"마약수사 증거확보는 우리가".. 서울세관 디지털 포렌식팀

압수수색 현장, 조사관과 포렌식 분석관 함께 출동해 데이터 수집

디지털 포렌식, 원본 그대로 복제해 법원 증거활용.. 신뢰성 중요

다양한 수사기법 개발 등 발빠른 대응으로 내부역량 꾸준히 강화

지난해 정부가 '마약과의 전쟁'을 선언한 이후 관세청은 마약수사에 몰두하고 있다. 마약수사 시 빠지지 않는 필수절차 중 '디지털 포렌식'이 있다. 관세청이 현장에서 마약범(운반책)을 적발하더라도 일당을 일망타진하려면 '총책'을 잡아야 한다. 그러려면 텔레그램 등을 활용한 이들의 연락망을 추적해야 하는데, 이때 디지털 포렌식 절차가 꼭 필요하다.

디지털 포렌식 과정은 먼저 분석관이 피의자에게 압수·수색영장 제시하고 컴퓨터, 스마트폰 등 디지털 기기를 점유한다. 그 후 피의자에게 포렌식 절차에 대해 설명한 뒤, 피의자 참관 하에 디지털 증거 수집을 한다. 그리고 디지털 기기와 포렌식 프로그램을 연결해 범죄와 관련 있는 전자정보를 찾아내 복제한다. 현장에서 디지털 포렌식이 불가능한 경우 관련 규정에 따라 디지털 기기에 저장된 모든 정보를 복사하거나, 기기 자체를 확보해 세관으로 가져오기도 한다.

관세청은 2008년부터 무역범죄 수사에 디지털 포렌식을 적용했으며, 현재는 서울세관에 '관세청 디지털 포렌식 센터'를 운영하고 있다. 수사에 쓰이는 디지털 포렌식 장비와 프로그램은 어디서 만들고, 그 차이는 무엇일까. 또한 노트북·PC와 스마트폰 중 범죄에 주로 사용되는 기기와 설정된 비밀번호 난이도에 따라 포렌식 가능 여부도 다를까. 이같은 궁금증 해소를 위해 조세일보는 서울세관 디지털 포렌식팀을 만나 생생한 현장 이야기를 들어봤다.

Q. 반갑습니다, 디지털 포렌식팀을 소개해주세요.

관세청은 기술 발전과 디지털 기기의 다양화로 효과적인 디지털 증거 확보가 중요해짐에 따라 2008년부터 무역범죄 수사에 디지털 포렌식을 적용해 주요 본부세관에 디지털 포렌식 전담 직원을 두고 운영해왔습니다. 그 기능을 확대해 2021년에는 전국 최초로 서울세관에 디지털 포렌식 전담팀이 만들어졌습니다. 이듬해부터 자체적인 증거 관리시스템과 최신 장비를 운용하면서 다양한 포렌식 수사기법을 연구하는 '관세청 디지털 포렌식 센터'로 확장돼, 현재 관세청 전반에서 디지털 포렌식이 필요할 때 저희가 나서곤 합니다.

저희 디지털 포렌식팀은 먼저 수사 현장에서 디지털 증거를 획득하기 위해 전국 세관 수사팀의 압수·수색영장 집행 현장을 지원하고, 최신 분석 장비를 활용해 현장에서 수집한 매체를 분석하거나 선별하는 활동 등을 수행하면서 관세청 수사를 지원하고 있습니다. 또한 정보기술과 환경변화에 대응한 포렌식 기법 개발 및 세관 직원들의 디지털 수사역량 강화를 위한 교육도 실시하고 있습니다.

디지털 포렌식 업무는 관세청의 기존 업무와는 또 다른 전문적인 지식이 필요하다 보니, 포렌식 업무를 담당하는 직원들은 관세청의 미래인재 육성 교육계획에 따라 검찰, 경찰, 민간 포렌식 전문 업체 등에서 위탁 교육을 받게 됩니다. 교육받은 후에는 실무 과정에서 유관기관과의 정보 공유, 학회 참석, 판례연구 등을 통해 최신 동향과 기술을 습득하고 자체 연구를 통해 효율적인 기법을 개발하면서 지속적으로 역량을 키워나가고 있습니다.
 
