공소청 밖 27개 기관 이용…계좌·사진 등 통합 분석해 관계도 보여줘

'디지털 캐비닛' 우려에는 접근 통제 강조…"재판 확정되면 증거 폐기"

[촬영 정윤주]

(서울=연합뉴스) 정윤주 기자 = "보이스피싱이나 마약처럼 수십명이 얽혀 있는 큰 사건 압수수색을 하면 PC·휴대전화가 몇십대에서 몇백대씩 나오는 경우가 있습니다. 여기서 추출한 정보를 제대로 분석하기 위한 시스템인 거죠"

공소청 디지털포렌식센터 이인수 소장은 16일 연합뉴스와의 인터뷰에서 디지털 증거 관리·분석 시스템 '엔디파스'(NDFaas)를 이렇게 설명했다.

이 소장은 공소청의 디지털 증거 관리 시스템 '디넷'(D-NET)과 '엔디파스'의 설계·개발을 이끈 인물이다.

초기 설계부터 분석 기능 구현, 인공지능(AI)을 활용한 기능 확충까지 그의 손을 거쳤다.

2012년 4월 가동을 시작한 디넷은 과거 검찰이 압수수색 등 강제 수사 과정에서 확보한 스마트폰·PC·서버 등 디지털 증거를 등록하고 보관하기 위해 구축한 시스템이다.

검찰 내부 업무에 맞춰 설계한 디넷과 달리 클라우드 플랫폼 기반 엔디파스는 고위공직자범죄수사처와 특별사법경찰 등 여러 수사기관이 활용할 수 있도록 만들었다.

디넷을 운영하며 쌓은 경험을 바탕으로 기관마다 다른 업무 절차와 환경을 반영해 2021년부터 단계적으로 서비스를 개방해 총 27개 기관이 이용하고 있다.

공소청은 엔디파스 대신 디넷을 사용하고 있다.

지난달 2일 출범한 중대범죄수사청도 엔디파스를 이용하기로 공소청과 협의한 상태다.

다만 대량의 디지털 증거를 저장할 장치를 확충하고 네트워크·보안 환경을 구축하는 작업이 필요하다고 한다.

[촬영 정윤주]

◇ 엔디파스의 역할…증거 확보·등록해 재판까지 보전

엔디파스의 기본 역할은 확보한 디지털 증거를 등록해 분석하고 재판에서 활용할 수 있도록 보관·관리하는 것이다.

디지털포렌식 수사관은 압수수색으로 확보한 PC나 스마트폰에서 데이터를 추출한다.

저장매체의 내용을 통째로 복제하는 '이미징' 등으로 증거를 보전하고, 이후 분석 과정에서도 원본과의 동일성을 확인할 수 있도록 하는 작업이다.

이때 포렌식 수사관이 추출한 자료를 사건 담당 수사관이 검색하고 분석할 수 있도록 해주는 도구가 엔디파스다.

시스템에는 사건정보를 비롯해 압수자·피압수자·압수 정보 목록·저장매체의 종류 등을 등록한다.

어떤 도구로 데이터를 추출했는지와 이를 분석한 결과도 함께 관리한다.

저장된 정보에 대한 사건별 접근 권한을 구분하고, 접속 기록도 남는다.

이인수 소장은 "일부 피고인이 법정에서 압수된 디지털 증거에 대해 '조작됐다'라거나 '수사기관에서 흔적을 바꿨다. 내가 작성한 게 아니다'라고 주장할 때가 있다"며 "엔디파스에서 보관하는 검증 이미지는 접근 기록에 대한 로그까지 남아 있는 파일이어서 무결성이 보존된다"고 말했다.

이어 "디지털 증거를 이렇게 등록해 보관하지 않으면 손으로 적거나 엑셀로 관리해야 하는데, 수사하면서 증거를 찾는 데 어려움을 겪을 수도 있다"고도 말했다.

[촬영 정윤주]

◇ 엔디파스의 특징…흩어진 단서 모아 관계도로 보여줘

엔디파스만의 최대 장점은 여러 기기와 파일에 흩어진 정보를 모아서 한눈에 분석할 수 있다는 점이다.

