디지털 포렌식 - 법이론 1

 

디지털 증거의 특징

 

무체정보성(=비가시성, 비가독성)

육안으로 식별이 불가능한 매체 독립적인 무체물

 

취약성

위·변조 및 삭제가 용이하여 무결성 문제 대두

 

대량성

대량의 데이터가 한 저장매체에 저장되어 있음

 

네트워크 관련성

네트워크를 통해 시간과 공간을 초월하여 저장 및 전송 됨. 

 

 

디지털 포렌식의 기본원칙

 

적접절차의 준수

수사절차 전반에 거쳐 적용되는 원칙이며, 적법절차에 의하지 않고 수집된 증거는 위법한 증거로서 증거 능력이 제한됨 (형사소송법 제308호의2)

 

원본증거의 보존

증거수집시에는 반드시 쓰기방지장치를 이용하여 증거원본에 대한 무결성을 유지하여야 하며, 증거분석시에는 복사본을 가지고 분석 작업을 수행하여야 함

 

무결성 확보

원본과의 동일성을 해시값 등을 통해 검증해야 하며, 무결성 확보를 위해서는 분석자와 분석도구에 대한 신뢰성이 확보되어야 함

 

보관의 연속성(연계 보관성)

증거가 어떻게 수집되어 누구에게 분석·보존되었는가를 증명할 수 있도록 문서로 기록하는 것을 말하며, 신뢰성 확보를 위해서는 모든 과정을 기록해야함

 

신속성

디지털 증거는 외부적 요인에 의해 쉽게 훼손될 수 있기 때문에 전 과정을 신속하게 진행하여야 함

 

 

  디지털 증거의 증거능력 인정을 위한 요건

 

수집절차의 적법성 확보

위법하게 수집한 증거는 증거능력이 없음

 

진정성(=동일성)

특정한 사람의 행위 결과가 정확히 표현되었고 그로인해 생성된 자료인 것임이 인정 되어야 하는 것으로 그러한 증거에 관한 동일성 및 무결성의 문제

 

■ 무결성 : 디지털 증거의 압수에서 법정에 제출되기까지의 변경되지 않았다는 사정으로 일련의 과정에 주목하는 개념

■ 동일성 : 원본과 복사본 혹은 출력문간, 또는 같은 저장매체의 압수·수색 당시와 증거로 제출될때의 동일성에 대한 문제로 비교에 주목하는 개념

 

신뢰성

포렌식 도구의 정확성과 신뢰성, 분석자의 기술능력과 정확성

 

 

무결성과 자료의 동일성 입증방법

 

원칙(대법원 2013.07.26. 선고 2013도2511 판결)

피압수·수색 당사자가 정보저장매체 원본과 하드카피 또는 이미징한 매체의 해시(Hash)값이 동일하다는 취지로 서명한 확인서면을 교부받아 법원에 제출하는 방법에 의하여 증명

 

예외(대법원 2013.07.26. 선고 2013도2511 판결)

■ 원칙과 같은 방법에 의한 증명이 불가능하거나 현저히 곤란한 경우, 정보저장매체 원본에 대한 압수, 봉인, 봉인해제, 하드카피 또는 이미징 등 일련의 절차에 참여한 수사관이나 전문가 등의 증언에 의해 정보저장 매체 원본과 하드카피 또는 이미징한 매체 사이의 해시값이 동일하거나, 

■ 정보저장매체 원본이 최초 압수 시부터 밀봉되어 증거 제출 시까지 전혀 변경되지 않았다는 등의 사정을 증명하는 방법 또는 법원이 그 원본에 저장된 자료와 증거로 제출된 출력 문건을 대조하는 방법 등으로도 그와 같은 무결성·동일성을 인정할 수 있다. 

 

 

 

압수 (형소법 제106조) #선별 수집

 

증거물과 몰수대상물

형사소송법 제 106조

1. 법원은 필요한 때에는 피고사건과 관계가 있다고 인정할 수 있는 것에 한정하여 증거물 또는 몰수할 것으로 사료하는 물건을 압수할 수 있다. 단, 법류에 다른 규정이 있는 때에는 예외로 한다. 

2. 법원은 압수한 물건을 지정하여 소유자, 소지자 또는 보관자에게 제출을 명할 수 있다. 

 

정보저장매체

형사소송법 제 106조

3. 법원은 압수의 목적물이 컴퓨터용디스크, 그 밖에 이와 비슷한 정보저장매체(이하 이 항에서 "정보저장매체등"이라 한다)인 경우에는 기억된 정보의 범위를 정하여 출력하거나 복제하여 제출받아야 한다. 

다만, 범위를 정하여 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기에 현저히 곤란하다고 인정되는 때에는 정보저장매체등을 압수할 수 있다. 