Q. 디지털 포렌식 업무와 관련해 관세청 내에서 전공자와 비전공자 간 차이가 있을까요? 

안병우 주무관 : 포렌식을 하면서 IP 충돌이 나는 경우가 있습니다. IP 충돌이 났을 때 IP 개념과 고정IP와 자동IP 차이를 알고 있으면, 그 상황을 인지하고 어느 컴퓨터에서 동일한 IP주소를 사용하고 있는지 혹은 어디를 수정할지 파악이 가능합니다. 비전공자라면 IP 개념 자체를 배우고 이해해야 하지만 전공자라면 사전에 어느정도 알고 있어 더 빠르게 업무수행이 가능합니다.

배동준 주무관 : 컴퓨터 구조가 CPU, 하드디스크 등 여러 가지 장치들로 구성이 돼 있습니다. 포렌식 과정에서 컴퓨터를 부팅할 때 그런 부팅 순서가 중요한데 컴퓨터 지식이 도움 되곤 합니다. 또한 비밀번호를 모르는 컴퓨터를 포렌식 할 때는 관련 프로그램을 써서 부팅을 시도하는 등 컴퓨터에 대한 전반적인 지식이 포렌식 업무를 할 때 도움이 됩니다.
 
Q. 최초 범죄 현장에서부터 디지털 포렌식까지 이뤄지는 전 과정을 간략히 알려줄 수 있을까요?

피의자에게 압수·수색영장을 제시한 후 분석관이 압수 대상인 디지털 기기(컴퓨터, 스마트폰 등)를 점유합니다. 직후 피의자에게 포렌식 절차에 대해 설명한 뒤, 피의자 참관 하에 디지털증거 수집을 시작합니다.

먼저 디지털 기기와 포렌식 프로그램을 연결해 범죄사실과 관련 있는 전자정보를 찾아내 복제한 후 복제한 파일을 가져옵니다. 만약 파일을 탐색하고 선별하는 과정에 많은 시간이 소요되거나, 사생활이나 정상적인 영업활동을 침해하는 등 현장에서 디지털 포렌식이 불가능한 경우 관련 규정에 따라 디지털 기기에 저장된 모든 전자정보를 복제하거나 기기 자체를 확보해 세관으로 가져올 수 있습니다.

그 경우 디지털 포렌식 센터에서 피의자 참관 하에 범죄사실과 관련 있는 전자정보를 탐색·선별해 복제한 후 복제한 파일을 확보하게 됩니다. 최종적으로 압수한 복제파일의 목록을 피의자에게 교부하고 범죄사실과 관련 없는 전자정보는 삭제·폐기합니다.

Q. 실제 디지털 포렌식 과정에서 PC·노트북과 스마트폰 중 어느 게 더 활용이 많이 되고 있는지 궁금합니다.

사건 형태에 따라 활용도가 조금씩 다른 편입니다. 밀수입, 관세포탈, 환치기 등과 같은 통상적인 무역범죄 사건의 경우 상업서류(송장, 선하증권, 포장명세서 등)와 수입, 판매 내역 등이 중요한 증거가 되므로, 이러한 내용을 주로 저장하는 노트북·PC에 대한 포렌식 활용도가 높습니다.

반면 위조 상품(짝퉁 등) 및 마약 거래 범죄에서는 SNS나 텔레그램, 위챗과 같은 채팅앱을 주로 사용하는 경향이 있어, 스마트폰 포렌식에 좀 더 집중하고 있습니다. 그렇지만 대부분의 사건에서 결정적 증거가 어떤 형태로 어느 기기에 저장되어 있는지 사전에 다 파악할 수 없기에 피의자의 모든 디지털 기기에 대한 포렌식을 빠짐없이 진행하고 있습니다.

Q. 태블릿PC, 스마트폰 기종이나 보완 정도에 따라 포렌식 난이도도 달라지나요?

태블릿PC나 스마트폰이 최신 기종으로 바뀔수록 그에 맞춰 포렌식 기기도 최신화가 필요합니다. 가령 스마트폰도 펌웨어 업데이트를 하듯 포렌식 프로그램도 마찬가지입니다. 또한 기기 비밀번호 해독도 통상 비밀번호 구조가 복잡할수록 해독 난이도 역시 올라갑니다.
 
