[국과수 감정 결과 분석]① 청담동 술자리 내비 파일 조작 의혹 짙어져…국과수 감정 결과 입수

청담동 술자리 보도가 허위라는 주장의 유일한 객관적 물증이었던 첼리스트 휴대폰 내비게이션 파일이 증거로서의 신뢰성을 사실상 잃었다. 국립과학수사연구원(국과수)이 법원 의뢰로 진행한 감정 결과, 해당 파일의 시간 정보와 이동 경로 모두 확인할 수 없다는 결론이 나왔다. 경찰이 기소의 핵심 근거로 삼았던 디지털 증거가 안팎으로 비어 있었던 셈이다.

서울중앙지법 형사13단독이 국과수 법과학부 디지털과에 의뢰한 이번 감정은 첼리스트 휴대폰 두 대에서 추출한 내비게이션 파일이 대상이다. USB에 수록된 1701개 파일 가운데 문제가 제기된 11개 파일을 집중 분석했고, 감정 회보일은 3월 27일이다.

국과수 실험 결과, "개별 파일로 저장 안 돼"

국과수는 감정에 앞서 직접 실험부터 했다. 첼리스트가 사용하던 것과 동일한 기종(SM-S908N) 휴대폰에 현재 버전의 카카오맵을 설치한 뒤 내비게이션을 구동했다. DB 파일을 열어본 결과, 이정표 이미지(PNG) 파일은 데이터베이스 내부에 기록됐다. 개별 파일 형태로 따로 저장되지 않았다. 각 PNG 파일의 생성 시간도 DB 파일에 기록되지 않았다.

경찰이 포렌식 결과로 제출한 엑셀 시트는 이와 정면으로 배치된다. 경찰 자료에는 이미지 파일과 음성 파일이 낱낱이 개별 파일로 분리돼 있었다. 각 파일마다 시간도 적혀 있었다. 다만 그 시간은 '생성 시간'이 아니라 '수정 시간'으로 기재돼 있었고, '생성 시간' 란은 공란이었다. 태어난 적 없는 파일에 이사 기록만 남아 있는 셈이다.

파일 내부 메타데이터에 시간 정보가 없다

국과수 감정 결과의 핵심은 파일 내부 메타데이터에 시간 정보가 없다는 점이다. 메타데이터란 파일이 생성될 당시 파일 내부에 자동으로 기록되는 시간·위치 등의 정보다. 사진을 찍으면 촬영 시각과 GPS 좌표가 사진 파일 내부에 새겨지는 것과 같은 원리다.

국과수는 "의뢰한 파일 내부 데이터에서는 시간 등과 관련된 메타데이터를 확인할 수 없었다"고 밝혔다. 윈도우 탐색기에서 확인할 수 있는 수정 시간은 남아 있다. 그러나 파일 내부에는 시간 흔적이 전혀 없다. 외부에서 표시한 시간은 얼마든지 바꿀 수 있다. 파일 내부에 기록된 시간만이 원본을 증명하는데, 그 내부가 비어 있었다.

정상적으로 생성된 파일이라면 외부 표시 시간과 내부 메타데이터 시간이 일치한다. 파일을 복사하거나 이동하면 외부 시간만 바뀌고 내부 메타데이터는 그대로 남는다. 이번 사건 파일은 외부 시간만 존재하고 내부 시간은 아예 없다. 비교 자체가 불가능하다.

이미지·음성 파일로 경로 파악도 "할 수 없다"

국과수는 경찰이 이동 경로의 근거로 제시한 이정표 이미지 파일과 내비게이션 안내 음성 파일에 대해서도 쐐기를 박았다. "제시된 PNG 이미지 파일로도 실제 주행 경로는 판단할 수 없다"는 것이다. 운전자의 경로 이탈이나 교통 상황에 따른 경로 변경 등 다양한 원인을 들었다.

음성 파일도 마찬가지다. 국과수는 "MP3 파일에는 '광주시청', '팔당 하남', '압구정' 등의 단어만이 음성으로 기록돼 있는데, 이것이 위치 정보를 말해주는 음성인지 아니면 방향 정보 등 다른 정보를 말해주는 음성의 일부인지 파악할 수 없다"고 했다.

