디지털 증거의 해시값은 파일이 수집된 뒤 바뀌지 않았는지 확인하는 출발점입니다. 다만 법정에서는 해시값뿐 아니라 수집 권한, 원본 보관, 복제와 출력 과정, 증거의 관련성까지 함께 설명해야 합니다.
디지털 증거 해시값 검증 방법에서 먼저 정리할 법적 쟁점
해시값은 파일의 내용에서 계산되는 고유 식별값입니다. 같은 대상에서 다시 계산한 값이 일치하면 비교한 시점 사이에 내용이 동일하다는 점을 설명하는 자료가 됩니다.
그러나 해시값이 같다는 사실만으로 누가 파일을 만들었는지, 파일의 내용이 진실한지, 해당 파일이 사건과 관련되는지까지 바로 증명되지는 않습니다. 해시 검증은 주로 동일성과 무결성을 다루고, 작성자와 내용의 신빙성은 별도의 증명 대상입니다.
형사절차에서는 형사소송법 제106조 제3항이 정보저장매체에 대한 압수 방법의 기본 틀을 정합니다. 관련 전자정보를 선별해 출력하거나 복제하는 것이 원칙이고, 그 방법이 불가능하거나 현저히 곤란할 때에만 매체 자체를 압수할 수 있습니다.
검사와 사법경찰관의 압수, 수색, 검증에는 형사소송법 제219조에 따라 제106조 등이 준용됩니다. 따라서 해시값을 계산했다는 사정만으로 관련성 없는 자료를 넓게 탐색하거나 절차상 참여와 목록 교부 문제를 대신할 수는 없습니다.
절차가 위법하면 무결성이 잘 관리된 파일이라도 별도의 문제가 생깁니다. 형사소송법 제308조의2는 적법한 절차에 따르지 않고 수집한 증거를 사용할 수 없도록 하므로, 해시값 검증과 적법한 수집은 서로 대체하는 관계가 아닙니다.
성립 요건과 판단 기준
법원에서 먼저 확인할 것은 제출된 파일 또는 출력물이 원본에 저장된 자료와 같은지입니다. 그다음 원본이 수집된 때부터 출력 또는 제출될 때까지 변경되지 않았는지를 설명해야 하며, 이 두 문제가 함께 정리되어야 무결성 입증이 설득력을 얻습니다.
대법원 2013도2511 판결은 원본과 출력물의 동일성과 원본이 변경되지 않았다는 무결성을 해시값 확인서, 관계자 증언, 봉인 상태, 원본 대조 등으로 증명할 수 있다고 보았습니다. 다만 확인서면이 없거나 그 방법이 매우 어려운 경우에는 수사관이나 전문가의 증언, 봉인과 보관 상태, 원본 자료와 출력물의 대조도 사용할 수 있다고 판단했습니다.
이 판결은 압수, 봉인, 봉인 해제, 이미징, 출력에 관여한 사람의 역할을 중요하게 봅니다. 어느 시점에 누가 어떤 매체를 다루었는지 설명할 수 있어야 하며, 단순히 최종 파일의 해시값만 제시하는 것보다 전체 경위가 연결되어야 합니다.
복제와 출력에 사용한 컴퓨터가 정확하게 작동했는지도 쟁점이 될 수 있습니다. 사용한 프로그램의 신뢰성, 입력과 처리와 출력 과정의 오류 가능성, 작업자의 전문성과 기록이 함께 제시되어야 결과물에 대한 의심을 줄일 수 있습니다.
영상녹화가 없으면 언제나 무결성을 입증할 수 없다고 단정할 수는 없습니다. 대법원은 영상 외에도 객관적인 자료와 관계자의 진술을 종합해 판단할 수 있다고 보았으므로, 확보된 자료의 성격에 맞는 증명 구성을 준비해야 합니다.
해시값은 증거능력과 증명력을 구분해서 보아야 합니다. 증거능력은 법정에서 사용할 수 있는 자격에 가깝고, 증명력은 사용이 허용된 자료가 실제로 얼마나 믿을 만한지를 판단하는 문제입니다.
전자정보가 포함된 진술서나 대화 기록은 성립의 진정이 증명되어야 하며, 다툼이 있으면 디지털포렌식 자료 등 객관적 방법으로 증명할 수 있습니다. 내용의 진실성을 주장하는 경우에는 형사소송법 제313조가 문제될 수 있습니다. 반대로 특정 파일이나 메시지가 존재했다는 사실 자체를 증명하려는 것인지에 따라 적용되는 판단 구조가 달라질 수 있습니다.
절차 진행과 준비 자료
실무에서는 증거마다 식별정보를 부여하고, 원본의 종류와 보관 위치를 명확히 적어 두는 것이 좋습니다.
휴대전화, 저장장치, 클라우드에서 내려받은 파일처럼 출처가 다르면 각각 별도의 증거로 구분해 기록해야 합니다.
해시 보고서에는 대상의 식별정보, 수집 방법, 사용한 도구와 버전, 작업자, 계산 시점, 산출된 값이 들어가야 합니다.
