<10문10답>증거수집→복구→정리…범죄 실마리 푸는 ‘디지털 포렌식’

클릭하시면 더 큰이미지를 보실 수 있습니다

증거수집→복구→정리 ‘3단계’ 진행…‘데이터 無변조’ 입증 필요
통신·대화 내용 넘어 동선까지 파악…사진통해 범죄정황도 추정

공청회 뜻하는 라틴어서 유래
객관성·신뢰도 제고가 목적

기기암호화 등 보안기능 향상
아이폰은 ‘백도어’ 잠가둬
비번 10회오류땐 데이터 삭제
창과 방패 싸움 갈수록 진화

‘백원우별동대’ 스마트폰 압수
‘靑 하명’ 의혹 풀 열쇠 될듯
PC 넘어 스마트폰 비중 커져
증거분석 4년새 3.5배로 늘어

‘범죄는 흔적을 남긴다’는 수사관들의 격언은 단순히 범죄 현장에만 국한된 얘기가 아니다. 정보통신기술(ICT)의 발달로 피의자가 소지한 각종 전자 기기에도 범죄의 흔적이 티끌만큼이라도 남아 있기 마련이다. 피의자 등 범죄 관련자들의 모의 정황을 담은 통신·대화 내용은 물론 그들의 동선까지 스마트폰 기록을 통해 찾아낼 수 있다. 무심코 피의자가 SNS에 남긴 글이나 사진조차 범죄의 정황을 추정케 할 수 있으며, 인터넷 클라우드 서버에 남아 있는 각종 자료도 범죄 정황을 밝히는 단서가 된다. 이런 흔적을 뒤쫓는 작업인 ‘디지털 포렌식(digital forensic)’은 현대적 수사 기법의 최첨단에 서 있다. 그러나 수사기관의 추적을 차단하고자 하는 이용자들의 보안 욕구도 만만치 않아 각종 디바이스 제조 업체들은 기기 암호화 등 보안 기능을 항상 최고 수준으로 탑재해 수사기관을 애먹이기도 한다. 그러나 아직까지 이런 창과 방패의 싸움에서 수사기관이 패배를 맛본 적은 없는 것으로 기록돼 있다. 최근 논란이 된 청와대 민정비서관실 특별감찰반 출신 검찰 수사관 A 씨의 스마트폰도 결국 보안의 벽이 허물리고 청와대 하명 수사 등 각종 의혹을 푸는 열쇠가 될 것으로 기대되는 것도 이 때문이다.


① 포렌식이란 무엇인가

‘디지털 포렌식’은 범죄를 밝혀내기 위한 수사에 쓰이는 모든 정보의 복구와 암호 해독을 비롯해 수사와 관련한 과학적 수단과 방법, 기술 등을 통칭하는 개념이다. ‘포렌식(forensic)’의 어원은 공청회를 뜻하는 라틴어 ‘forensis’에서 유래했다. 그만큼 공개적인 자리에서 누구나 인정할 수 있는 ‘객관성’과 ‘신뢰도’를 높이는 것이 포렌식을 실시하는 주된 목적이라는 뜻이다. 디지털 포렌식은 증거 수집과 복구, 정리 등 세 단계를 거쳐 진행된다. 원본 데이터를 프로그램으로 복사하는 ‘증거 수집’ 단계에서는 데이터 변조가 일어나지 않았다는 점을 입증해야 한다. 증거 수집이 끝나면 사라진 데이터를 ‘복구’하고, 증거들을 보기 쉽게 ‘정리’한다. 0과 1로 된 컴퓨터 언어(이진법)를 인간이 쓰는 언어로 바꾸는 과정도 포함된다. 포렌식을 통해 추출된 데이터 중법적 증거로 사용할 만한 자료를 선별하는 것도 빼놓을 수 없다.