경찰은 바로 이 이미지 파일과 음성 파일을 근거로 첼리스트의 이동 경로를 특정하고, 술자리 장소를 '티케'로 확정했다. 국과수가 경로 파악 자체가 불가능하다고 판단한 이상, 경찰의 수사 결과와 정면으로 충돌하는 상황이 벌어진 것이다.

복사 파일의 존재…"휴대폰에서 자동 생성된 게 아니다"

국과수가 유일하게 구체적 판단을 내린 대목이 있다. '앞구정로'라는 동일한 음성 파일 세 개가 존재하는 이유에 대해서다. 세 파일은 파일명이 정확히 같고 생성 시간도 100분의 1초 단위까지 동일했다. 다만 파일명 끝에 '(1)', '(2)'가 붙어 있었다.

국과수는 "세 개 파일은 동일한 파일"이라고 확인했다. 이어 "일반적으로 윈도우 운영 체제에서 동일 파일명을 동일 폴더에 저장할 경우 파일명 뒤에 (1), (2)와 같은 명칭이 첨가된다"고 설명했다. 그리고 "휴대폰에서는 서로 다른 경로에 동일한 파일명으로 존재하던 세 개의 파일을 윈도우 PC에서 분석 및 하나의 경로로 추출하는 과정에서 의뢰한 현상이 발생하였을 수 있다"고 밝혔다.

경찰 포렌식 도구의 추출 로그에서 확인한 원본 경로도 이를 뒷받침한다. 동일한 파일명의 세 파일이 휴대폰 안에서 각각 다른 폴더에 존재했다. 같은 파일이 세 군데에 흩어져 있었고, 이를 하나의 폴더로 모으는 과정에서 (1), (2)가 붙은 것이다.

문제는 왜 누군가 휴대폰의 파일을 윈도우 PC로 꺼냈느냐다. 포렌식의 기본 원칙은 원본의 무결성 보존이다. 휴대폰 전체를 이미지로 떠서 분석 프로그램에 넣는 것이 정상적인 절차다. 파일을 개별적으로 꺼내 윈도우 폴더에 옮기는 행위는 원본의 무결성에 의문을 남긴다. 파일명이 바뀌었다는 것은 원본 상태가 아님을 뜻한다.

카카오 조회도, 로그 분석도 하지 않았다

국과수 감정서에는 확인한 것보다 확인하지 않은 것이 더 많다.

첫째, 카카오 모빌리티에 대한 사실 조회를 하지 않았다. 국과수는 현재 카카오맵으로 실험해 데이터베이스 내부에 이미지가 저장된다는 사실은 확인했다. 그러나 2022년 당시 카카오맵도 같은 방식이었는지는 확인하지 못했다고 밝혔다. 사건 파일의 저장 경로를 보면 카카오맵의 캐시 폴더 안에 위치해 있었다. 캐시란 앱이 빠르게 불러쓰기 위해 임시로 따로 저장하는 공간이다. 2022년 카카오맵이 이정표 이미지를 데이터베이스가 아닌 캐시 폴더에 개별 파일로 저장했을 가능성을 배제할 수 없다. 앱은 버전이 바뀌면서 저장 방식이 달라질 수 있기 때문이다.

그런데 이 문제는 카카오 모빌리티에 조회 한 번이면 끝나는 사안이다. 카카오 모빌리티는 카카오맵의 개발사다. 버전별 개발 이력이 전부 남아 있다. 2022년 7월 시점에 카카오맵이 이정표 이미지를 데이터베이스에 저장했는지, 캐시 폴더에 개별 파일로 저장했는지, 개별 파일에 생성 시간을 기록했는지 여부를 바로 답할 수 있다. 국과수가 카카오 모빌리티 기술 담당자를 불러 확인하거나 공문 한 장 보내면 될 일이었다. 국과수는 그 조회를 하지 않았다.

만약 카카오 모빌리티가 "2022년에도 현재와 같은 방식이었다"고 답한다면, 경찰이 제출한 개별 파일들은 카카오맵이 만든 것이 아니라는 결론이 된다. 국과수가 그 조회를 피한 것인지, 단순히 누락한 것인지는 알 수 없다. 다만 조회를 했다면 경찰 수사의 근간이 흔들리는 결과가 나올 수 있었다는 점은 분명하다.

