IP주소 증거, 절차와 대응에서 확인해야 할 IP의 한계와 추가 보강자료

IP주소가 일치한다는 사실과 실제 사용자를 특정하는 것은 구분해야 합니다

인터넷을 이용한 범죄에서는 서비스 사업자나 통신사업자가 보유한 접속기록을 통해 특정 시각에 사용된 IP주소가 확인되는 경우가 있습니다. 수사기관은 이러한 자료를 토대로 해당 IP가 어느 인터넷 회선에 할당되었는지 확인하고 가입자나 사용장소를 추적할 수 있습니다.

예를 들어 범죄에 사용된 것으로 의심되는 계정이 특정 주택의 인터넷 회선에서 접속한 기록이 반복적으로 확인된다면 수사에서 중요한 단서가 될 수 있습니다. 그러나 그 주택의 인터넷 가입자 명의가 피의자라는 사실만으로 해당 접속을 모두 피의자가 직접 했다고 단정할 수 있는 것은 아닙니다.

하나의 공유기에는 여러 대의 휴대전화, 컴퓨터, 태블릿, 스마트기기가 동시에 연결될 수 있고 가족이나 동거인, 직원 등이 하나의 인터넷 회선을 함께 사용하는 경우도 있기 때문입니다.

사업장이나 숙박업소, 카페, 공용 와이파이처럼 여러 사람이 동일한 네트워크를 이용하는 환경에서는 IP주소가 가리키는 장소와 실제 사용자를 더욱 신중하게 구분해야 합니다.

반대로 IP주소뿐 아니라 해당 시간에 피의자 소유 기기에서 동일 계정 로그인 흔적이 발견되고 브라우저 기록, 메시지, 파일, 결제자료 등이 함께 확인된다면 사용자를 특정하는 근거는 보다 강해질 수 있습니다.

접속시각과 회선정보가 정확해야 다른 자료와 의미 있게 연결할 수 있습니다

IP주소를 분석할 때에는 숫자 형태의 주소 자체보다 그 주소가 어느 시점에 누구에게 할당되어 있었는지가 중요합니다. 동일한 IP주소가 항상 동일한 가입자에게 영구적으로 사용된다고 단정할 수 없기 때문입니다.

통신환경에 따라 IP주소가 변경될 수 있으므로 서비스 사업자가 기록한 접속시각과 통신사업자가 보유한 당시 할당정보를 정확하게 대조해야 합니다. 날짜만 일치시키는 것이 아니라 가능한 범위에서 시·분·초 단위의 기록과 자료의 기준시간을 함께 확인할 필요가 있습니다.

특히 해외 서비스나 여러 서버에서 확보한 자료를 비교하는 경우 각 기록에 표시된 시간이 한국시간인지 다른 표준시간인지도 확인해야 합니다. 시간대를 잘못 해석하면 실제 인터넷 회선 할당내역이나 다른 객관자료와 접속기록이 어긋나 보일 수 있습니다.

형사절차에서는 전자정보를 수집할 때 사건과 관련된 정보인지와 어떠한 범위의 자료를 확보했는지도 검토 대상이 될 수 있습니다. 현행 형사소송법에는 사건과 관계가 있다고 인정되는 전자정보의 보전 등을 요청할 수 있는 절차가 마련되어 있으므로 실제 사건에서는 어떤 자료를 어떤 기간과 범위에서 확보했는지 확인하는 과정도 필요합니다.

다만 적법하게 IP자료가 확보되었다고 하더라도 그것은 증거수집 절차에 관한 문제이고, 그 자료가 실제 사용자를 어느 정도까지 특정하는지는 별도의 증명력 문제입니다. 따라서 수집절차와 자료의 의미를 구분하여 접근해야 합니다.

오창훈 변호사는 IP를 출발점으로 실제 사용자와 범죄행위를 연결하는 자료를 비교합니다

안녕하세요. 형사전문변호사 오창훈입니다.

제가 IP주소가 중요한 증거로 제시된 사건을 검토할 때에는 먼저 “IP가 집에서 나왔으니 본인이 사용했다”는 식으로 단순하게 접근하지 않습니다. 정확한 접속시각과 회선의 이용환경을 파악하고 그 시점에 실제 어떤 기기와 계정이 사용되었는지를 단계적으로 확인합니다.

