[디지털 포렌식 전문가] 5. 디지털 포렌식 기초실무_디지털 포렌식 관련 법률

압수수색과 영장

압수

• 물건의 점유를 수사기관으로 이전하는 행위. 사건과 관계가 있다고 인정할 수 있는 것에 한정해 압수를 진행할 수 있다.

 

수색

• 사건과 관계가 있다고 인정하는 것에 한해 피고인의 신체, 물건 또는 주거지나 장소를 수색하는 것.
• 피고인 아닌 자의 수색은 압수할 물건이 있음을 인정할 수 있는 경우에 한해서만 가능하다.
• 압수수색 영장에는 압수할 물건과 수색할 공간이 구체적으로 특정되어 있어야 한다.

 

압수수색의 제한

• 군사상 비밀인 장소, 공무원, 변호사, 회계사, 의사, 약사, 간호사, 종교인 등의 특정 직업은 압수수색 행위가 일부 제한된다.

 

영장의 제시

• 압수 수색영장은 처분을 받는 자에게 반드시 제시하여야 한다. 처분을 받는 자가 피고인인 경우에는 그 사본을 교부해야 한다.
• 영장은 피압수자 전원에게 개별적으로 제시해야 한다.
• 연장 원본을 제시하지 않았다면 절차를 위반한 것으로 보며 수집한 증거도 증거능력을 인정받지 못함.
• 영장 제시는 집행에 착수하기 전에 제시하는 것이 원칙이나 증거인멸의 우려가 있는 경우는 입실 후 제시해도 위법이라고 할 수 없다.
• 처분을 받는 자가 현장의 없는 등 영장 제시나 사본 교부가 현실적으로 불가능하거나 사본 교부를 거부하면 예외로 하여 압수 수색을 진행해도 위법하다고 볼 수 없다.

영장의 재집행 금지

• 수사기관이 압수수색을 실시하고 집행을 종료하였다면 영장의 유효기간이 남아 있어도 동일한 장소나 목적물에 대한 압수수색을 위해서는 다시 영장을 발급받아야 한다.

 

별건 압수수색에 대하여

• 압수수색 집행 도중 현재 수사중인 범죄와 관련 없는 별개의 범죄 행위에 대한 증거를 발견했다면 탐색을 중지하고 이에 대해 영장을 새로 발부받은 이후 압수수색을 진행해야 한다.

 

영장에 의하지 않은 압수수색

• 영장 없이 압수를 진행한 이후 사후 영장을 받지 않는다면 압수물의 증거능력이 인정되지 않는다.
• 범행 중 또는 범행 직후 범죄 장소에서 긴급을 요하여 영장을 받을 수 없을 떄에는 영장없이 압수 수색을 진행한 후 사후에 영장을 받아야 한다.
• 긴급체포로 체포된 자가 소유, 소지 또는 보관하는 물건을 긴급히 압수할 필요가 있다면 체포 시점부터 24시간 이내에 영장없이 압수, 수색을 할 수 있다.
• 압수할 물건을 계속 압수할 필요가 있는 경우에는 압수수색영장을 청구해야 한다. 이 경우에는 체포 시점부터 48시간 이내에 해야 한다.
• 압수수색영장을 발부받지 못했다면 압수한 물건을 즉시 반환해야 한다.

 

선별압수의 원칙

• 압수 목적물이 컴퓨터 디스크나 이와 비슷한 정보저장매체인 경우 사건과 관련된 정보 범위를 정해서 출력하거나 복제해서 제출해야 한다.
• 사건과 관련한 부분이 영장에 미리 기재되어 있어야 한다.
• 압수수색 시 범죄사실과 관련된 데이터에 한해서만 선별 압수를 해야 하며, 출력 및 복사가 어렵거나 압수 목적 달성이 곤란한 경우 피압수자 및 참여인의 참여하에 전체 디스크 복제 및 이미징을 진행한다. 이후 해시값을 생성하여 압수 목록 문서를 작성하여 피압수자 또는 참여인에게 교부하며 확인 서명을 받는다.
• 단 이와 같은 방법이 곤란한 경우는 정보저장매체를 압수할 수 있다.
•  
• 디지털 저장매체의 복제본 획득이 불가능하거나 압수 목적 달성이 어려운 경우 피압수자등의 참여하에 저장매체 원본을 봉인 후 외부로 반출한다. 원본은 특별한 사정이 없는 한 10일 이내에 비압수자에게 반환하며 반환취지를 고지한다.
• 복제본 획득이 불가능한 상황은 다음과 같다.

