상대방이 제출한 포렌식 보고서, 결론 문장부터 반박해도 될까

상대방이 포렌식 분석 보고서를 증거로 제출하면 대리인은 대개 결론부터 읽습니다. "해당 파일이 외부 저장매체로 반출된 것으로 확인된다"와 같은 문장이 있으면 반박 논리도 그 문장을 중심으로 세우게 됩니다.

그런데 결론 문장은 수집, 보관, 분석이라는 앞 단계가 모두 적절했다는 전제 위에 서 있습니다. 전제가 맞지 않으면 결론도 그대로 받아들일 수 없습니다. 기술 검토는 결론이 아니라 그 앞 단계에서 시작합니다.

해시값이 기재돼 있으면 무결성 검토는 끝난 것일까

디지털 증거에서는 수집한 사본이 원본과 같고 이후 변경되지 않았다는 점, 곧 동일성과 무결성이 증거능력 판단의 기본 쟁점입니다. 형사소송법 제313조도 작성 문서의 성립 진정을 디지털포렌식 자료나 감정 등 객관적 방법으로 증명할 수 있다고 정하고 있어, 포렌식 자료의 신뢰성은 형사 절차에서 직접 다루는 문제입니다.

보고서에는 대개 증거 이미지의 해시값이 적혀 있습니다. 해시값은 수집한 사본이 원본과 동일함을 확인하는 값으로, 내용이 한 비트만 달라져도 값이 달라집니다. 그래서 해시값이 있으면 문제가 없다고 보기 쉽습니다.

원본 매체에서 이미지를 만드는 수집 과정이 적절했는지는 해시값만으로 알 수 없습니다. 이 부분은 수집 기록으로 확인합니다. 원본 매체에 쓰기 방지 장치를 연결했는지, 원본과 이미지 양쪽에서 해시값을 계산해 비교했는지, 계산한 시각과 담당자가 기록돼 있는지를 봅니다.

분석 도구 이름과 버전이 적혀 있다고 분석 결과가 검증된 것은 아닙니다

보고서에는 "상용 포렌식 도구 ○○ 버전 ○○으로 분석하였다"는 문장이 들어갑니다. 도구를 사용했다는 사실과, 그 도구가 해당 자료를 정확히 해석했다는 사실은 별개입니다.

확인할 것은 두 가지입니다. 하나는 사용한 도구 버전이 해당 기기와 앱 버전의 저장 구조를 지원하는지입니다. 메신저나 앱 데이터는 앱이 업데이트되면 저장 구조가 바뀌기 때문에, 도구가 지원하지 않는 버전에서는 일부 항목이 빠지거나 다르게 표시될 수 있습니다. 다른 하나는 도구가 출력한 결과를 다른 방법으로 교차 확인했는지입니다. 원본 데이터를 직접 열어 대조했거나 다른 도구로 재분석한 기록이 있는지 확인합니다.

구분해서 읽을 표현이 하나 더 있습니다. 보고서가 "대화 내용을 확인하였다"고 쓴 경우, 수집한 데이터에서 내용을 읽어 낸 것인지 암호화된 데이터를 복호화한 것인지는 이 문장만으로 알 수 없습니다. 수집, 파싱(저장된 데이터를 항목별로 해석해 읽을 수 있게 만드는 처리), 복호화는 서로 다른 단계이므로 어느 단계까지 수행했는지 보고서에 적혀 있어야 합니다.

결론 문장의 '확인된다'가 가리키는 범위

같은 '확인된다'라도 보고서가 확인한 사실은 서로 다를 수 있습니다. 기술 검토에서 가장 먼저 표시해 두는 부분입니다.

외부 저장매체 연결 기록이 확인된다: 해당 장치가 연결됐다는 사실이며, 파일이 복사됐다는 뜻은 아닙니다.

파일이 존재한다: 파일이 그 위치에 있었다는 사실이며, 누가 열람했는지는 별도의 흔적이 있어야 판단할 수 있습니다.

삭제 흔적이 확인된다: 삭제됐다는 사실이며, 고의로 인멸했다는 사실과는 다릅니다.

시간 정보도 확인합니다. 보고서에 적힌 시각이 시스템 시간인지, 파일시스템 시간인지, 앱이 기록한 시간인지, 기준 시간대는 무엇인지가 표기돼 있어야 사건의 선후를 다툴 수 있습니다. 기기의 시계 설정이 실제와 달랐다면 기록된 시각이 모두 같은 방향으로 어긋납니다.

기술 검토를 의뢰하기 전에 요청할 자료

기술 검토는 보고서만으로도 시작할 수 있습니다. 아래 자료가 있으면 확인할 수 있는 범위가 넓어집니다. 상대방에게 제출을 요구할 수 있는지는 사건 단계와 법원의 판단에 따르므로 별도로 검토합니다.

1. 수집 확인서와 작업 기록

원본 매체의 종류와 일련번호, 수집 일시, 담당자, 쓰기 방지 장치 사용 여부가 기록된 문서입니다.

2. 해시값 검증 기록

수집 시점의 값과 분석 시점의 값이 같은지 확인할 수 있는 기록입니다.

3. 사용 도구와 버전, 분석 로그

어떤 도구가 어떤 버전으로 어떤 항목을 처리했는지, 오류나 누락 항목이 있었는지 확인합니다.

4. 원본 매체의 보전 상태

원본이 그대로 보관돼 있으면 필요한 경우 다시 수집해 보고서 내용과 비교할 수 있습니다.

수집 기록, 도구 검증, 결론 표현의 범위, 시간 정보. 이 네 곳을 확인하면 보고서에서 다툴 수 있는 부분과 다투기 어려운 부분이 구분됩니다. HM ADFS는 포렌식 분석 보고서의 기술 검토를 수행하며, 민간기업 최초 KOLAS 국제공인 1호로서 공인 성적서도 발행합니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.