[암표사건] 예매처 접속 기록만으로 매크로 사용이 증명될까 

[암표 사건 디지털 증거와 기술 쟁점 ①]

"예매처 접속 기록만으로 매크로 사용이 증명될까"

수사기록 한쪽에 예매처가 낸 표 한 장이 붙어 있습니다. 계정 아이디, IP 주소, 접속 시각, 좌석 선택까지 걸린 시간이 0.001초 단위로 빼곡합니다. 맨 아래에는 "비정상 자동화 접속으로 판단됨"이라는 한 줄이 적혀 있습니다. 이 표 한 장으로 매크로 사용이 증명될까요. 예매처 로그는 강력한 자료지만, 그것만으로 모든 것을 말해 주지는 않습니다.

1. 접속기록에는 무엇이 담기나
예매처 서버에는 어느 계정이, 어떤 IP에서, 몇 시 몇 분 몇 초에 접속해, 어떤 화면을 거쳐 몇 초 만에 결제까지 갔는지가 남습니다. 브라우저 종류나 기기 정보가 함께 기록되기도 합니다. 매크로 접속기록이 수사의 출발점이 되는 이유입니다.

2. 로그가 보여 주지 못하는 것
로그는 무슨 일이 일어났는지는 보여 주지만, 누가 어떤 도구로 했는지까지 직접 보여 주지는 않습니다. 그 계정을 실제로 누가 썼는지, 사람이 클릭했는지 프로그램이 클릭했는지는 로그를 해석해서 추론한 결론입니다. 이 추론의 근거가 무엇인지가 핵심 쟁점이 됩니다.

3. 빠르다는 것만으로는 부족합니다
예매처는 보통 속도를 근거로 매크로라고 판단합니다. 그러나 미리 로그인해 두고 대기했거나, 빠른 유선 회선을 썼거나, 여러 탭을 띄워 두었거나, 결제 정보를 저장해 두었다면 사람이 해도 놀라울 만큼 빨라질 수 있습니다. 속도 외에 반복 패턴이나 프로그램 흔적 같은 다른 근거가 있는지 확인해야 합니다.

4. 원본과 출력물은 같은 것이어야 합니다
법정에 나오는 것은 대부분 로그를 뽑아낸 출력물이나 파일입니다. 이것이 서버의 원본 기록과 똑같고 중간에 바뀌지 않았다는 점은 검사가 증명해야 합니다. 원본을 언제, 누가, 어떤 방법으로 추출했는지 기록이 없다면 그 신뢰성을 다툴 수 있습니다.

5. 예매처가 정리한 분석표는 다릅니다
서버가 평소 자동으로 남기는 기록과, 고소를 위해 예매처 직원이 따로 추려 정리한 분석표는 성격이 다릅니다. 업무 과정에서 기계적으로 쌓인 기록은 비교적 쉽게 증거로 인정되지만, 사건이 생긴 뒤 특정 목적으로 가공한 자료는 작성자가 법정에서 그 내용을 확인해야 증거로 쓸 수 있습니다. 티켓팅 로그 증거를 볼 때는 이 둘을 반드시 구분해야 합니다.

6. 시간 오차와 누락도 살펴봅니다
0.1초 단위의 차이를 근거로 삼는 사건에서는 서버 시간이 정확했는지, 다른 서버 기록과 시각이 맞는지가 중요해집니다. 특정 시간대 기록이 비어 있거나 일부 계정만 뽑혀 있다면, 전체 그림에서 유리한 부분이 빠졌을 수 있습니다.

7. 반대 증거로 맞설 수 있습니다
내 기기의 브라우저 기록, 프로그램 설치 내역이 없다는 포렌식 결과, 결제 알림이 온 시각처럼 내 쪽에 남은 자료로 예매처 로그의 해석을 반박할 수 있습니다. 당시 예매 화면을 녹화해 둔 영상이 있다면 가장 직접적인 반증이 됩니다.

예매처 접속기록은 사건의 윤곽을 그려 주지만, 결론까지 대신해 주지는 않습니다. 적극적으로 대응한다면 로그가 실제로 보여 주는 사실과 예매처가 덧붙인 해석을 나눠, 그 사이의 빈틈을 다툴 여지가 충분합니다.