디지털 데이터의 양이 방대해 복제에 과도한 시간이 소요될 것으로 예상되거나

해당 디지털 데이터를 저장할 저장 매체가 없는 경우

피압수자 또는 참여인이 협조하지 않거나 협조를 기대할 수 없는 경우 및 압수 수색이 영업활동이나 사생활을 현저하게 침해하는 경우

 

압수물의 환부

• 증거로 사용하지 않는 압수물은 종결 전이라도 돌려 주어야 한다.
• 증거로 사용하는 압수물이라도 소지자가 환부 요청을 하거나 계속 사용해야 한다면 사진촬영 등 원형 보존을 한 후 신속히 가환부한다.
• 소유자가 압수물 포기각서를 작성했어도 수사기관의 환부의무는 소멸하지 않는다.
• 소유권이 적법하게 소멸하였다고 하더라도 소유자는 환부청구권을 행사할 수 있으며 국가기관의 환부의무는 소멸하지 않는다.

 

원격지 압수수색

• 이메일이나 클라우드처럼 압수물이 현장에 있지 않은 경우 정상적인 방법으로 아이디와 패스워드를 입수했다면 범죄 혐의사실과 관련된 부분만을 출력하거나 저장하여 선별 압수 수색하는 것이 가능하다.

---

증거

증거능력

• 형사소송법상 제출한 증거가 증거로 인정받을 수 있는 자격을 말한다. 위법하게 수집한 증거는 증거능력을 인정받지 못한다.
• 위법하게 수집한 증거에서 파생된 2차 증거 역시 증거로 사용할 수 없다.
• 단 실체적 진실규명과 함께 형사 사법 정의 실현을 위한 예외적인 경우 위법수집증거도 증거능력을 가질 수도 있다.

 

증명력

• 증거가 사실 인정에 도움이 되는 실질적인 가치를 말한다. 증명력은 일정한 규정 없이 법관의 자유로운 판단에 맡긴다.

 

---

 

전문법칙

전문증거

• 사건과 관계 있는 사람이 진술하는 것이 아닌 전해 들은 사람이 진술하는 증거.
• 전문증거는 증거능력이 부정되므로 법정에서 증거로 사용할 수 없다.
• 디지털 저장매체의 경우 보관증거인 전자메일, 문서 파일, 메모는 전문증거가 될 수 있다. 만일 작성자나 진술자의 진술로 인해 진정함이 적용된다면 증거로 사용할 수 있다.
• 자동으로 생성되는 생성증거인 인터넷 사용 기록, 시스템 접속 기록, 레지스트리 데이터는 전문증거가 아니다.

             *보관증거 : 사람이 직접 생성해서 디지털 기기에 저장한 정보

             *생성증거 : 기계가 자동으로 생성해 디지털 기기에 저장한 정보

 

 

전문법칙의 예외

• 법원 또는 법관의 조서
• 신빙서 있는 상태에서 작성한 검사 또는 사법경찰관의 조서
• 제 3자가 작성한 진술서나 기재한 서류 중 진술자의 자필이거나 서명 또는 날인이 있는 것 중 공반 준비나 공판기일에서 진술자의 진술에 의해 진정함이 증명되면 증거능력을 인정받는다. 만일 작성자가 성립의 진정을 부인해도 해당 진술이 신빙성 있는 상황에서 행해졌거나 디지털 포렌식 등 객관적, 과학적 방법으로 성립의 진정을 증명할 수 있다면 증거로 사용 가능하다.
• 진술자가 사망, 질병 등으로 진술이 불가능해도 신빙할 수 있는 상태의 조서나 서류는 증거로 사용 가능하다.
• 등본, 초본 등 공무원이 직무상 증명 가능한 문서.
• 상업 장부, 항해 일지 등 업무상 필요로 작성한 통상 문서

---

통신비밀보호법

 

통신

• 우편물 및 전기통신을 말한다.