다만 캐시 파일이었다 해도 핵심 문제는 변하지 않는다. 파일 내부에 시간 메타데이터가 없다는 사실, 포렌식 추출 로그에서 생성 일시가 전부 공란이라는 사실은 저장 방식과 무관하게 유효하다.

둘째, 파일 시스템 로그 분석을 하지 않았다. 뉴탐사 측은 감정 의뢰서에서 "파일 시스템 로그를 통해 각 규명해 주시기 바랍니다"라고 명시적으로 요청했다. 파일 시스템 로그란 휴대폰 안에서 파일이 언제 생성되고, 언제 수정되고, 어디서 복사됐는지를 운영 체제가 자동으로 기록하는 일지다. 이 로그를 분석하면 해당 파일이 카카오맵 실행 과정에서 자연스럽게 생성된 것인지, 아니면 외부에서 만들어져 휴대폰에 심어진 것인지를 판별할 수 있다. 조작 여부를 가르는 가장 직접적인 분석 방법이다. 국과수는 이 요청에 대한 답변 자체를 누락했다. 감정서 어디에도 파일 시스템 로그에 대한 언급이 없다.

국과수는 조작이라는 표현을 직접 쓰지 않았다. 경찰 산하 기관인 국과수가 경찰 수사 결과를 정면으로 뒤집는 감정을 내놓기는 쉽지 않다. 그러나 감정 결과를 종합하면 결론은 분명하다. 시간을 확인할 수 없고, 경로를 특정할 수 없으며, 원본 여부도 알 수 없다.

국과수도 못한 입증, 검찰이 할 수 있나

검찰이 공소를 유지하려면 세 가지를 스스로 입증해야 한다. 파일에 기록된 시간이 원본 시간이라는 것, 카카오맵 앱이 해당 파일을 생성했다는 것, 파일이 원본 상태 그대로라는 것. 국과수가 세 가지 모두 확인 불가로 결론 낸 사안이다. 국과수도 못한 일을 검찰이 할 수 있을지는 미지수다. 원본 휴대폰은 제출되지 않았고, 2022년 카카오맵 버전도 확보되지 않았다. 첼리스트의 법정 진술만 남은 상황이지만, 그 진술을 뒷받침하던 디지털 증거의 토대가 무너졌다.

검찰이 공소를 유지하려면 세 가지를 스스로 입증해야 한다. 파일에 기록된 시간이 원본 시간이라는 것, 카카오맵 앱이 해당 파일을 생성했다는 것, 파일이 원본 상태 그대로라는 것. 국과수가 세 가지 모두 확인 불가로 결론 냈다.

시간 입증부터 막혀 있다. 파일 내부 메타데이터에 시간이 없고, 포렌식 추출 로그에서도 생성 일시가 공란이다. 경찰이 엑셀 시트에 적어 넣은 수정 시간만 남아 있는데, 그 시간이 원본 시간이라고 증명할 길이 없다. 원본 휴대폰은 제출되지 않았다. 지금 다시 압수한다 해도 이미 무결성이 깨진 상태다.

카카오맵이 만든 파일이라는 입증도 어렵다. 현재 카카오맵은 데이터베이스 내부에 저장하는 방식인데, 사건 파일은 개별 파일로 존재한다. 2022년 당시 버전을 확보해 실험하면 확인할 수 있지만, 국과수도 그 버전을 구하지 못했다. 검찰이 당시 버전을 확보해 실험한다 해도 결과가 현재와 같다면 오히려 공소 취소 사유가 된다.

파일의 원본성 입증은 이미 불가능에 가깝다. 국과수 스스로 파일을 윈도우 PC로 추출하는 과정에서 파일명이 변경됐을 수 있다고 인정했다. 원본 상태가 아니라는 뜻이다.

남은 것은 첼리스트의 법정 진술뿐이다. 그러나 첼리스트는 술자리 장소의 간판도 기억하지 못했다. 경찰이 장소를 먼저 특정한 뒤 첼리스트가 이를 확인하는 순서였다. 그 진술을 뒷받침하던 유일한 디지털 증거의 토대가 무너진 지금, 진술의 신빙성도 함께 흔들린다.