보안전문가 "국정원女 수사, 10%도 진행 안됐다

[머니투데이 이하늘기자]["포털 ID 및 IP 분석 마쳐야 댓글작성 여부 판가름"]

"이번 경찰의 브리핑은 디지털포렌식(데이터 수집·분석 수사)의 기본조차 지켜지지 않았습니다.

댓글 여부를 판단하려면 당사자의 하드디스크가 아닌 해당 포털의 로그기록 분석이 우선입니다."

17일 다수의 보안업계 관계자들이

최근 국정원 직원의 문재인 후보 비방 악성 댓글 작성과 관련한 경찰의 수사에 의구심을 제기했다.

서울 수서경찰서는 이날 하드디스크를 조사한 결과

 국정원 직원 김모씨(28·여)의 데스크톱과 노트북에서

 '문재인 후보 비방 댓글 및 박근혜 후보 지지 댓글 작성 흔적'을 전혀 찾을 수 없다고 중간수사 결과를 밝혔다.

"◇이용자 PC 아닌 포털 로그기록이 핵심"

 

익명을 요구한 한 사이버포렌식 전문가는

 "하드디스크에 있는 댓글 흔적은 쿠키정리 등 간단한 조치만으로도  삭제할 수 있으며

 다른 PC 및 스마트폰을 이용해서 단 댓글을 파악할 수 없다"고 말했다.

 

그는 또 "만일 국정원 직원이 증거를 은폐하려고 했다면 하드디스크 데이터를 완전히 삭제하는

디가우징 방식을 이용했을 것"이라며 "다만 오피스텔에 물리적 기기가 없기 때문에

SW(소프트웨어) 방식의 디가우징을 실행했을 가능성이 높고

이는 경찰이 갖고 있는 최고사양의 복구시스템 '인케이스'로 되돌릴 수 있다"고 설명했다.

경찰 역시 이 같은 방법을 이용해

 "김씨의 온라인 아이디와 닉네임이 40여 개 존재한다"는 사실을 밝혔다.

또한 "데이터 덮어쓰기가 된 부분 등

완전히 복구되지 않은 영역이 존재한다는 점은 부정할 수 없다"고 설명했다.

이에 또 다른 보안전문가는 "보통 지능형 범죄 댓글을 달 때 복수의 장소에서 다수의 기기를 이용해

수사망을 피한다"며 "단순히 김씨의 노트북과 데스크톱PC 하드디스크 분석만으로는

댓글 여부를 확인할 수 없다"고 설명했다.

 

그는 "가장 확실한 방법은 해당 포털에 의뢰해 김씨의 아이디 계정에 대한 로그분석을 하는 것"이라며

"이를 통해 해당 로그인 및 댓글 기록을 찾을 수 있고 접속장소도 확인할 수 있다"고 밝혔다.

아울러 "이미 덮어쓰기를 한 하드디스크 복구는 정확한 정보확보에 문제가 있기 때문에

 댓글 여부를 판단할 수 있는 요건 가운데 10%도 확인하지 않은 것"이라고 설명했다.

 

◇포털 정보제공, 수사영장 있어야 가능

다만 지난달부터 국내 포털들이 수사기관의 개인 신상정보 제공 요청에 일절 응하지 않기로 하면서

 수사에 난항이 예상된다. 포털 계정을 수사하려면 경찰이 영장을 신청해야 가능하다.

또한 이용자가 자신의 계정으로 접속해 댓글을 삭제한 경우 이를 복원할 수 있을지도 미지수다.

포털업계 관계자는 "현행법상 포털들은 이용자의 로그인 기록을 3개월 이상 보유해야 한다"며

"댓글 등 별도 서비스는 강제조항 없기 때문에 기록보관 기간이 각 포털별로 각각 다르다"고 설명했다.

 

하지만 김씨가 오피스텔에 머무른 3일 동안 40여 개의 아이디로 접속을 하고 댓글을 삭제했다면

로그인 기록은 존재하기 때문에 댓글 여부의 윤곽이 드러날 것으로 보인다.

또한 김씨가 계정 40여 개를 운용한 부분 역시 의문스러운 부분이다.

국내 최대 포털인 네이버는 3700만명의 이용자를 갖고 있다.

이들은 복수의 계정을 생성할 수 있지만 전체 계정 수는 1억개가 넘지 않는다는 것이 업계의 설명이다.

이용자 평균 3개에도 못 미치는 복수계정을 운영하는 것을 감안하면 김씨의 복수계정 수가 너무 많다.

 

업계 관계자는 "복수 아이디를 갖고 있는 이용자도 2~3개 정도에 머무른다"며

"수십개의 계정을 활용하는 것은 일부 어뷰징을 목적으로 하는 이용자들"이라고 설명했다.

◇"초기 하드디스크 확보했어야"

한편 이번 수사에서 초기 대응에 문제가 있다는 지적도 목소리를 높이고 있다.

표창원 전 경찰대 교수는 "법을 집행하려던 선관위 직원과 경찰관이 문을 열어달라고 했는데

국정원 직원이 문을 열어주지 않았다"며 "(감금이 아니라) 오히려 잠금이라고 해야 한다"고 설명했다.

 또한 "대치상태가 40시간 지속되면서 그 사이에 어떤 증거 인멸이 있었는지도 모르는데

임의제출 형식으로 증거물을 제출 받았다"며

 "지금 분석 결과만 가지고 진위를 확인할 수 있는 상태가 아니다"라고 밝혔다.

 보안업계 관계자 역시 "11일 오후

경찰과 선관위가 오피스텔에 들어가자마자 바로 하드디스크를 확보했다면

보다 명확한 증거를 찾을 수 있었을 것"이라며

"추가적인 포털 로그분석이 진행되지 않은 현재 상황에서는

 사실관계 파악이 어렵다"고 말했다.

머니투데이 이하늘기자 iskra@

<저작권자 ⓒ '돈이 보이는 리얼타임 뉴스' 머니투데이, 무단전재 및 재배포 금지>