Q. 압수물 속 기록을 삭제하지 않았다면, 직접 기기에서 보는 것과 디지털 포렌식을 해서 보는 것은 어떤 차이가 있나요?

디지털 포렌식의 핵심은 디지털 기기의 자료를 '원본 그대로 복제'하는 것으로, 압수할 당시 자료 그대로가 법원에 증거로 제출돼야 합니다. 압수 대상의 디지털 기기 자료가 삭제되지 않고 그대로 있다면 차이가 없지만, 디지털 기기의 원본자료는 사용자가 언제든지 변경이나 삭제가 가능합니다. 반면 포렌식을 통해 복제한 자료는 변경이나 삭제가 되지 않습니다. 또한 해시값을 통해 압수 당시에 자료와 추후 증거로 제출되는 자료가 같다는 것을 증명할 수도 있습니다. 해시값은 쉽게 말하면 디지털 자료의 지문이라고 할 수 있습니다. 원본 자료는 해시값이 추후에 바뀔 수 있겠지만, 포렌식을 통해 압수한 자료는 해시값이 바뀌지 않습니다.

그 외에도 디지털 포렌식을 하게 되면 디지털 기기에서는 볼 수 없는 것들을 볼 수 있습니다. 예를 들어, 스마트폰을 포렌식하는 경우 설치된 앱과 관련 정보가 어디에 있는지 한 눈에 볼 수도 있고, 키워드 검색을 통해 기기 내 모든 정보를 확인할 수 있습니다. 그리고 스마트폰 사용자의 활동 내역을 상세하게 추적하는 것도 가능합니다. 또 데이터를 삭제했다면, 삭제한 시간, 내용이 무엇인지도 복원해서 볼 수 있습니다. 그렇지만 포렌식을 한다고 해서 모든 데이터를 복원할 수 있는 것은 아닙니다.

Q. 검찰청과 민간업체 모두 디지털 포렌식 도구를 개발해 배포하는데, 비용이나 성능 등 어떤 차이가 있는지 궁금합니다.

포렌식 도구는 각자마다 그 목적과 특성이 다르기 때문에 무엇이 더 좋다고 말하기는 어렵습니다. 예를 들어, 대검찰청에서 개발해 배포한 DFT라는 도구는 증거 확보를 위한 기술적 지원이 뛰어나고, 사용 방법이 쉬워 사법경찰의 현장 압수단계부터 폭넓게 사용되고 있습니다. 또한 DFT는 수사관들이 현장에서 효율적으로 증거를 확보하면서도 적법 절차 준수에 문제가 없도록 다양한 서식이나 목록을 자동 인쇄하도록 지원해 사용자의 접근성과 편의성이 뛰어납니다.

그 외 민간업체에서 개발하는 도구들은 복제, 복구, 네트워크, 이메일, 모바일, 암호해독 등 각각의 특화된 분야에서 강력한 성능을 발휘하여, 다른 포렌식 도구에서 확인되지 않는 자료를 복구하거나 찾을 수도 있습니다.

포렌식 도구에서 가장 중요한 것은 확보된 자료의 '신뢰성'입니다. 따라서 포렌식 도구들은 여러 사례와 기술적인 증명을 통해 그 신뢰성이 입증돼야 합니다. 현재 디지털 포렌식 센터에서 사용하는 도구들은 이러한 신뢰성이 입증된 도구들입니다. 새로운 기술 발전에 따라 현재의 도구로 분석이 어려운 경우, 해외를 포함한 다른 기관의 사례연구를 통해 신규 도구를 추가로 확보해 대응하고 있습니다.
 
Q. 디지털 포렌식을 활용한 수사 사례가 궁금합니다.

삭제된 원본 무역 서류를 복구해 원산지증명 위조를 밝혀낸 사건입니다. 한 업체가 유럽에서 의류 등을 수입하면서 원산지 증명 서류를 위조해 유럽산으로 가장해 한-EU FTA 협정세율(관세 13%/유럽산 0%)을 적용받아 관세를 포탈한 사건이 있었습니다.

해당 사건은 수입물품의 실제 원산지를 증명하는 자료 확보가 필요한 상황이었고, 조사대상 업체의 컴퓨터 포렌식을 통해 해외 거래처로부터 이메일로 받은 무역 송장(인보이스)이 삭제된 것을 확인했습니다. 이후 삭제 파일을 복구해 실제 원산지(유럽산 아님)가 기재된 서류를 확보하고, 이미지 편집 프로그램을 통해 원본 자료를 위조한 사실을 밝혀내 혐의를 입증할 수 있었습니다.

