마약 IP 추적, 수사와 재판에서 준비해야 할 IP자료의 한계와 추가 증거

IP주소가 확인되었다는 사실과 실제 사용자의 특정은 같은 문제가 아닙니다

마약 사건에서는 온라인에서 이루어진 접촉과 거래를 추적하는 과정에서 IP주소가 수사의 단서로 활용될 수 있습니다. 마약 판매 게시물의 작성이나 특정 계정의 로그인, 이메일 접속, 온라인 서비스 이용기록 등을 토대로 접속 IP를 확인하고 통신자료 등을 통해 관련 회선을 추적하는 방식입니다.

이 과정에서 특정 IP가 피의자의 주거지나 사업장에 설치된 인터넷 회선과 연결되면 수사기관은 다른 증거와 함께 실제 사용자를 확인하게 됩니다. 그러나 인터넷 회선의 명의자와 특정 시점의 실제 접속자가 항상 동일한 것은 아닙니다.

가족이나 직장 동료가 같은 인터넷 회선을 사용할 수 있고, 하나의 공유기에 휴대전화·태블릿·컴퓨터 등 여러 기기가 연결될 수도 있습니다. 숙박업소·사무실·공용시설처럼 다수의 사람이 동일한 네트워크를 이용하는 상황도 고려해야 합니다.

또한 IP주소가 고정적으로 유지되는 경우만 있는 것은 아닙니다. 인터넷 서비스의 구성에 따라 접속시점별 할당정보를 확인해야 하는 경우가 있으므로 IP주소만 확인하는 것이 아니라 정확한 접속 일시와 통신사업자의 관련 기록을 서로 맞춰볼 필요가 있습니다.

IP자료는 다른 증거와 결합될 때 사건에서의 의미가 구체화될 수 있습니다

마약류 관련 범죄에서 실제 매수·매도·수수·소지·투약 등에 관여했는지를 판단하려면 개별 혐의에 필요한 사실관계가 증거에 의해 확인되어야 합니다. IP자료는 온라인 활동과 특정 회선 사이의 관계를 확인하는 자료가 될 수 있지만 그 자체가 곧바로 마약 거래의 내용이나 실제 행위자를 모두 증명하는 것은 아닙니다.

예를 들어 특정 마약 판매계정의 접속 IP가 피의자의 주거지 인터넷 회선과 일치하더라도 해당 계정을 누가 만들었는지, 문제된 시간에 누가 사용했는지, 실제 마약 거래와 어떠한 관련이 있었는지는 추가적인 자료를 통해 확인해야 할 수 있습니다.

반대로 IP자료와 함께 피의자의 휴대전화에서 해당 계정의 로그인 흔적이 발견되고, 마약 거래와 관련된 대화와 송금자료, 배송지 또는 이른바 던지기 장소와 관련된 이동자료까지 서로 일치한다면 각각의 자료가 결합되어 증거로서 의미가 커질 수 있습니다.

대법원은 형사재판에서 범죄사실의 인정은 합리적인 의심이 없는 정도의 증명에 이르러야 한다는 원칙을 지속적으로 확인하고 있습니다. 따라서 IP와 같은 간접적인 디지털 자료가 제시된 사건에서도 하나의 자료만 떼어 판단하기보다 여러 간접사실이 서로 모순 없이 연결되는지를 살펴보는 것이 중요합니다.

IP자료의 수집 과정 역시 확인 대상입니다. 압수수색영장이나 통신 관련 절차를 통해 어떤 범위의 자료가 확보되었는지, 문제된 계정과 접속기록이 어떠한 과정을 거쳐 피의자에게 연결되었는지를 수사기록을 통해 구체적으로 살펴볼 필요가 있습니다.

오창훈 변호사는 IP주소에서 실제 행위자까지의 연결과정을 확인합니다

안녕하세요. 형사전문변호사 오창훈입니다.

제가 IP 추적자료가 제시된 마약 사건을 검토할 때에는 “IP가 피의자와 일치한다”는 수사결과만 확인하지 않습니다. 최초 온라인 기록에서 IP가 확보된 과정부터 해당 IP가 특정 회선과 연결되고 다시 피의자의 기기·계정 및 마약 혐의로 이어지는 과정을 단계별로 나누어 살펴봅니다.

첫 번째는 접속시각과 IP 할당정보입니다. 수사기록에 표시된 접속시각이 정확히 언제인지 확인하고 해당 시점에 문제된 IP가 어느 회선에 할당되어 있었는지를 살펴봅니다. 날짜만 같다는 정도가 아니라 가능한 범위에서 시간대까지 서로 맞는지 확인할 필요가 있습니다.