② 포렌식의 대상

디지털 포렌식 중 가장 자주 언급되는 것이 개인용 및 업무용 컴퓨터(PC) 포렌식이다. 각종 디스크 드라이브, SSD, USB 등을 분석해 자료를 복원하는 일련의 절차를 일컫는다. 방대한 자료가 저장돼 있고, PC를 사용하며 남긴 기록들이 모두 흔적이 되는 탓에 주요 범죄를 규명할 때 반드시 거치는 절차기도 하다. 최근 들어서는 스마트폰의 중요성이 나날이 커지고 있다. ‘현대인의 또 다른 지문’으로 불릴 만큼 현대인들의 스마트폰 사용 의존도가 높아진 데다가, 이제는 웬만한 규모의 자료도 스마트폰에 모두 담을 수 있을 만큼 저장 공간 자체가 커졌기 때문이다. 또 모바일 포렌식은 스마트폰 등에 내장된 통신시스템을 대상으로 한다. 최근에는 컴퓨터나 스마트폰 등 각종 디바이스가 인터넷으로 연결돼 있어 각종 클라우드 서버에 저장된 자료나 기록도 포렌식의 대상이 된다.

클릭하시면 더 큰이미지를 보실 수 있습니다 지난 11월 19일 검찰 관계자들이 ‘청와대 감찰무마 의혹’의 핵심인물인 유재수 전 부산시 경제부시장의 사무실을 압수수색한 후 확보된 자료를 박스에 담아 옮기고 있다. 뉴시스

③ ‘하명수사 의혹’ 모바일 포렌식

최근 스마트폰 포렌식을 두고 검경이 마찰을 보이고 있는 것은 청와대 민정비서관실 특감반, 이른바 ‘백원우 별동대’ 출신인 검찰 수사관 A 씨의 스마트폰 때문이다. A 씨는 지난 1일 김기현 전 울산시장에 대한 청와대 하명 수사 의혹과 관련해 검찰 참고인 소환을 불과 몇 시간 앞두고 극단적 선택을 한 것으로 파악되고 있다. 따라서 그의 사망 경위나 외부인과의 접촉 정황을 파악하기 위해 A 씨의 스마트폰을 분석해야 하지만 경찰은 그의 변사 사건 경위 수사를 위해, 검찰은 그가 연루됐을 가능성이 있는 하명 수사 의혹을 위해 제각기 A 씨의 스마트폰을 포렌식해야 한다고 다투고 있다. 현재 검찰이 법원의 압수수색 영장을 통해 A 씨 사망 현장에서 경찰이 수거한 그의 아이폰X 기종 스마트폰을 확보한 상태지만, 경찰은 이를 돌려받거나 포렌식 분석 내용을 공유 받기 위한 압수수색 영장을 두 차례나 역(逆) 신청했다가 검찰에 의해 반려됐다. 그러나 검찰 역시 아이폰X의 보안 기능을 뚫지 못해 아직 본격적인 포렌식에 착수하지 못한 상태다.


④ 대검찰청 NDFC란

검찰은 국민 안전과 인권 보장을 위해 2008년 국가디지털포렌식센터(NDFC)를 설립했다. 센터 내 부서는 총 5곳으로 과학수사기획관실, 법과학분석과, DNA 화학분석과, 디지털수사과, 사이버수사과 등이다. 한 해 예산은 200억 원 내외로 지난해 10월 기준 과학수사부 소속 155명이 NDFC에서 일하고 있다. 근무자는 센터장, 부센터장, 감정분석 등 업무에 대한 전문적 지식 또는 양성교육을 받은 감정관, 분석관 등으로 나뉜다. 센터의 원활한 업무수행을 위해 검사나 검찰 수사관이 배치되기도 한다. 센터장이나 부센터장은 검찰총장이 지명하게 돼 있다. 센터 업무는 문서감정이나 심리분석 외에도 멀티미디어 분석, 전자적 증거의 압수·분석·복원 지원 및 그와 관련된 업무, 사이버 범죄 수사 지원·분석 및 그와 관련된 업무, DNA·법화학·법생물학 관련 감정 감식·DNA-데이터베이스 업무 및 그와 관련된 업무를 맡고 있다.


