전자증거의 진정성은 해시값 하나로 충분한가 — 생성·수집·보관·설명의 연쇄

안녕하세요. 재판 현장에서 쌓은 경험을 바탕으로 사건의 본질과 판단 구조를 풀어드리는 손호영입니다.

연구 질문: 같은 파일이면 믿을 수 있는 증거인가

휴대전화 메시지, 서버 로그, 블랙박스 영상, 문서파일은 오늘의 재판에서 일상적인 증거가 되었습니다. 전자정보는 복제해도 겉으로 차이가 없고, 작은 수정이 눈에 보이지 않을 수 있습니다. 그래서 실무는 원본과 복제본의 해시값이 같은지를 중요한 확인수단으로 사용합니다. 문제는 여기서 한 걸음 더 나아갑니다. 해시값이 같다는 사실은 그 내용이 진실이라는 뜻일까요.

대법원 2013. 7. 26. 선고 2013도2511 판결, 이른바 왕재산 사건은 전자정보 출력물을 증거로 쓰려면 저장매체 원본의 내용과 출력물의 동일성이 인정되어야 하고, 원본이 압수 때부터 출력 때까지 변경되지 않았다는 무결성이 담보되어야 한다고 설명했습니다. 해시값이 같은 확인서는 그 점을 증명하는 원칙적인 방법이지만, 유일한 방법은 아니라고도 했습니다.

동일성과 무결성은 무엇을 증명하는가

해시함수는 파일의 내용에 따라 일정한 값을 만들어 냅니다. 원본과 복제본의 해시값이 같으면 통상 두 파일의 내용이 동일하다는 강한 근거가 됩니다. 압수한 저장매체를 이미징한 시점, 분석용 복제본을 만든 시점, 법정에 제출한 파일의 값이 이어지면 수사기관이 중간에 내용을 바꾸지 않았다는 설명력이 커집니다.

그러나 해시값은 비교 대상이 적절할 때만 의미가 있습니다. 압수 직후 기준값을 만들지 않았거나, 어떤 파티션·폴더·파일을 대상으로 계산했는지 알 수 없거나, 로그에 값과 시각만 있고 담당자·도구·절차가 없다면 연결고리가 약합니다. 같은 알고리즘이라도 압축·내보내기 과정에서 메타데이터가 달라질 수 있어 값이 바뀔 수 있습니다. 값의 불일치가 곧 조작을 뜻하지 않고, 일치가 생성 당시의 진실을 보증하지도 않습니다.

판례는 해시값을 유일한 해결책으로 만들지 않았습니다

왕재산 판결은 피압수자의 서명을 받은 해시 확인서를 원칙적 방법으로 제시하면서도 그 방법이 불가능하거나 현저히 곤란한 경우 다른 증명방법을 허용했습니다. 압수·봉인·봉인해제·이미징에 참여한 수사관이나 전문가의 증언, 원본이 밀봉되어 변경되지 않았다는 사정, 법원의 원본과 출력물 대조가 예입니다. 핵심은 특정 형식의 체크박스가 아니라 변경 가능성을 합리적으로 통제하고 설명할 수 있는지입니다.

이 접근은 기술 변화에도 견딜 수 있습니다. 저장매체 전체 이미징이 가능한 사건과 클라우드 사업자가 일부 자료만 내보내는 사건은 같은 절차를 요구하기 어렵습니다. 실시간 시스템의 로그는 계속 갱신되고, 메신저 백업은 서비스가 변환한 형식으로 제공될 수 있습니다. 따라서 법적 기준은 ‘해시가 있나’보다 해당 수집 방식에서 동일성과 무결성을 어떤 조합으로 보증했는지로 구체화되어야 합니다.

진정성립과 내용의 진실성은 다른 질문입니다

전자문서가 원본에서 그대로 복제되었다고 해도 그 문서를 누가 작성했는지는 별도 문제입니다. 한 계정을 여러 사람이 썼을 수 있고, 자동저장 파일이 사용자의 최종 의사를 반영하지 않을 수 있습니다. 메시지 화면에 특정 이름이 보인다고 해서 실제 발신자가 그 사람이라고 바로 단정할 수 없습니다. 로그인 기록, 기기 귀속, 대화 상대의 답변, 문체, 사건 전후 행동을 함께 봐야 합니다.