 

 

 

진술 증거 & 비진술 증거

 

진술증거

사람의 진술이 증거로 되는 것

 

■진술방법에 따른구분

     구두에 의한 진술증거

     서면에 의한 진술증거

 

■ 진술주체에 따른구분

      원본증거 : 증인이 직접 경험한 사실을 진술하는 것

      전문증거 : 타인으로부터 전해들은 사실을 진술하는 것 ▶ 전문법칙 적용

 

■ 디지털증거에서의 진술증거

      이메일, 문서 등 사람이 작성한 디지털증거

 

비진술증거

진술증거 이외의 서증과 물적 증거

 

■ 디지털증거에서의 비진술증거

     로그, 메타데이터 등 컴퓨터가 자동으로 생성한 디지털증거

 

■ 비진술증거는 전문법칙 적용 X ▶ 증거능력 O

 

 

위법수집증거 배제법칙 (형소법 제308조의2)

 

형사소송법 제308조의2

적법한 절차에 따르지 아니하고 수집한 증거는 증거로 할 수 없다. 

 

독수독과 이론

위법하게 수집된 증거(독수)에 의하여 발견된 제2차 증거(독과)의 증거능력은 인정할 수 없다는 이론

 

독수독과 이론의 예외

모든 2차적 증거가 제한될 경우 실체적 진실 규명이 어렵게 될 수 있으므로 독수독과의 예외의 이론(오염희석이론, 불가피한 발견의 이론, 독립된 증거원의 이론, 선의의 신뢰 이론 등)에 해당하는 경우 증거로 인정 받을 수 있음

 

판례 (대법원 2007도 3061 전원합의체)

수사기관의 증거수집과정에서 이루어진 절차 위반행위와 관련된 모든 사정을 "전체적·종합적"으로 살펴볼 때, 수사기관의 위반행위가 적법절차의 실질적인 내용을 침해하는 경우에 해당하지 않고, 증거의 증거능력을 배제하는 것이 형사사법 정의를 실현하려고 한 취지에 반하는 결과를 초래하는 것으로 평가되는 예외적인 경우에는 증거로 사용할 수 있다. 

 

 

참여권의 보장 (형소법 제121조~제123조)

 

형사소송법 제121조

검사, 피고인 또는 변호인은 압수·수색영장의 집행에 참여할 수 있다. 

 

형사소송법 제122조

압수·수색영장을 집행함에는 미리 집행의 일시와 장소를 전조에 규정한 자에게 통지하여야 한다. 

단, 전조에 규정한 자가 참여하지 아니한다는 의사를 명시한 때 또는 급속을 요하는 때에는 예외로 한다. 

 

형사소송법 제123조

1. 공무소, 군사용, 항공기 또는 선박·차량 안에서 압수·수색영장을 집행하려면 그 책임자에게 참여할 것을 통지하여야 한다. 

2. 제1항에 규정한 장소 외에 타인의 주거, 간수자 있는 가옥, 건조물, 항공기 또는 선박·차량 안에서 압수·수색영장을 집행할 때에는 주거주, 간수자 또는 이에 준하는 사람을 참여하게 하여야 한다. 

3. 제2항의 사람을 참여하게 하지 못할 때에는 이웃 사람 또는 지방공공단체의 직원을 참여하게 하여야 한다. 

 

 

판례

대법원 2014도10978 (이석기 내란음모 사건)

■ 변호인측 주장

1. 압수수색 과정에서 사전통지가 생략되는 등 당사자의 참여권이 박탈되었고, 이를 대신할 적법한 참여인이 없었다. 

2. 암호화된 파일을 복호화하거나, 삭제된 파일을 복구하고 영장에 기재된 범죄혐의 관련 전자정보를 탐색하여 이를 문서로 출력하는 과정에서 피고인과 변호인에게 집행일시와 장소를 통지하지 않은 위법이 있다. 

 

■ 전원합의체 결정

1. 피고인들과 변호인에게 집행의일시와 장소를 사전에 통지하지 아니한 것은 형사소송법 제219조, 제122조 본문, 제121조에 위배되나

 

2. (대법원 2007도3061 전원합의체 판결)의 법리와 "기록에 의하여 인정할 수 있는 사정"을 종합적으로 고려하면, 이 사건 압수수색과정에서 수집된 증거는 위와 같은 복호화 등 과정 참여권과 관련된 절차 위반행위에도불구하고, 이를 유죄 인정의 증거로 사용할 수 있는 예외적인 경우에 해당한다. 

 

■ 기록에 의하여 인정할 수 있는 사정

1. 피고인들은 압수물 분석 과정등에 대한 참여권 보장을 요청하지 않았다. 

2. 복구나 암호의 해독 등은 그 성공 가능성을 미리 예측할 수 없고 그 방법이나 소요시간 등도 가늠하기 어렵다. 따라서 참여권을 완전히 보장하기란 현실적으로 어려움이 있다. 

3. 복호화 과정에서 참여통지를 하지 않은 것은 영장집행의 종료시점에 관하여 나름대로 해석한 결과인 것으로 볼 여지가 있고, 참여를 의도적으로 배제하려 하였던 것은 아니었다. 

4. 보관의 연속성이 인정되어 분석하는 과정에서 정보를 훼손하거나 조작을 가할 개연성이 매우 낮아 보인다.