⑤ 백도어란

각종 디지털 기기의 운영체제나 내부 저장 자료에 접근하기 위해서는 사용자가 설정한 보안 기능을 해제하고 메인 화면에서부터 관련 앱이나 저장 경로를 거치는 것이 통상적 과정이다. 그러나 기기 제조사들은 만약의 경우를 대비해 이 같은 정상적인 절차 없이 바로 기기 내부의 시스템이나 저장 자료에 접근할 수 있는 일종의 보안 허점을 남겨두기도 하는데, 이를 ‘백도어(Back Door)’라고 부른다. 즉, 백도어는 시스템 접근에 대한 사용자 인증 등 정상적인 절차를 거치지 않고 응용 프로그램 또는 시스템에 접근할 수 있도록 하는 프로그램이다. 경우에 따라서는 현장 서비스 기술자나 유지 보수 프로그래머가 사용할 목적으로 특수 계정을 허용하는 코드를 운영 체제나 응용 프로그램에 넣을 수도 있다. 그러나 애플이나 삼성전자 등 대형 메이커들은 이 같은 백도어의 존재나 설치에 대해 인정하거나 공개적으로 언급하지 않는 것이 통례다. 해커나 사이버테러 단체 등에 의해 악의적으로 이용될 수도 있기 때문이다. 혹은 범죄에 이용된 스마트 기기들에 대한 보안 기능 해제 요구를 수사기관으로부터 받는 경우를 대비해 제조사들이 이를 아예 설치하지 않는다는 설도 있다.


⑥ 아이폰, 과연 뚫을 수 있나

아이폰은 ‘백도어’ 등 보안 취약점을 단단히 걸어 잠가 비밀번호를 모르면 포렌식이 어려운 것으로 유명하다. 그 때문에 아이폰 기종은 각종 수사기관의 포렌식 과정에 있어 항상 난제로 떠오른다. 또 검찰 수사관 A 씨의 스마트폰 기종 역시 최첨단 보안기능이 탑재된 아이폰X 기종인 것으로 알려졌다.

A 씨의 스마트폰 잠금장치는 6자리 암호로 알려져 있다. 암호 설정에는 알파벳 대소문자와 숫자를 혼용할 수 있다. 외신 ‘워싱턴포스트’는 가능한 경우의 수가 약 568억 개에 달하며 이를 다 시도해 보는 데 144년이 걸린다고 분석하기도 했다. 게다가 아이폰은 비밀번호를 수차례 잘못 입력하면 다시 입력하기까지 대기시간이 길어지도록 설정돼 있다. 또 10회 이상 비밀번호를 틀리면 데이터가 모두 삭제되는 옵션이 있기도 하다. 이 때문에 비밀번호를 계속 입력하는 방식으로는 해제하기 어려울 것으로 보인다. 다만 과거 해외 수사기관에서 아이폰의 보안 기능을 해제한 사례가 있어 A 씨 아이폰의 보안 기능이 풀릴 가능성이 남아 있다.


⑦ 美의 아이폰 잠금 해제 사례

2015년 12월 미국 연방수사국(FBI)은 캘리포니아주 샌버너디노에서 발생한 무슬림 부부의 총기 난사 사건과 관련해 테러범의 아이폰 잠금을 해제하기 위해 제조사인 애플에 관련 기술 지원을 요청했지만 거절당했다. 그러나 FBI는 결국 이스라엘의 외부 업체 도움으로 해당 아이폰의 잠금화면을 해제한 것으로 알려졌으며, 당시 동원된 장비가 ‘셀레브라이트’라는 장비로 알려졌다. 영국의 BBC 방송은 FBI가 약 100만 달러를 업체 측에 지불했을 것이라고 보도하기도 했다. 그러나 FBI는 외부 업체의 도움이나, 그에 대한 대가 지불 등의 사실에 대해 공식적으로 인정한 바 없다. 다만 애플은 셀레브라이트의 아이폰 보안 기능 해제에 따라 보안 기능을 한층 강화하고자 노력하고 있는 것으로 알려졌으며, 이에 따라 FBI도 보안 기능 해제 기술 확보에 열을 올리고 있는 것으로 전해졌다.


