[암표사건] 포렌식 보고서의 증거능력, 재판에서 다투는 방법 

[암표 사건 디지털 증거와 기술 쟁점 ⑨]

"포렌식 보고서의 증거능력, 재판에서 다투는 방법"

수사기록에 두툼한 포렌식 분석 보고서가 붙어 있습니다. 표지에는 '디지털증거분석 결과보고서'라는 제목과 분석관의 이름, 그리고 수십 자리의 해시값이 적혀 있습니다. 본문에는 "매크로 실행 파일 발견", "예매처 자동 접속 흔적 확인" 같은 문장이 이어집니다. 전문 용어로 가득한 이 보고서도 재판에서는 하나의 서류일 뿐이고, 다툴 수 있는 지점이 분명히 있습니다.

1. 보고서도 동의 여부를 정할 수 있습니다
포렌식 보고서는 분석관이 작성한 서류입니다. 피고인이 이 보고서를 증거로 쓰는 데 동의하지 않으면, 검사는 분석관을 법정에 불러 분석 과정과 결론을 설명하게 하는 등 다른 방법으로 증명해야 합니다. 이 과정에서 분석관에게 직접 질문할 기회가 생깁니다.

2. 원본과 같다는 점부터 증명돼야 합니다
보고서가 말하는 내용은 압수한 기기의 원본 데이터에서 나와야 합니다. 대법원은 원본과 복제본의 해시값이 같다는 점, 또는 압수부터 분석까지 데이터가 바뀌지 않았다는 점이 증명돼야 디지털 증거로 쓸 수 있다고 봅니다. 해시값을 언제 생성했는지, 봉인과 보관이 제대로 이뤄졌는지 기록이 빠져 있다면 그 자체로 다툼의 대상이 됩니다.

3. 압수 과정의 위법은 보고서까지 무너뜨립니다
압수나 선별 과정에서 피의자의 참여권이 보장되지 않았거나, 영장 범위를 벗어난 자료를 분석했다면 그 분석 결과는 위법수집증거가 될 수 있습니다. 보고서의 내용을 다투기 전에 그 보고서가 나오기까지의 절차가 적법했는지부터 확인해야 합니다.

4. '발견'과 '사용'은 다릅니다
보고서에 매크로 파일이 발견됐다고 적혀 있어도, 그것이 언제 설치됐고 실제로 실행됐는지는 별개의 문제입니다. 실행 기록이 남아 있는지, 실행 시각이 문제의 예매 시각과 맞는지, 다른 사람이 같은 기기를 쓰지 않았는지를 따져야 합니다. 포렌식 증거능력과 별개로 증명력을 다투는 핵심 지점입니다.

5. 시간 기록을 그대로 믿지 마세요
파일의 생성·수정 시각은 기기의 시간 설정, 표준시 차이, 파일 복사 과정에 따라 실제와 다르게 표시될 수 있습니다. 보고서가 분 단위로 행적을 재구성했다면 그 시각이 어떤 기준으로 산출됐는지 물어볼 필요가 있습니다.

6. 자료를 받아 따로 분석할 수 있습니다
기소된 뒤에는 검사가 가진 증거를 열람하고 복사해 달라고 신청할 수 있습니다. 분석에 쓰인 원본 이미지나 추출 자료를 받아 피고인 측 전문가가 따로 분석하면, 수사기관 보고서가 놓쳤거나 과장한 부분을 찾아낼 수 있습니다. 필요하면 법원에 감정을 신청하는 방법도 있습니다.

7. 분석관 신문은 질문지로 준비합니다
분석관이 증인으로 나온다면 어떤 도구를 썼는지, 어떤 검색어로 자료를 골랐는지, 왜 그런 결론을 냈는지를 차례로 물어야 합니다. 결론보다 그 결론에 이르는 과정을 묻는 것이 디지털 증거 다툼의 기본입니다.

포렌식 보고서는 객관적인 과학처럼 보이지만, 그 안에는 분석관의 선택과 해석이 들어 있습니다. 적극적으로 대응한다면 원본의 동일성, 압수 절차, 분석 과정과 해석을 단계별로 나눠 따져 보고서의 결론이 그대로 받아들여지지 않게 할 여지가 충분합니다.