Q. 또 다른 기억에 남는 사건이 있을까요?

채팅앱 메시지를 복구해 대마초를 적발한 사례입니다. 국제우편을 통해 대마초를 과자·라면봉지에 은닉하는 수법으로 밀수입하고 국내에 판매한 사건이 있었습니다. 당시 우편물을 수취했던 피의자는 우편물에 대마초가 은닉된 사실을 몰랐고, 판매한 적도 없다고 주장해 범행을 입증할 증거가 필요했습니다.

이에 포렌식팀은 휴대폰 2대와 노트북을 포렌식해 채팅앱을 이용한 메시지 수·발신 기록 복구 결과, 피의자가 대마초 은닉을 사전에 인지했던 사실과 그전에도 대마초를 반입해 판매하였다는 증거를 확보할 수 있었습니다.
 
Q. 디지털 포렌식팀에서 일하며 힘들었던 순간이나 뿌듯한 점이 있다면?

장원진 팀장 : 어떤 업무든 처음에는 다 그렇게 느끼겠지만, 특히 '포렌식'이라는 업무는 저에게 더욱 전문적이고 생소하게 다가왔습니다. 하지만 업무를 하면서 낯선 용어에 점점 익숙해지고 다양한 도구의 사용법을 익혀가면서 팀원분들과 포렌식 업무의 발전 방향에 대해 검토하고 개선했을 때 뿌듯함을 느낍니다.

배동준 주무관 : 작년 4월, 범칙 사건과 관련해 타 부처에 일주일 정도 포렌식 업무지원을 간 적이 있습니다. 당시 해당 기관은 포렌식을 막 시작한 때라서 대용량 이메일 파일에 대한 분석이 불가능한 상황이었습니다. 다행히 저희가 갖고 있던 포렌식 장비를 활용해 이틀 만에 모든 파일을 분석해내 보람을 느꼈습니다.

정수현 주무관 : 당연한 얘기겠지만 압수·수색영장 집행 현장에서 제가 직접 디지털 포렌식해 가져온 전자정보 중에서 결정적 증거가 발견돼 사건이 해결되면, 그때가 가장 뿌듯합니다. 그래서 수사팀에 항상 "증거가 좀 나왔나요?"하며 자주 물어보곤 합니다(하하).

안병우 주무관 : 영화에서나 접하던 포렌식 업무를 현장에서 처음 진행해 보니, 관련 절차나 기술적인 부분에서 많은 어려움이 있었습니다. 그러나 선배님에게 배워가며 기술적인 면도 많이 향상돼 현재는 혼자 현장에서 포렌식 업무를 수행이 가능합니다. 또한 후배에게도 업무를 가르쳐 주면서 뿌듯함을 느끼며 일하고 있습니다.

조소현 주무관 : 올해 7월 관세청에서 일을 시작한 후 첫 부서로 포렌식팀에 배정됐습니다. 제게 디지털 포렌식이란 뉴스에서나 보던 생소한 일이었습니다. 처음에는 다양한 포렌식 도구들이 있어서 다루는 방법을 익히는 게 쉽지 않았습니다. 업무를 배우고 익혀 나가면서, 간혹 수사팀에서 저희가 포렌식한 전자정보에서 결정적 증거를 확보했다는 얘기를 들을 때 보람과 성취감을 느낍니다(뿌듯).
 
Q. 향후 계획 등 마지막으로 하고 싶은 말이 있다면?

기술변화 속도가 빠른 현재 디지털 포렌식은 수사에 필수적인 요소가 됐다고 생각합니다. 실제로 최근 다수의 업체들이 전자정보의 효율적인 관리와 정보유출 방지 등을 위해 외부서버를 사용하거나 USB 포트 차단, 백신 프로그램을 사용하는 등 보안정책을 강화하는 경향이 있습니다.

서울세관 디지털 포렌식팀은 다양한 수사기법 개발과 연구를 통해 빠르게 변화하는 디지털 환경에 효과적으로 대응할 수 있도록 최선을 다하고 있으며, 수사 과정에서 획득한 디지털 증거가 적법한 절차를 거쳐 증거능력을 상실하지 않도록 노력하고 있습니다. 앞으로도 정기적인 교육과 최신 포렌식 동향파악 등을 통해 내부 역량을 강화해 수사 과정에서 디지털 증거를 안정적으로 획득할 수 있도록 적극 지원하겠습니다.