 

검열

• 우편물에 대해 당사자 동의없이 개봉하거나 다른 방법으로 내용을 획득하는 것.

 

감청

• 전기통신에 대해 당사자 동의없이 전자, 기계장치등을 사용해 통신의 내용을 청휘하여 내용을 획득하거나 송 수신을 방해하는 것.

 

통신 및 대화비밀의 보호

• 검열과 감청은 통신제한조치에 해당하며 예외적인 상황을 제외하고는 금지된다.
• 검열 및 감청을 통해 획득한 자료는 증거능력을 인정받지 못한다.
• 단 이미 수신이 완료된 전기통신 내용을 알게 되는 것은 감청이 아니다.

 

증명력이 인정되는 녹음의 기준

• 대화 내용을 몰래 녹음했을 경우 상대방의 동의를 받지 않은 상황에서도 당사자가 대화에 참여했다면 불법 감청으로 인정하지 않는다.
• 다만 대화에 참여하지 않은 제 3자가 녹음했다면 참여자의 동의를 받았더라도 불법 감청으로 인정한다.

 

통신제한조치의 허가

• 범죄를 계획 또는 실행하고 있거나 실행했다고 의심할만한 명확한 이유가 있는 경우.
• 범죄 실행을 저지하거나 범인 체포, 증거 수집이 어려운 경우 허가가 가능하다.
• 통신제한조치청구는 필요한 통신제한조치의 종류, 목적, 대상, 범위, 기간, 집행장소, 방법 및 위의 조건을 충족하는 청구이유를 법원에 서면으로 제출해야 한다.

---

 

 

디지털 포렌식의 절차

 

사전준비

• 사전 수사계획 수립, 사전 수사팀 구성 및 현장 조직도 및 네트워크 현황도 파악

 

압수 수색 집행

• 현장에서는 영장과 신분증을 제시해야 하며 압수물이 제 자리에 있도록 한 후 현장을 스케치하여 보존해야 한다.

 

• 수색 현장을 사진이나 동영상으로 남겨야 한다.
• 시스템 시각과 현재 시각이 일치하는지 확인하고 모니터 화면 사진을 찍어 증거로 남긴다.
• 압수 수색 과정이 정당하다는 확인서를 피압수자에게 확인 받아야 한다.

 

• 피압수자의 참여권 보장을 고지하고 디지털 포렌식 절차 및 도구에 대해 설명해야 한다.
• 수사관이 참여권을 고지하였음에도 피압수자가 거부하면 동영상으로 참여권 고지 및 거부 상황을 녹화함으로써 고지의무 위반사항에 대해 주장하는 피고측의 주장에 항변할 수 있다.
• 영장 집행 중에는 피고인과 변호인을 참여시켜야 하며 관련 없는 타인의 출입은 금지하도록 강제할 수 있다.

 

• 압수물은 압수한 직후 봉인한다.

 

증거의 이송

• 압수한 디지털 저장매체 및 기기가 이송, 보관하는 과정에서 파손되거나 손상되지 않도록 해야 한다.
• 증거물마다 라벨링을 하여 식별을 용이하게 하고 에어캡 등으로 외부 충격을 보호해야 한다.

 

증거 분석

• 획득한 증거물을 분석실로 이송하여 분석한다.
• 분석 과정 역시 압수수색의 연장이므로 참여권 보장 등의 절차 준수가 이루어져야 한다.
• 분석자는 전문 자격이 있고 경험있는 사람이어야 하며 신뢰성 있고 검증된 증거 분석 도구를 사용해야 한다.
• 증거 분석은 복제본을 생성하여 수행한다. 단 불가피한 사정이 있다면 디지털 압수물로 분석한다.
• 압수물을 봉인 해제하여 분석하였다면 보관을 위해 다시 봉인해야 한다.

 

증거 보관

• 증거물의 무결성이 훼손되지 않도록 보관 및 관리하는 절차.
• 충격에 안전한 케이스를 이용해야 한다.
• 시스템에 전원을 공급하거나 네트워크에 연결하지 않도록 해야 한다.
• 휴대전화는 전원을 끈 상태로 전파차단장치에 담아 보관한다.

 

증거제출과 조사

 

제 3자의 검증