 있다는 뜻입니다. 실무적으로는 압수 현장에서 작성되는 전자정보 상세목록에 해시값이 실제로 기재되어 있는지, 그 목록을 피압수자나 변호인이 교부받아 확인·서명했는지를 가장 먼저 살펴야 합니다.

참여권이 보장되지 않은 채 만들어진 사본은 원본과의 동일성에 대한 증명책임이 검사에게 넘어가고, 이를 다하지 못하면 증거능력이 부정될 수 있다.

해시값이 어긋나거나 아예 생성되지 않았다면 벌어지는 일

실무에서 다투어지는 상황은 몇 가지로 나뉩니다. 첫째, 원본 이미징 시점의 해시값과 법정 제출본의 해시값이 서로 다르게 나오는 경우입니다. 이때 수사기관은 그 차이가 왜 발생했는지, 그럼에도 실질적인 내용은 동일하다는 점을 과학적 근거로 설명해야 하고 그렇지 못하면 증거능력이 부정됩니다. 둘째, 압수 당시 아예 해시값을 산출하지 않았거나 그 기록 자체가 남아있지 않은 경우입니다. 이런 경우 동일성을 뒷받침할 객관적 근거가 없어 수사관의 진술이나 정황만으로 법원을 설득해야 하는데, 이는 해시값 대조에 비해 증명력이 현저히 떨어집니다.

셋째, 재복제·재출력 과정을 여러 차례 거치면서 중간 단계의 해시값이 누락된 경우입니다. 원본에서 1차 이미징본으로, 1차 이미징본에서 법정 제출용 출력물로 이어지는 각 단계마다 해시값 대조 기록이 남아있어야 전체 사슬의 동일성이 증명되는데, 중간 어느 한 단계라도 기록이 빠지면 그 지점에서 사슬이 끊긴 것으로 취급될 위험이 있습니다. 법원은 이런 경우 봉인 상태나 보관 경위, 참여자 진술 등 다른 정황도 종합적으로 살피기는 하지만, 해시값 기록이라는 객관적 근거가 없는 상태에서 정황만으로 동일성·무결성을 인정받기는 쉽지 않습니다.

• 해시값 불일치 — 차이의 원인과 실질적 동일성을 수사기관이 과학적으로 설명해야 함.

• 해시값 미생성 — 동일성을 뒷받침할 객관적 근거 부재, 증명력이 현저히 저하됨.

• 사슬 중간 누락 — 여러 단계 복제 중 한 단계라도 해시값 기록이 빠지면 그 지점에서 사슬 단절 위험.

• 봉인·보관 경위 등 정황증거는 보완자료일 뿐 해시값 대조를 대체하지 못함.

해시값 기록이 없거나 중간 단계에서 끊기면, 봉인 상태나 보관 경위 같은 정황증거만으로는 동일성·무결성을 인정받기 어렵다.

변호인이 실제로 확인해야 할 서류와 절차

디지털 증거의 증거능력을 다투려는 쪽에서는 몇 가지 서류를 반드시 확보해 대조해야 합니다. 압수조서와 압수목록, 전자정보 상세목록에 해시값이 기재되어 있는지, 그 값이 피압수자·변호인이 서명한 원본과 법정 제출본에서 실제로 일치하는지를 직접 비교하는 것이 출발점입니다. 여기에 더해 수사기관이 작성한 디지털포렌식 분석보고서나 감정서가 있다면 그 안에 이미징 절차, 사용 장비, 해시값 산출 과정이 구체적으로 기재되어 있는지도 함께 확인해야 합니다.

이런 서류가 부실하거나 해시값 기록 자체가 없다면, 공판 과정에서 검사에게 그 부분에 대한 증명을 요구하고 필요하다면 법원에 사실조회나 감정을 신청해 다툴 수 있습니다. 특히 참여권이 보장되지 않은 상태에서 사본이 만들어졌다는 정황이 있다면, 앞서 살펴본 2017도13263 판결의 법리에 따라 증명책임이 검사에게 있다는 점을 적극적으로 주장할 필요가 있습니다. 이런 절차적 다툼은 단순한 형식 문제가 아니라, 그 증거 자체의 증거능력을 좌우하는 실체적인 쟁점이라는 점을 이해하고 접근해야 합니다.

압수목록·전자정보 상세목록의 해시값 기재 여부와 실제 일치 여부를 직접 대조하는 것이, 디지털 증거의 증거능력을 다투는 첫걸음이다.

증거능력이 부정되면 사건 전체에 어떤 영향을 주나

디지털 증거의 동일성·무결성이 증명되지 않아 증거능력이 부정되면, 그 증거는 형사소송법 제308조의2가 정한 위법수집증거배제법칙에 따라 유죄 인정의 자료에서 완전히 배제됩니다. 문제는 이 파급 효과가 해당 파일 하나에 그치지 않는다는 점입니다. 그 디지털 증거를 기초로 확보된 다른 증거, 예컨대 파일 내용을 제시하며 받은 진술이나 자백까지 위법수집증거의 파생증거로 취급되어 함께 배제될 여지가 있습니다.