카카오톡처럼 데이터베이스 형태로 저장되는 메신저 자료는 대화 상대와 내용 등을 조합해 보여주고, 사진은 신분증·예금통장·명함·신용카드·영수증·메시지 캡처 등 유형별로 분류해 살펴볼 수 있다.

사진에서 촬영일시와 사진이 촬영된 위도·경도 정보도 확인할 수 있고, 촬영 위치를 지도로 연결해 볼 수도 있다.

수사관은 방대한 자료 속에서 확인해야 할 대상을 빠르게 추릴 수 있다.

통화내역과 계좌거래 내역을 모두 등록한 뒤 전화번호별 통화 상대와 횟수, 시간대별 통화 양상 등을 보여주는 기능도 있다.

보이스피싱 사건이라면 누가 누구와 자주 연락했는지, 특정 시점에 통화가 어디로 집중됐는지 살펴보는 식이다.

통화내역에 포함된 기지국 정보를 지도에 표시하고 시간대를 설정해 위치 정보를 비교할 수도 있다.

계좌거래 분석에서는 돈이 들어오고 빠져나가는 흐름과 연결계좌를 살펴볼 수 있다.

사회관계망분석(SNA) 기능도 있다. 인물 별 관계도를 설정해 어떤 인물이 주범인지, 종범인지도 판단할 수 있다.

금융위원회 한 조사관은 "주식 거래나 불공정 거래를 조사할 때 자금의 흐름을 파악하는 게 중요한데, 엔디파스에 금융계좌를 넣으면 자동으로 인물 간 자금 흐름을 보여주는 시각 자료를 볼 수 있다"고 말했다.

지방노동청 근로감독관도 "엔디파스에 1년치 통신내역을 등록한 뒤 실업급여 수급 기간 중 특정 근무 시간대의 통화, 문자 수발신 빈도와 패턴 등을 분석했고, 이를 통해 부정수급 증거에 대한 객관적 데이터를 확보했다"고 말했다.

[촬영 정윤주]

◇ '디지털 캐비닛' 우려에 "개별사건 관여 안 해"

디넷과 엔디파스는 디지털 증거를 폐기하지 않고 쌓아두는 '디지털 캐비닛' 역할을 한다는 우려도 일각에서 제기돼 왔다.

수사 효율성을 높이는 반면 민간인 사찰과 개인정보 침해, 먼지 털이식 수사에 활용된다는 의심도 받는다.

이와 관련해 이인수 소장은 "개개의 구체적인 사건에 관여하지 않는다는 게 시스템 구축 때부터의 대원칙이었다"고 설명했다.

사건 담당 검사의 요청에 따라 증거를 보관하거나 폐기하고, 재판이 확정되면 증거가 폐기된다는 것이다.

세월호 사건만 예외적으로 사회적 참사인 데다 중요성이 인정돼 증거가 보전되고 있다고도 했다.

증거를 식별번호로만 관리한다고도 강조했다.'2026증거지원제4호'와 같이 식별번호로 저장돼 증거 번호만으로 어떤 사건의 증거인지 알 수 없다는 것이다.

이 소장은 "어떤 증거에 접근하려고 해도 권한이 주어진 수사관 외에 접근할 수 없다"며 "어떤 분석관이 나쁜 마음을 먹고 '접근해볼까'라고 생각해도 로그가 남아서 불가능하다"고 말했다.

수사와 기소가 분리된 현 공소청 체제에서도 디지털 증거를 보관·분석하는 시스템은 필요하다고 강조했다.

이 소장은 엔디파스에 대해 "수사만을 위한 시스템이라고 볼 수 없다"며 "공소청 체제에서도 사건을 송치받은 검사가 전자적 증거가 범죄 사실이나 공소 사실에 부합하는지 따져봐야 하고, 증거를 토대로 공소 제기 여부를 결정해야 한다"고 말했다.

jungle@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.