디지털 증거 해시값, 수사와 재판에서 준비해야 할 해시값과 보관 연속성의 의미

해시값은 데이터의 동일성을 확인하는 수단 중 하나입니다

디지털포렌식이 이루어지는 형사사건에서는 수사기록이나 포렌식 보고서에 해시값이 기재되어 있는 경우가 있습니다. 해시값은 일정한 알고리즘을 이용해 디지털 데이터로부터 산출한 값으로, 동일한 데이터인지 확인하는 데 활용됩니다.

예를 들어 휴대전화나 저장장치에서 데이터를 복제한 뒤 최초 확보한 데이터와 포렌식 과정에서 사용되는 데이터의 해시값을 비교하는 방식으로 동일성 여부를 확인할 수 있습니다. 데이터 내용에 변화가 발생하면 산출되는 값 역시 달라질 수 있기 때문에 디지털 증거의 변경 여부를 점검하는 기술적 수단으로 의미가 있습니다.

다만 사건에서 단순히 “해시값이 일치한다”는 설명만 확인해서는 부족할 수 있습니다. 어떤 대상에 대한 해시값인지부터 명확히 해야 하기 때문입니다.

저장매체 전체의 이미지 파일에 대한 값인지, 휴대전화에서 추출한 데이터 묶음에 대한 값인지, 특정 개별 파일에 대한 값인지에 따라 해시값이 의미하는 범위가 달라질 수 있습니다. 따라서 수사기록에 여러 개의 해시값이 등장한다면 각각 어느 단계에서 어떤 데이터에 대해 생성된 값인지를 구분해 볼 필요가 있습니다.

해시값과 함께 압수부터 분석까지의 보관 연속성을 확인해야 합니다

형사재판에서 디지털 증거가 사용되려면 수사기관이 확보한 자료와 법정에서 증거로 제시되는 자료 사이의 동일성과 신뢰성을 확인하는 과정이 중요합니다. 디지털 데이터는 복사와 이동이 쉽고 외관만으로 변경 여부를 파악하기 어려울 수 있기 때문에 수집·복제·분석 과정에 대한 기록이 중요한 의미를 갖습니다.

이와 관련하여 실무에서는 증거물이 최초 확보된 이후 누가 보관했고, 언제 누구에게 전달되었으며, 어떤 분석을 위해 사용되었는지와 같은 일련의 취급과정을 확인하게 됩니다. 흔히 말하는 보관 연속성은 이러한 증거의 확보·보관·인계·분석 과정이 끊김 없이 설명될 수 있는지를 살펴보는 의미로 이해할 수 있습니다.

예를 들어 압수 당시 저장매체와 포렌식 분석에 사용된 저장매체 사이의 관계가 명확한지, 복제본을 만든 뒤 원본이 어떻게 봉인·보관되었는지, 분석본이 언제 생성되었고 누가 접근했는지 등이 확인 대상이 될 수 있습니다.

해시값이 이러한 과정을 기술적으로 확인하는 중요한 자료가 될 수 있지만 보관 연속성 전체를 대신하는 것은 아닙니다. 동일한 해시값이 확인되더라도 그 값이 어느 단계의 어떤 데이터에 대한 것인지 불분명하다면 실제 증거의 취급과정을 별도로 확인해야 할 수 있습니다.

반대로 인계기록의 일부 기재가 충분하지 않다는 사정만으로 디지털 증거 전체가 곧바로 배제된다고 단정할 수도 없습니다. 해시값과 포렌식 보고서, 압수조서, 증거물 관리자료 등 다른 자료를 통해 동일성과 취급과정이 확인되는지를 종합적으로 살펴봐야 합니다.

오창훈 변호사는 해시값이 생성된 단계와 증거의 이동과정을 함께 확인합니다

안녕하세요. 형사전문변호사 오창훈입니다.

제가 디지털 증거가 핵심인 사건을 검토할 때에는 포렌식 보고서에 해시값이 적혀 있다는 사실만으로 검토를 끝내지 않습니다. 원본 저장매체가 확보된 시점부터 실제 재판에 제출된 파일이 만들어질 때까지 데이터가 어떠한 과정을 거쳤는지를 순서대로 확인합니다.

첫 번째는 원본 저장매체의 특정입니다. 휴대전화라면 제조사와 모델, 식별정보 등 기록상 특정자료를 확인하고 컴퓨터나 USB·외장하드라면 어떤 저장장치가 실제 압수되었는지를 살펴봅니다.

여러 대의 휴대전화나 저장장치가 동시에 압수된 사건에서는 각각의 증거물 번호와 포렌식 결과가 정확히 연결되어 있는지도 확인해야 합니다. 어느 기기에서 발견된 파일인지가 불명확하면 해당 자료와 피의자 사이의 관계를 판단하는 데에도 영향을 줄 수 있습니다.

두 번째는 데이터 확보 방식입니다. 저장매체 전체를 포렌식 이미지로 복제한 것인지, 휴대전화에서 일정한 방식으로 데이터를 추출한 것인지, 특정 파일만 선별하여 확보한 것인지를 확인합니다.