⑧ 안드로이드폰의 보안 기능

아이폰 운영체제인 iOS의 보안 기능에 비해 구글의 안드로이드 OS를 기반으로 한 삼성전자의 갤럭시 등 안드로이드 스마트폰은 상대적으로 보안 기능이 약하다는 인식이 강하다. 애플이 스마트폰 운영체제와 스마트폰 기기 자체를 동시에 생산하는 회사인 반면, 구글은 운영체제만 만들어서 이를 스마트폰 제조사에 파는 형태이기 때문이다. 또 안드로이드 OS는 ‘오픈소스’로 애플처럼 폐쇄형이 아니라 소스 프로그램이 공개돼 있기 때문에 보안을 뚫기 쉬운 측면도 있었다. 그러나 구글은 보안에 대한 소비자들의 요구가 점점 커지면서 2016년 8월부터 비밀번호 기능을 기본 프로그램으로 내장하는 등 보안을 강화하기 시작했다. 대표적인 안드로이드 스마트폰인 삼성전자의 갤럭시 시리즈도 구글의 보안 강화 정책으로 갤럭시 노트7 및 갤럭시 S8 시리즈 이후부터는 보안이 한층 강화된 것으로 알려졌다.


⑨ 경찰 등의 디지털포렌식센터

경찰청은 지난달 8일 디지털포렌식센터를 새롭게 단장했다. 증거물 이동 동선에 따라 구획을 명확히 했으며 획득실 56㎡(17평), 참여실 30㎡(9평), 접수 및 전처리실 65㎡(20평), 증거물보관실 3㎡(1평) 등 154㎡(47평)로 기존보다 5배 가까이 방을 넓혔다. 경찰은 이같이 포렌식랩(LAB)을 만들면서 국내 수사기관 가운데는 처음으로 표준설계안을 만들기도 했다. 경찰청은 지난해 외부용역을 거쳐 접수실, 참여실, 전처리실 등 포렌식랩의 필수시설과 권장시설, 선택시설로 구분한 독자적인 표준설계안을 마련했다. 현재 서울지방경찰청과 경기북부청, 전북청, 제주청 4곳을 제외하고 대부분 지방청은 이 지침에 따라 표준화 설계를 완료한 상태다. 나머지 지방청들도 청사 신축과 병행해 표준화 포렌식랩을 구축할 예정이다. 최근엔 다른 수사기관에서는 경찰의 포렌식랩 표준설계안을 참고하기 위해 문의도 이어지고 있다고 한다. 한편 서울시 민생사법경찰단 역시 22일 전국 지방정부 최초로 디지털포렌식센터를 오픈한다. 서울시 디지털포렌식센터는 범죄에 쓰인 스마트폰, 컴퓨터, 태블릿PC 등 각종 디지털기기에서 삭제된 자료를 원상태로 복구해 증거자료를 확보하는 역할을 한다. 센터는 서울시청 남산별관에 자리 잡았으며 디지털데이터 분석 서버, 포렌식 소프트웨어, 디스크 복제기 등으로 구성된 분석실과 압수대상자의 참여권 보장을 위한 참관실로 구성됐다.


⑩ 국내 디지털 포렌식 건수는

최근 경찰청이 추경호 자유한국당 의원실에 제출한 자료에 따르면 경찰이 분석한 디지털 증거물은 매년 급증하고 있다. 2014년 1만4899건이었던 디지털 증거 분석 건수는 지난해 4만5103건으로, 4년 만에 세 배로 늘었다. 올해 1∼8월만 하더라도 3만8651건으로 지난해 수준을 가뿐히 넘어설 것으로 예상되고 있다. 유형별로 보면 전체 증거물 중 스마트폰 등 모바일 기기 분석 건수가 대다수를 차지해, 2014년 1만656건에서 2018년 3만6986건으로 3.5배로 증가했다. 스마트폰이 현대인들의 필수품으로 자리 잡은 만큼 증거로서의 수요 또한 크기 때문인 것으로 분석된다. PC, 노트북 등 컴퓨터 증거물 역시도 같은 기간 3079건에서 6239건으로 두 배 이상으로 증가했다.

송유근·김수현·서종민·김온유·최지영 기자 6silver2@munhwa.com