모든 범죄는 흔적을 남긴다. 수사 첫 단계는 현장 보존이다. 혈흔이나 체액 한 방울, 체모 1㎜라도 찾아내야 한다.
현대 사회에서는 그것 못지않게 중요한 증거가 하나 더 있다. 바로 디지털 흔적이다. 사건 현장 지문처럼 휴대폰, PC 등의 기록 데이터도 보존해야 한다. 디지털 세상에서는 '디지털 포렌식(digital forensics)'이 과학수사를 담당한다. 복구, 암호 해독 등 디지털 자료 보존을 위한 일련의 과정을 가리킨다.
며칠 전 검찰과 경찰이 희한하게 대립하는 모습이 노출됐다. 스스로 목숨을 끊은 청와대 민정비서관실 출신 수사관이 남긴 스마트폰(아이폰) 때문이었다. 먼저 서울동부지검이 지난 2일 수사에 필요하다며 압수 수색 영장을 발부받아 서울 서초경찰서에서 그 폰을 가져갔다. 그러자 4일 서초서가 "사망 경위를 확인하려면 폰이 필요하다"고 밝히며 압수 수색 영장을 신청했지만, 기각됐다. 검·경이 서로에 대해 압수 수색을 외치는 상황은 극히 이례적이다. 하루 24시간 연결돼 있는 세상에서 편리한 스마트폰이 사생활에서 차지하는 지분 또는 위협이 어느 정도인지 증명한 셈이다.
최순실 국정 농단에서도 조국 사태에서도 '디지털 포렌식'은 힘센 주인공으로 등장했다. 현재 검찰도 포렌식 작업으로 해당 수사관의 폰 잠금장치를 푸는 중이다. 데이터를 삭제해도 포렌식을 하면 소용이 없다거나, 개인 정보가 유출되기 쉽다는 등 소문이 무성하다. 언제, 어떤 기록까지 나오는지 '아무튼, 주말'이 직접 스마트폰을 맡겨 봤다. 복구 결과는? 담당 직원 앞에서 "부끄러우니 제발 거기서 멈춰 달라"는 하소연을 해야 했다.
디지털 포렌식이란
지난 3일 서울 서초구 '한국디지털포렌식센터' 사무실을 찾았다. 스마트폰을 건네며 근심했다. 내 인생의 블랙박스이기 때문이다. 낯부끄러운 무언가가 들통날 수도 있다. 협회 관계자는 "보안은 철저하고, 각계각층에서 소송 대비 등의 이유로 의뢰한다"고 했다. 분석이 끝나고 의뢰인에게 넘기는 즉시 자료를 파기한다는 각서도 썼다.
디지털 포렌식은 크게 세 단계를 거친다. 먼저 증거 수집. 원본 데이터를 프로그램으로 복사하는 작업으로, '이미징(imaging)'이라 불린다. 형사 사건 현장에서 지문을 채취하는 단계와 비슷하다. 데이터 변조가 일어나지 않았다는 무결성(integrity)을 입증하는 작업이다. 이 단계를 제대로 수행하지 않는다면 중요한 증거를 법적으로 인정받지 못할 수도 있다.
다음은 복구. 사라진 데이터의 조각을 맞춘다. 스마트폰은 숨어 있는 데이터를 스스로 삭제한다. 24시간 작동하는 탓에 메모리를 감당할 수 없기 때문이다. 3~4년 전만 해도 자체 삭제한 데이터는 복구가 상대적으로 쉬웠지만, 지금은 제조사가 보안을 위해 복원을 방해하는 코드를 입력한다. 복원 가능성은 말 그대로 '복불복'. 100% 가까이 되돌릴 수도 있지만 50~60%에 그치기도 한다. 대체로 3개월 안쪽이면 삭제된 내용을 살펴볼 수 있다. 각기 다른 3개 포렌식 프로그램으로 교차 분석해 최대한 복원한다.
마지막은 증거들을 보기 쉽게 정리하는 과정이다. 0과 1로 된 컴퓨터 언어를 인간의 언어로 바꾼다. 대부분 용량이 128GB를 넘겨 분류가 필요하다. 의뢰인과 상의해 법적 증거로 사용할 만한 자료를 선별한다. 보고서를 읽는 사람은 전문 용어에 익숙하지 않은 법관, 검사이기 때문에 알기 쉽게 풀어야 한다. 비용은 보고서까지 130만원 상당이다.
디지털 포렌식은 용량에 따라 다르지만 길게는 2주까지 걸린다. 수사기관에서는 먼저 스마트폰 암호를 풀기도 한다. 6자리 숫자로 된 아이폰은 암호를 몇 번 틀리면 대기 시간이 생긴다. 다섯 번 틀릴 때부터 1분을 기다리고, 그 뒤로 대기시간이 늘어나는 식이다. 특정 포렌식 도구를 이용하면 기다리는 시간을 없애고 연속으로 입력할 수 있다. 그럼에도 경우의 수는 560억 개가 넘기 때문에 운이 좋아도 3주는 걸린다. 한국디지털포렌식센터 관계자는 "아이폰 잠금은 FBI도 못 푼다는 소문이 있지만, 시간만 충분하다면 대부분 가능하다"고 했다.