그래서 수사기관 입장에서도, 변호인 입장에서도 디지털 증거의 무결성·동일성 문제는 사건 초반에 짚고 넘어가야 할 핵심 쟁점입니다. 검사 측은 압수 단계부터 해시값 산출과 참여권 보장 절차를 철저히 지켜야 그 증거로 유죄를 받아낼 수 있고, 변호인 측은 이 절차의 흠결을 찾아내는 것이 때로는 사건 전체의 결론을 바꾸는 방어 전략이 될 수 있습니다. 결국 해시값 대조라는, 언뜻 기술적으로만 보이는 절차 하나가 형사재판의 승패를 가르는 지점이 되는 셈입니다.

동일성·무결성이 증명되지 않은 디지털 증거는 위법수집증거배제법칙에 따라 배제되고, 그로부터 파생된 다른 증거까지 함께 배제될 수 있다.

자주 묻는 질문

Q. 해시값이 조금이라도 다르면 무조건 증거능력이 없어지나요?

A. 해시값이 다르다는 사실 자체가 곧바로 증거 배제로 이어지지는 않습니다. 다만 그 차이가 왜 발생했는지, 그럼에도 실질적인 내용은 동일하다는 점을 수사기관이 과학적 근거로 설명해야 하고, 이를 설명하지 못하면 증거능력이 부정될 수 있습니다.

Q. 압수 당시 해시값을 만들지 않았다면 그 증거는 무조건 못 쓰나요?

A. 해시값 기록이 없다고 자동으로 증거능력이 부정되는 것은 아니지만, 동일성·무결성을 뒷받침할 가장 객관적인 근거가 사라진 것이어서 수사관 진술 등 다른 정황만으로 법원을 설득해야 하는 불리한 위치에 놓이게 됩니다.

Q. 변호인이 압수수색 현장에 참여하지 못했다면 어떻게 되나요?

A. 참여권이 보장되지 않은 채 만들어진 사본에 대해서는 원본과의 동일성을 검사 측이 증명해야 하므로, 이 점을 적극적으로 다투면 증거능력을 배제시킬 수 있는 여지가 생깁니다.

Q. 해시값 대조는 누가 어떻게 진행하나요?

A. 통상 수사기관이 압수 직후 원본이나 이미징 복제본의 해시값을 산출해 전자정보 상세목록에 기재하고, 이후 법정 제출 단계에서 같은 방식으로 해시값을 다시 계산해 두 값을 대조합니다. 감정인이 별도로 검증하는 경우도 있습니다.

Q. 해시값이 일치하면 그것만으로 증거능력이 인정되나요?

A. 해시값 일치는 동일성·무결성을 뒷받침하는 유력한 근거이지만, 그 값을 산출한 이미징·복제 절차 자체의 신뢰성, 즉 장비의 정확성과 조작자의 전문성까지 함께 인정되어야 완전한 요건이 충족됩니다.

Q. 디지털 증거의 증거능력을 다투려면 재판 초기에 무엇부터 해야 하나요?

A. 압수조서·압수목록·전자정보 상세목록에 해시값이 기재되어 있는지, 그 값이 실제로 일치하는지를 먼저 확인하고, 부실하다면 검사에게 포렌식 분석보고서 제출을 요구하거나 법원에 사실조회·감정을 신청하는 것이 출발점입니다.

맺음말

디지털 증거는 이제 형사사건 대부분에서 핵심 증거로 다뤄지지만, 그 증거능력은 저절로 인정되는 것이 아닙니다. 압수 시점의 해시값과 법정 제출본의 해시값이 일치하는지, 그 산출 절차의 신뢰성까지 갖춰졌는지가 함께 증명되어야 비로소 유죄의 자료로 쓰일 수 있습니다. 절차 하나가 부실하면 아무리 내용이 결정적이어도 그 증거는 배제될 수 있고, 나아가 그로부터 파생된 다른 증거까지 흔들릴 수 있습니다.

형사 사건에서 압수수색이 이뤄지는 경우, 수원지검 등 관할 검찰청 단계에서부터 디지털 포렌식 절차의 적법성이 다투어지는 사례도 늘고 있습니다. 압수수색 단계의 해시값 기록과 참여권 보장 여부를 꼼꼼히 챙기는 것이, 이후 재판에서 증거능력을 다툴 근거를 마련하는 길입니다.

조력이 필요하시면 010-3432-1451 강대현 대표변호사에게 연락주십시오. 신속히 도와드리겠습니다.

의뢰인을 위한 최선의 전략을 끊임없이 고민합니다.