첫 번째는 IP자료의 출처입니다. 어떤 사이트나 서비스의 서버에서 확보된 접속기록인지, 해당 기록에 로그인 계정이나 접속시각, 기기정보가 함께 남아 있는지 확인합니다.

단순히 수사보고서에 IP주소 한 줄만 기재되어 있다면 원래 사업자가 제공한 자료에 어떠한 항목이 포함되어 있었는지도 살펴볼 필요가 있습니다.

두 번째는 접속시각입니다. 특정 IP가 2026년 어느 날 사용되었다는 정도가 아니라 실제 문제된 행위가 이루어진 정확한 시간과 통신사업자의 할당자료가 맞는지를 확인합니다.

IP주소가 시점에 따라 변경될 수 있는 환경이라면 다른 날짜에 같은 IP를 사용했다는 사실만으로 문제된 시점의 사용자를 판단해서는 안 됩니다. 해당 접속시각에 실제 어느 회선에 할당되어 있었는지를 기준으로 봐야 합니다.

세 번째는 회선 가입자와 실제 사용자를 구분하는 것입니다. 인터넷요금을 피의자가 납부하고 있다는 사실은 해당 장소와 회선을 확인하는 자료가 될 수 있지만 그 자체로 모든 인터넷 사용의 행위자를 특정하는 것은 아닙니다.

가족이 함께 사는 주거지라면 몇 명이 공유기를 사용했는지, 각자가 보유한 컴퓨터와 휴대전화가 무엇인지 확인할 수 있습니다. 회사나 사업장이라면 직원들이 동일한 네트워크를 함께 사용하는 구조인지도 살펴봐야 합니다.

네 번째는 공용 네트워크인지 여부입니다. 카페나 숙박업소, 독서실, 회사 공용망 등 불특정 또는 다수의 사람이 접속할 수 있는 장소라면 IP주소만으로 한 명을 특정하는 데에는 추가적인 자료가 필요할 수 있습니다.

이 경우 CCTV나 출입기록, 좌석정보, 와이파이 접속기록 등 해당 시간에 실제 누가 현장에 있었는지를 확인할 수 있는 자료와 비교할 수 있습니다.

다섯 번째는 디지털포렌식입니다. IP가 피의자의 주거지에서 확인되었다면 압수된 컴퓨터나 휴대전화에 문제된 사이트 또는 계정의 접속흔적이 존재하는지 확인합니다.

브라우저 방문기록, 쿠키, 저장된 로그인정보, 앱 사용기록, 다운로드 파일 등이 IP자료와 결합되면 실제 사용자를 특정하는 데 의미 있는 자료가 될 수 있습니다.

반대로 회선 IP만 확인될 뿐 피의자의 기기에서는 문제된 계정이나 사이트와 관련된 흔적이 발견되지 않았다면 수사기관이 어떠한 다른 자료를 근거로 사용자를 특정하고 있는지 살펴봐야 합니다.

여섯 번째는 계정정보입니다. 문제된 사이트 계정이 피의자의 이메일이나 휴대전화번호로 가입되어 있는지, 비밀번호 변경과 로그인 알림이 어떤 기기로 전송되었는지 등을 확인합니다.

계정 명의가 피의자라는 사실 역시 중요한 정황이 될 수 있지만 명의와 실제 사용자가 다른 경우도 있을 수 있으므로 계정의 생성·사용과정을 함께 살펴야 합니다.

일곱 번째는 여러 장소에서의 로그인기록입니다. 동일한 계정이 피의자의 집, 직장, 휴대전화 통신망 등 서로 다른 장소에서 반복적으로 로그인된 기록이 있다면 전체 패턴을 확인합니다.

하나의 IP자료보다 여러 시점에서 동일 계정과 피의자의 생활동선이 반복적으로 겹치는 경우에는 사용자 특정과 관련한 증거관계가 달라질 수 있습니다.

반대로 문제된 접속 한 번만 피의자의 주거지 IP와 연결되고 다른 로그인에서는 전혀 다른 장소나 기기가 확인된다면 그 차이가 무엇을 의미하는지 살펴봐야 합니다.

여덟 번째는 휴대전화 통신망입니다. 스마트폰은 와이파이뿐 아니라 이동통신망을 이용할 수 있으므로 문제된 시각에 어느 네트워크로 접속했는지를 확인합니다.