더 나아가 작성자가 확인되더라도 문서 내용이 사실인지는 전문법칙과 증명력의 문제입니다. 판례는 저장매체의 문자정보를 내용의 진실성 증명에 사용할 때 실질적으로 진술서와 비슷하므로 원칙적으로 전문법칙이 적용된다고 봅니다. 반면 그러한 문자가 존재했다는 사실 자체가 쟁점이면 반드시 같은 방식으로 전문증거가 되는 것은 아닙니다. ‘A가 B라고 말했다’는 존재와 ‘B가 참이다’는 내용은 나누어야 합니다.

압수의 적법성과 무결성도 구별해야 합니다

기술적으로 완벽하게 복제된 파일도 영장의 범위를 벗어나 수집됐다면 증거능력 문제가 생깁니다. 최근 전자정보 판례들은 혐의사실과 관련된 정보의 구체적·개별적 연관성, 우연히 발견한 무관정보에 대한 탐색 중단과 별도 영장, 선별 뒤 무관정보의 삭제·폐기 문제를 강조합니다. ‘파일이 안 바뀌었다’는 사정은 ‘그 파일을 적법하게 봐도 됐다’는 답을 대신하지 않습니다.

반대로 절차상 일부 흠이 있다고 해서 파일의 기술적 내용이 거짓이 되는 것도 아닙니다. 증거능력과 증명력은 연결되지만 같은 개념은 아닙니다. 기록을 읽을 때는 ① 수집이 적법한가, ② 원본과 제출물은 동일한가, ③ 작성자는 누구인가, ④ 내용이 진실한가를 차례로 묻는 편이 안전합니다.

클라우드·메신저 시대의 새로운 난점

클라우드 자료는 물리적 원본 하나를 특정하기 어렵습니다. 사업자의 서버 여러 곳에 분산되고, 동기화·백업 과정에서 버전이 생깁니다. 사용자가 화면을 캡처한 자료, 플랫폼이 내보낸 JSON, 사업자가 수사기관에 제공한 로그는 서로 다른 층위의 증거입니다. 각각 생성 주체와 변환 과정을 설명해야 합니다.

메신저 대화 역시 화면 캡처만으로는 앞뒤 맥락과 삭제·편집 여부를 알기 어렵습니다. 가능하면 전체 대화 내보내기, 상대방 기기의 같은 대화, 서버 제공자료, 첨부파일 원본을 비교합니다. 타임스탬프는 기기 표준시·서버시간·표시시간대가 다를 수 있으므로 사건의 다른 시각자료와 맞춰야 합니다.

생성형 편집과 합성 파일은 무엇을 바꾸는가

사진·음성·영상의 생성·편집 기술이 쉬워지면 ‘파일이 오래전부터 존재했다’는 사실과 ‘장면이 실제로 일어났다’는 사실 사이의 거리가 커집니다. 해시값은 확보 뒤 변경이 없음을 보여줄 수 있지만, 확보 전에 합성된 파일인지 판단해 주지 않습니다. 촬영기기 원본, 연속 프레임, 주변 센서·위치정보, 다른 촬영물, 생성 도구 흔적, 배포 경로를 함께 살펴야 합니다.

탐지 소프트웨어의 결과도 확률적 판단일 수 있습니다. 특정 도구가 ‘합성 가능성 90%’라고 표시했다면 모델·버전·오류율·입력조건을 설명해야 합니다. 전문가 의견은 결론의 도장이 아니라 재현 가능한 분석과 한계를 법정 언어로 번역하는 자료여야 합니다.

반론: 절차를 너무 엄격히 요구하면 진실발견을 막지 않는가

모든 사건에 동일한 포렌식 의식을 요구하면 일상적 메시지나 소규모 사건의 증명비용이 지나치게 커질 수 있습니다. 상대방이 파일 존재와 내용을 다투지 않고, 여러 독립 자료가 일치한다면 복잡한 감정까지 필요하지 않을 수 있습니다. 민사와 형사에서도 증거능력 규율과 증명의 정도는 다릅니다.

그러나 엄격함을 줄이려면 무엇을 생략해도 되는지 이유가 있어야 합니다. 쟁점이 파일 변경인지, 작성자 귀속인지, 내용의 진실인지에 따라 필요한 검증을 선택하면 됩니다. 모든 전자증거에 해시를 요구하는 형식주의와, 화면 캡처만으로 충분하다는 편의주의 사이에 쟁점 비례적 검증이 필요합니다.