두 번째는 회선 가입자와 실제 사용자의 구분입니다. 인터넷 계약이 피의자 명의라고 하더라도 가족과 함께 거주했는지, 사무실에서 여러 직원이 사용했는지, 숙박업소나 공용 네트워크였는지 등을 확인합니다.

특히 하나의 공유기에 여러 기기가 연결된 환경이라면 외부에서 확인되는 IP만으로 내부의 어느 기기가 접속했는지를 바로 특정하기 어려운 경우가 있습니다. 이때에는 공유기 관련 자료, 개별 기기의 포렌식 결과와 계정 로그인 흔적 등 추가적인 자료를 함께 검토합니다.

세 번째는 압수된 휴대전화와 컴퓨터입니다. 문제된 텔레그램·SNS·이메일 등의 계정이 실제 기기에서 사용되었는지, 로그인 상태나 애플리케이션 데이터가 남아 있는지, 마약과 관련된 대화·검색·사진 등의 자료가 확인되는지를 살펴봅니다.

다만 기기에 계정 흔적이 존재한다는 사실과 개별 마약 거래가 입증되는 것은 다시 구분해야 합니다. 어떤 시점의 어떤 대화가 문제된 거래와 연결되는지, 상대방 계정과 대화 내용이 실제 거래일시 및 장소와 맞는지를 확인해야 합니다.

네 번째는 금전 흐름입니다. 마약 구매대금이 계좌이체로 지급되었다는 주장이라면 송금인과 수취인, 금액과 시각을 확인하고 온라인 대화에서 언급된 금액과 일치하는지를 살펴봅니다. 가상자산이 문제되는 사건에서도 특정 지갑주소가 등장했다는 사실에서 그치지 않고 피의자가 해당 지갑을 실제로 관리·사용했다고 볼 자료가 있는지를 검토해야 합니다.

다섯 번째는 오프라인 자료입니다. 온라인으로 마약을 주문했다는 혐의가 있다면 실제 물건을 전달받았는지를 확인하기 위해 배송자료나 CCTV, 차량 이동기록, 위치자료 등이 제시될 수 있습니다.

이른바 던지기 방식의 거래가 문제된 경우에도 판매자가 전달한 위치와 피의자의 이동경로가 일치하는지, 해당 시간대에 현장에 있었다고 볼 객관적인 자료가 있는지, 이후 마약류가 실제 압수되었는지 등을 나누어 확인합니다.

여섯 번째는 마약 검사와 압수물입니다. IP나 온라인 계정으로 구매 정황이 의심되더라도 실제 투약 혐의까지 문제된다면 소변·모발 검사 결과 등 투약 여부와 관련된 자료가 별도로 검토될 수 있습니다. 반대로 검사결과만으로 특정 온라인 거래의 당사자가 곧바로 확인되는 것도 아니므로 각 증거가 무엇을 입증하는지를 구분해야 합니다.

공범의 진술이 함께 제시되는 사건도 있습니다. 상대방이 “이 계정은 피의자가 사용하는 계정이었다”고 진술한다면 두 사람이 실제 어떤 관계였는지, 과거 대화와 거래내역이 존재하는지, 진술이 IP·기기·계좌 등 객관적인 자료와 일치하는지를 확인합니다.

수사기관의 IP 분석에 이견이 있다면 단순히 “IP만으로는 아무것도 증명할 수 없다”고 대응하는 것도 적절하지 않을 수 있습니다. 실제로 다른 증거들이 함께 확보되어 있다면 전체 증거관계를 검토해야 하기 때문입니다.

반대로 IP가 피의자의 회선이라는 이유만으로 해당 계정의 모든 활동을 피의자의 행위라고 전제하는 것 역시 신중해야 합니다. 어떤 시점의 어떤 접속이 문제되고 그 접속을 특정 기기와 사용자에게 연결하는 추가 자료가 무엇인지 구체적으로 나누어 볼 필요가 있습니다.

마약 사건에서 IP 추적 결과를 근거로 경찰·검찰 조사 또는 형사재판을 앞두고 있다면 조사 전에 문제된 접속일시와 회선 사용환경, 계정과 기기의 관계, 거래대금과 이동자료 등을 시간 순서대로 정리하는 것이 중요합니다. 저는 IP자료가 실제로 입증하는 범위와 추가적인 디지털·금융·오프라인 증거가 어떻게 연결되는지를 구분하여 수사와 재판에서 확인해야 할 쟁점을 검토하고 있습니다.

자주 묻는 질문

참고자료