스마트폰은 당신을 알고 있다
의뢰한 지 하루 만에 분석 결과를 받았다. 취재 일정이 촉박해 교차 검증을 거치지 않고, 보고서가 아닌 전체 기록만 받았다. 교차 분석을 거쳐야 생성되는 데이터도 있다고 한다. 분석 자료는 메시지와 통화 기록뿐 아니라 지도 앱, 공용 인터넷 공간(클라우드) 사용 내역까지 스마트폰의 모든 것을 담고 있었다. 오전 일어난 알람 기록부터 잠들기 전 누워서 접속한 인터넷 사이트까지, 사용한 앱이며 통화·메시지 등의 이용 시간이 시·분·초까지 다 나왔다. 당장 누군가에게 신문받는다 해도 기억해내기 어려운 것들이었다.
이를테면 그 분석을 토대로 3개월 전인 9월 7일을 들여다볼 수 있다. 토요일이던 그날 아침은 실수로 출근 알람을 꺼놓지 않아 오전 7시 30분에 일어났다. 침대에 누운 채 휴대폰으로 인터넷 사이트를 돌아다녔다. '아빠가 개목걸이를 찬 이유' 등 유머 게시물을 봤다. 태풍 '링링'이 북상 중이었고 친구들과 저녁 약속이 있는 날이었다. 단체 채팅방에선 '태풍이 오는데 만날 수 있을까?'라는 걱정이 오갔다. 저녁 먹으러 가기 전엔 기업 홍보팀, 동네 치과 직원 등과 통화했다. 종로에서 저녁을 먹고 을지로로 이동하며 지도 앱으로 검색하고 택시를 불렀다. 이 밖에도 인스타그램, 유튜브 등에서 본 사진이 휴대폰에 자동 저장돼 있었다. 오후 11시 "잘 들어가라"는 단체 채팅방 메시지로 하루가 끝났다.
친구들끼리 나눈 욕설부터 인터넷 쇼핑 구매 내역까지 나오는 셈이다. 설명하며 분석 내용을 보여주는 직원 앞에서 고개를 들기 어려웠다. 나도 모르게 얼굴이 붉어졌다. "대충 알겠다. 창피하니 집에 가서 보겠다"고 했다.
벌 받은 정준영, 응당했지만 무섭다
지난달 29일 가수 정준영이 집단 성폭행 혐의로 징역 6년을 선고받았다. 경찰 수사는 그가 복구를 의뢰한 포렌식 업체가 단체 채팅방 메시지를 유출하면서 시작됐다. 공익적으로 충분히 알려야 할 만한 내용이었다지만, 3년 전 대화가 고스란히 공개됐다는 점에서 충격과 공포도 적지 않았다. 서울 가산디지털단지의 한 포렌식 업체 관계자는 "정준영 사건은 의사가 히포크라테스 선서를 어기고 환자의 비밀을 누설한 것과 같다"며 "의사가 그랬다면 자격 정지를 당했겠지만, 해당 업체는 서초동에서 버젓이 영업 중"이라고 했다.
사설 업체는 신뢰성에 한계가 있다. 복구 과정에서 기술자가 휴대폰을 들여다볼 수밖에 없기 때문이다. 정준영의 메시지도 이 과정에서 외부로 퍼져 나갔다. '디지털 포렌식'이라는 이름을 내건 업체는 전국에 2000곳이 넘는다. 흔한 '비밀 유지 서약서'조차 쓰지 않는 곳이 허다하다. 본인 명의의 폰만 복구하는 게 원칙이지만, 대부분 영세한 업체는 웃돈을 얹어주면 타인의 폰도 비밀리에 복구해준다. 일부 업체는 그 과정에서 발견한 사생활 정보를 빼돌렸다가 시간이 지난 뒤 다른 불법 집단으로 위장해 돈을 요구하기도 한다. 자격증도 민간에서 내주는 것일 뿐, 3~4개월만 시간을 투자하면 명함에 한 줄 적을 수 있다.
전문가들은 업체의 전문성을 검증할 필요가 있다고 조언한다. 변호사와 같이 업체를 방문해 수사기관과 같은 도구를 사용하는지, 법적 절차를 아는지 등을 따져봐야 한다. 국가적 표준이 마련돼야 한다는 지적도 나온다. 18년간 경찰청에서 사이버수사관으로 근무한 한국디지털포렌식협회 최운영 대표는 "필요성은 커지는데 전문 인력은 부족하니 무자격 업체가 난립하는 상황"이라며 "직업윤리를 갖춘 전문가를 길러내는 체계가 필요하다"고 했다.
그럼에도 개인 정보 유출이 우려된다면 어떻게 하는 게 좋을까. 틈틈이 휴대폰 기록을 삭제하라고 전문가들은 말했다. 이마저도 안전하다고 100% 장담할 순 없다. 기술은 나날이 발전하니까.