이 구분은 해시값의 의미를 이해하는 데 중요합니다. 전체 이미지의 해시값과 개별 파일의 해시값은 각각 확인하는 대상이 다르기 때문에 수사기관이 제시한 값이 무엇의 동일성을 뒷받침하는지를 정확히 살펴봐야 합니다.

세 번째는 해시값 산출 시점입니다. 최초 복제 직후 산출한 값인지, 분석용 복제본을 만들면서 다시 산출한 값인지, 최종적으로 증거자료를 제출하면서 특정 파일에 대해 계산한 값인지를 구분합니다.

여러 단계의 해시값이 기록되어 있다면 각 값이 서로 비교 가능한 동일한 대상을 기준으로 한 것인지도 확인합니다. 서로 다른 범위의 데이터를 대상으로 산출한 값을 단순히 비교해서는 의미를 정확히 파악하기 어렵기 때문입니다.

네 번째는 원본과 분석본의 구분입니다. 디지털포렌식에서는 원본 저장매체의 상태를 보존하면서 복제하거나 추출한 데이터를 대상으로 분석하는 방식이 사용될 수 있습니다. 이때 실제 검색·복구·분류 작업이 어느 데이터에 대해 이루어졌는지 살펴봅니다.

다섯 번째는 보관과 인계기록입니다. 증거물이 최초 압수된 이후 어느 기관과 담당자가 보관했는지, 포렌식 분석을 위해 언제 이동했는지, 분석 이후 다시 어떻게 보관되었는지를 기록과 대조합니다.

증거물 봉인 여부나 인계서, 압수목록, 포렌식 작업기록 등이 있다면 서로 날짜와 증거물 번호가 맞는지도 확인합니다. 기록 사이에 차이가 있다면 그것이 단순한 기재상의 문제인지 실제 증거의 동일성이나 취급과정과 관련된 문제인지 구분해야 합니다.

여섯 번째는 분석 과정에서 만들어진 새로운 자료입니다. 수사기관이 원본 데이터에서 특정 메신저 대화나 사진, 문서 등을 선별하여 별도의 파일이나 출력물로 만들었다면 그 자료가 원본의 어느 위치에서 추출되었는지를 확인할 필요가 있습니다.

예를 들어 법정에 제출된 캡처 이미지나 대화내용 출력물이 원본 휴대전화 자체와 동일한 형태의 자료는 아닐 수 있습니다. 따라서 해당 자료가 어떤 프로그램과 절차를 통해 추출·변환되었고 원본 데이터와 어떻게 연결되는지를 확인합니다.

일곱 번째는 삭제파일이나 복구자료입니다. 삭제된 데이터를 포렌식으로 복구한 사건에서는 단순히 해시값이 존재한다는 사실뿐 아니라 어느 저장영역에서 어떤 방식으로 복구되었는지, 파일이 완전한 상태인지 일부만 남아 있는지 등을 함께 살펴봐야 합니다.

해시값은 데이터의 동일성을 확인하는 자료이지 그 파일을 누가 작성했는지, 누가 저장하거나 삭제했는지까지 자동으로 증명하는 것은 아닙니다. 따라서 파일의 사용자 귀속이 문제된다면 계정정보와 파일경로, 메타데이터, 로그인 기록 및 다른 디지털 자료를 추가로 확인해야 합니다.

여덟 번째는 해시값이 일치하지 않는 경우입니다. 기록상 동일한 데이터여야 하는데 해시값이 서로 다르다면 곧바로 결론을 내리기보다 먼저 비교 대상이 실제로 동일한 범위인지 확인해야 합니다. 데이터 추출범위나 파일형식이 달라 서로 다른 값이 생성된 것인지, 실제 데이터 변경과 관련된 것인지를 기술자료와 함께 살펴볼 필요가 있습니다.

반대로 해시값이 일치하는 경우에도 그것만으로 해당 파일의 내용이 범죄사실을 증명한다는 의미가 되는 것은 아닙니다. 해시값은 주로 데이터의 동일성과 변경 여부를 확인하는 역할을 하므로 파일의 작성자와 의미, 사건과의 관련성은 별도의 증거를 통해 판단해야 합니다.

수사기관에서 “해시값이 동일하므로 문제가 없다”고 설명하는 사건이라면 어떤 데이터와 어떤 데이터를 비교한 것인지부터 확인하는 것이 중요합니다. 포렌식 보고서의 해시값과 압수조서, 분석보고서, 증거목록을 서로 연결하여 살펴보면 각 값의 의미를 보다 구체적으로 파악할 수 있습니다.

디지털 증거를 토대로 경찰·검찰 조사 또는 형사재판을 앞두고 있다면 해시값 자체만 다투기보다 원본 저장매체의 확보, 복제·추출, 분석, 보관과 법정 제출까지의 전체 과정을 정리할 필요가 있습니다. 저는 해시값이 어느 단계의 동일성을 뒷받침하는지와 증거의 보관·인계 과정이 기록상 어떻게 이어지는지를 구분하여 디지털 증거의 신뢰성과 사건에서의 의미를 검토하고 있습니다.

자주 묻는 질문

참고자료