집에 있었다는 이유만으로 반드시 집 와이파이를 사용했다고 볼 수는 없고, 반대로 집 IP가 기록되었다면 해당 기기가 실제 와이파이에 연결되어 있었는지 확인할 자료가 있는지도 살펴봅니다.

아홉 번째는 메신저와 통화내용입니다. 문제된 인터넷 활동의 직전이나 직후에 관련 상대방과 메시지를 주고받거나 통화한 기록이 있다면 IP 접속기록과 시간을 비교할 수 있습니다.

예를 들어 특정 사이트에서 거래가 이루어진 직후 같은 거래와 관련된 메시지를 피의자의 휴대전화에서 보낸 기록이 존재한다면 수사기관은 이러한 자료들을 서로 연결하여 판단할 수 있습니다.

열 번째는 결제와 자금 흐름입니다. 인터넷 계정에서 유료결제가 이루어졌다면 사용된 카드나 계좌, 간편결제 수단이 누구의 것인지 확인합니다.

가상자산이나 계좌이체가 관련된 사건이라면 입·출금 시각이 IP 접속시각과 맞는지, 해당 지갑이나 계좌를 실제 누가 관리했는지도 확인해야 합니다.

열한 번째는 위치와 이동자료입니다. CCTV, 주차기록, 교통카드, 차량 운행자료 등으로 피의자가 당시 어디에 있었는지가 확인된다면 IP가 가리키는 장소와 비교할 수 있습니다.

다만 휴대전화 위치정보 역시 오차가 있을 수 있으므로 위치자료 하나만으로 결론을 내리기보다는 여러 자료를 함께 비교하는 것이 필요합니다.

열두 번째는 IP주소와 범죄행위 자체를 구분하는 것입니다. 피의자가 해당 인터넷 회선을 사용했다는 사실이 인정되더라도 그것만으로 문제된 게시글 작성, 불법거래, 계정 접속 또는 파일 전송을 실제 피의자가 했다는 점까지 자동으로 연결되는 것은 아닙니다.

해당 사이트의 로그인기록과 작성기록, 포렌식에서 발견된 파일, 메시지와 자금 흐름 등 범죄사실 자체를 뒷받침하는 추가 자료가 있는지를 확인해야 합니다.

반대로 IP주소만의 한계를 강조하면서 다른 보강증거를 검토하지 않는 대응도 적절하지 않을 수 있습니다. 피의자 기기에서 관련 계정과 파일이 발견되고 메시지와 결제자료까지 동일한 시각에 연결된다면 전체 증거를 기준으로 사건을 검토해야 합니다.

열세 번째는 압수·수색과 전자정보 확보 범위입니다. 수사기관이 IP 추적을 계기로 휴대전화나 컴퓨터를 압수·수색하였다면 영장에 기재된 범죄사실과 대상, 확보된 전자정보의 범위를 확인합니다.

디지털 증거는 사건과 관련된 범위에서 수집·분석되어야 하므로 문제된 IP자료가 어떤 수사절차를 거쳐 다른 디지털 증거의 확보로 이어졌는지도 함께 검토할 수 있습니다.

열네 번째는 경찰 조사 전 진술 정리입니다. 인터넷 사용기록은 상당한 시간이 지난 뒤 문제되는 경우가 있어 피의자가 특정 날짜에 어떤 기기를 사용했는지 정확히 기억하지 못할 수 있습니다.

이때 기억이 없는데도 “그 시간에는 반드시 집에 없었다”거나 “그 컴퓨터는 절대 사용하지 않았다”고 단정적으로 진술하기보다는 객관자료로 확인되는 사실과 직접 기억하는 내용을 구분해야 합니다.

IP주소가 주요 증거인 사건으로 경찰·검찰 조사 또는 형사재판을 앞두고 있다면 단순히 IP가 자신의 명의 회선인지 여부에만 집중하기보다 정확한 접속시각, 공동 사용환경, 실제 사용기기, 계정 로그인, 포렌식과 메시지·결제·위치자료를 함께 정리할 필요가 있습니다. 오창훈 형사전문변호사인 저는 IP주소가 확인하는 사실의 범위를 먼저 구분하고 실제 사용자와 문제된 범죄행위를 연결하는 추가 보강증거가 어느 정도 존재하는지를 종합적으로 살펴보고 있습니다.

자주 묻는 질문

참고자료