저장매체를 복제할 때에는 원본에 기록이 생기지 않도록 쓰기 방지 조치를 고려해야 합니다. 복제본을 만든 뒤에는 원본과 복제본의 식별정보를 대응시키고, 어떤 복제본으로 어떤 분석 결과를 만들었는지 연결해 두어야 합니다.
보관의 연속성은 파일을 넘겨받은 사람과 보관 장소가 바뀔 때 특히 중요합니다. 인계 시점, 인계자와 인수자, 봉인 상태, 보관 장치, 접근 기록을 남기면 나중에 해시값의 변화 여부를 설명하기가 쉬워집니다.
분석 결과에는 검색 조건과 제외 기준도 포함하는 편이 좋습니다. 특정 파일만 추출했다면 그 파일이 전체 자료에서 어떻게 선별되었는지, 원본의 어느 위치에 있었는지, 출력 과정에서 형식 변환이 있었는지를 함께 밝혀야 합니다.
민간인이 확보한 파일도 원본 파일과 기기를 바로 수정하지 않는 것이 중요합니다. 화면 캡처만 남기기보다 원본 파일, 관련 대화의 앞뒤 맥락, 저장된 기기, 확보 경위가 서로 연결되도록 보존해야 합니다.
전문가에게 분석을 맡겼다면 단순한 결론서만 받지 말고 작업 기록과 산출물의 대응 관계를 확인해야 합니다. 법정에서는 결과값보다 어떤 자료를 대상으로 어떤 절차를 거쳤는지에 대한 질문이 집중될 수 있습니다.
분쟁 대응에서 유의할 부분
서로 다른 파일을 비교하면서 해시값이 다르다고 주장하는 경우도 있습니다. 파일명이나 화면이 비슷하다는 이유만으로 같은 대상이라고 보지 말고, 실제 비교 대상의 위치와 형식과 생성 경위를 먼저 맞춰야 합니다.
반대로 해시값이 같다는 이유만으로 자료 전체가 믿을 만하다고 주장하는 것도 위험합니다. 해당 파일이 사건과 관련되는지, 수집 권한이 있었는지, 작성자나 진술자의 설명이 필요한지, 분석 과정에서 맥락이 빠지지 않았는지를 따로 검토해야 합니다.
압수, 수색 과정에서는 관련성의 범위와 참여 기회와 압수목록이 쟁점이 될 수 있습니다. 수사준칙은 관련 전자정보를 선별하는 방법을 정하고 있으므로, 무관한 자료를 함께 탐색하거나 복제한 경위가 있다면 해시값과 별개로 절차를 설명해야 합니다.
휴대전화나 클라우드 자료는 원본의 개념이 단순하지 않을 수 있습니다. 기기 안의 원자료인지, 서버에서 내려받은 사본인지, 애플리케이션이 자동으로 만든 내보내기 파일인지에 따라 동일성의 출발점을 분리해 제시해야 합니다.
파일의 시간정보도 해시값과 다른 쟁점입니다. 해시값은 내용의 동일성을 살피는 자료이고, 파일의 생성이나 수정 시각은 운영체제와 애플리케이션과 계정 기록 등 다른 자료와 함께 검토해야 합니다.
결국 무결성 입증은 숫자 하나를 제출하는 작업이 아닙니다. 원본에서 제출본까지의 연결, 적법한 수집, 신뢰할 수 있는 도구, 담당자의 기록, 사건 관련성이 하나의 설명으로 이어져야 합니다.
자주 묻는 질문 FAQ
Q1) 해시값이 같으면 디지털 증거의 위조가 불가능한가?
해시값이 같으면 비교한 두 대상의 내용이 같다는 점을 뒷받침합니다. 그러나 작성자, 생성 경위, 내용의 진실성까지 자동으로 증명하는 것은 아닙니다. 수집과 보관과 출력 과정의 기록을 함께 제시해야 합니다.
Q2) 압수, 수색 과정을 촬영하지 않았으면 무결성을 입증할 수 없나요?
그렇지는 않습니다. 대법원 2013도2511 판결은 관계자의 증언, 봉인과 보관 상태, 원본과 출력물의 대조 등도 판단 자료가 될 수 있다고 보았습니다. 다만 자료가 부족할수록 전체 보관 경위를 더 구체적으로 설명해야 합니다.
Q3) 법원에 원본 저장매체를 반드시 제출해야 하나요?
형사소송법은 관련 전자정보를 출력하거나 복제하는 방식을 원칙으로 정하고 있습니다. 다만 그 방법이 불가능하거나 현저히 곤란한 경우에는 복제본이나 봉인된 원본을 반출하는 예외가 문제될 수 있습니다. 사건의 수집 경위와 보관 상태에 따라 판단이 달라집니다.
공식 자료: 국가법령정보센터, 국가법령정보센터, 국가법령정보센터
본 글은 일반적인 정보 제공 목적이며, 구체적 사안은 변호사 상담을 권장합니다.