잠정적 결론: 해시값은 닻이지 배 전체가 아닙니다

해시값은 원본과 복제본 사이를 고정하는 매우 유용한 닻입니다. 하지만 증거의 항해에는 수집 권한, 보관 연속성, 작성자 귀속, 의미 해석, 전문법칙이라는 다른 장치가 필요합니다. 저는 전자증거의 진정성을 ‘생성-수집-보관-분석-설명’의 연쇄로 평가하는 것이 기술에도 법에도 더 정확하다고 생각합니다.

남는 질문

클라우드 사업자가 자체 형식으로 내보낸 자료의 기준 원본은 무엇인가. 종단간 암호화 메신저에서 서버자료가 거의 없을 때 기기 간 대조의 적정 수준은 어디인가. 합성탐지 기술의 오류율을 법정에서 어떻게 공개하고 검증할 것인가. 자동화된 포렌식 보고서의 판단과 전문가의 책임을 어떻게 나눌 것인가. 이 질문들은 해시값을 버리자는 것이 아니라, 해시값을 제자리에 놓기 위해 남습니다.

전자증거의 신뢰는 한 개의 숫자에서 끝나지 않고, 그 숫자가 연결하는 전체 과정의 설명에서 완성됩니다.

판사는 기록에서 무엇을 보는가

먼저 펴는 곳

원본·복제본·제출물의 식별정보와 수집보고서, 해시 목록을 먼저 펼칩니다.

멈추는 곳

해시가 무엇과 무엇을 언제 비교한 값인지 설명되지 않는 지점에서 멈춥니다.

맞춰보는 곳

압수범위·봉인·접근로그·분석도구·작성자 자료를 하나의 연쇄로 맞춰봅니다.

여백의 메모

동일성은 내용의 진실성과 다릅니다. 파일이 같아도 말이 참인지는 별도로 증명해야 합니다.

이 글은 일반적인 법률 정보 제공을 목적으로 작성된 칼럼이며, 소속기관의 견해와 일치하지 않을 수 있습니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 필요한 경우 법률 전문가의 상담을 받으시기 바랍니다.

#손호영 #연구노트 #전자증거 #디지털포렌식 #해시값 #무결성 #동일성 #전문법칙 #압수수색 #형사소송법 #증거법 #디지털증거 #대법원판례 #법률연구

이 판단을 실제 사건에 적용하는 방법

전자증거 무결성에 관한 기준을 실제 사실로 번역할 때는 자료를 한 묶음으로 보지 않는 편이 좋습니다. 원본·복제본·제출물의 식별정보와 수집보고서, 해시 목록을 먼저 펼칩니다. 그 다음 각 자료가 어느 주장에 답하는지 표시하면, 강한 자료와 단지 의심을 만드는 자료가 구별됩니다. 작성 시점과 작성 목적이 다른 문서는 겉으로 같은 표현을 써도 증명하는 사실이 다르므로 출처와 맥락을 함께 남겨야 합니다.

반대되는 결론도 먼저 세워 보아야 합니다. 그러나 작성자, 생성 맥락, 압수 범위, 전문법칙과 증명력까지 자동으로 해결하지는 않습니다. 이 판단과 반대되는 사정이 기록에 실제로 존재하는지 찾고, 없다면 없다는 이유까지 설명해야 합니다. 한쪽 주장에 유리한 사실만 모으면 결론은 빨라지지만 상대방의 가장 강한 반론을 통과하지 못합니다. 반론을 검토한 뒤에도 남는 근거가 최종 결론의 무게가 됩니다.

시간의 순서도 별도의 증거입니다. 압수범위·봉인·접근로그·분석도구·작성자 자료를 하나의 연쇄로 맞춰봅니다. 사람의 기억은 결과를 안 뒤 다시 배열되기 쉬우므로, 당시 만들어진 문서·메시지·접수기록을 우선하고 사후 진술이 그것과 맞는지 확인합니다. 날짜가 맞지 않으면 단순 오기인지, 기억의 변화인지, 주장 전체에 영향을 주는 불일치인지 나누어 적어야 합니다.

함께 읽기

• 압수수색영장 대응 방법 — 판사가 보는 확인 순서 — 영장 확인부터 돌려받기, 재판까지 전체 순서
• 휴대전화 전체를 엑셀로 옮긴 수사는 적법한가 — 처음 압수할 때 영장 범위를 넘어 통째로 복제한 경우
• 포렌식이 끝난 뒤 별건 자료를 다시 찾았다면 — 압수 절차가 끝난 뒤 남은 복제본을 다시 뒤진 경우
• 압수수색영장을 보여주지 않았다면 — 현장에서 영장 제시가 잘못된 경우와 준항고
• 수사 과정 글 모아 보기 · 형사절차 지도