theTAX tv 채흥기 기자 | 박영수 특검이 2017년 당시 삼성뇌물죄의 직접 증거로 제시한 ‘장시호 태블릿’이 디지털포렌식을 실시한 결과 사실은 최서원(개명전 최순실)이 사용한 것이 아닌 정황이 드러나고 있다.

 

국정농단 사건으로 18년형을 선고받고 청주여자교도소에 6년째 수감 중인 최서원의 법률대리인인 이동환 변호사는 지난 29일 포렌식 결과를 발표하고, ‘장시호 태블릿’은 조작돼 불법적이므로 증거로서 가치가 없다고 말하면서 공정한 수사를 위해 특검을 실시해야 한다고 주장했다.

 

최서원측은 ‘장시호 태블릿’이 사실상 조작됐다고 보고, 특검 관련자들을 공수처에 고발키로 했다. 피고소인에 당시 특검 제4팀 팀장을 맡았던 윤석렬 현 대통령과 팀원으로 사실상 2인자였던 한동훈 법무부장관을 증거인멸죄와 모해위증죄 등 혐의로 공수처에 고발키로 하고, 이와 관련 기자회견을 오는 12월7일 서울 덕수궁 상연재 시청역점 본관 컨퍼런스룸11호에서 실시 예정이며 주중 고발할 것으로 알려졌다.

 

2017년 국정농단 수사 당시 박영수 특검 제4팀이 장시호 태블릿 수사를 맡았는데, 팀장은 윤석렬, 한동훈은 사실상 2인자로 관련 수사를 담당했다.

 

장시호 태블릿은 최서원측이 소송을 제기해 특검으로부터 돌려받았고, 디지털포렌식을 의뢰해 29일 결과를 발표했다. JTBC 태블릿 역시 최서원측이 소송을 해 이겨 법원이 이를 가지고 있는 서울중앙지검에 돌려달라고 했지만, 돌려주지 않고, 검찰은 항소했다. 휴대폰이나 태블릿의 경우 수사자료화 한 후 소유자에게 돌려주어야 한다.  왜? 검찰은 돌려주지 않는 것일까? 이 태블릿PC 역시 상당한 내부 정보가 삭제되었을 것으로 추정되고 있다.

 

                                                                                                             (촬영: 채흥기 기자)

 

‘장시호 태블릿’은?

‘장시호 태블릿’은 장시호가 제출한 최서원의 태블릿이라는 뜻으로, 2017년 당시 언론에서는 JTBC가 2016년 10월24일 제출한 태블릿과 구분해 ‘제2태블릿’으로 불렀다. ‘장시호 태블릿’은 박근혜 전 대통령과 최서원에 대한 국정농단 수사과정에서 삼성전자 이재용 부회장 뇌물공여 등 사건의 직접증거로 특검이 압수한 디지털 증거물이다.

 

이 태블릿은 2017년 1월5일 장시호의 변호인 이지훈 변호사가 특검 제4팀(팀장 윤석렬) 박주성 검사에게 임의 제출해 압수 처리됐다. 특검은 압수 이후 포렌식을 거쳐 그 결과를 담은 수사보고서(2017.1.10.)를 작성하고, 이규철 대변인이 2017년 1월11일 정례브리핑을 했으며, 2017년 3월6일 최종 수사결과에 반영했다.

 

특검에 따르면 최서원이 2015년 10월12일 강남구 논현동 소재 휴대폰 매장에 직접 태블릿을 들고 가 개통한 후 최서원의 독일 승마 사업 관련 이메일 송수신 등에 태블릿을 사용했고, 1년여 뒤인 2016년 10월경 장시호가 최서원의 요청으로 최서원 자택을 방문해 태블릿을 갖고 나왔으며, 장시호가 2017년 1월5일 특검에 임의 제출했다.

 

태블릿 실제 사용자는 누구인가?

특검은 태블릿에서 사용된 이메일 계정 중 하나가 독일에 있는 데이비드 윤이라는 사람이 이 계정을 ‘hongmee@gmail.com 최순실’이라는 이름으로 등록해서 보낸 이메일이 태블릿에 수신됐을 뿐만 아니라, 이 계정을 통해 최서원의 독일 승마 관련 이메일이 상당수 송수신되었기 때문에 태블릿의 실사용자는 최서원이 확실하다고 밝혔다.

 

또한 특검은 최서원이 자신의 정체를 숨기기 위해 최서원 소유 회사의 회계직원이었던 안모씨의 네이버 메일 계정을 공유해 사용했다는 점을 최서원의 실사용 근거로 들었다.

 

그렇다면 포렌식 결과는 어떠했을까.

송수신된 메일의 상당수가 단순 비용처리 요청 및 회계 관련 내용으로 회계직원 안모씨가 직접 사용하고 관리한 이메일 계정으로 보는 것이 자연스러우며, 최서원이 발신한 것으로 보이는 이메일은 1건으로 이는 휴대폰에서 발신한 것이었다.

 

또한 특검이 발표한 태블릿 개통일인 2015년 10월12일 이후 실사용자는 경기도 용인에 거주하던 40대 여성 홍모씨라는 주장이다. 2015년.10~11 한 달여간 포렌식 결과, 2015년 11월6일 홍모씨 명의 카드사용 문자, 2015년 11월14일 홍모씨 아들의 긴급 호출문자, 2015년 10월20일 아들이 유치원에서 보내온 문자가 있었으며, 아들이 다니던 유치원을 확인한 결과, 유치원에 태블릿 전화번호를 보호자 연락처로 새로 등록한 사실이 확인됐다,

 

특히, 장시호 태블릿과 최서원 비서였던 안모씨 그리고 홍씨를 비롯 가족(남편, 아들) 전체 전화번호 뒷자리가 9233으로 같았다. 그러니까 6개의 휴대폰 전화번호 뒷자리가 모두 9233이었다. 이는 태블릿이 회계직원 안모씨의 업무용인 동시에 지인인 홍모씨가 사적인 용도로 사용한 공공기기로 추정된다.

 

박영수 특검이 이같은 사실은 배제한 채 주요 디지털 증거를 전문 프로그래밍을 사용해 초기화 한 것으로 보고 있다. 이같은 사실은 포렌식 결과 특검이 태블릿 압수 이후인 2017년 1월25일 사용자 정보 전체를 삭제한 것으로 드러났다. 태블릿에는 지문이 암호로 등록되었다. 이는 실사용자를 확정할 결정적 증거인 셈인데, 지문내용이 담긴 시스템 파일이 발견되지 않았다. 이는 특검이 관련 시스템을 포렌식으로도 복구가 불가능하게끔 삭제 처리한 것으로 추정된다. 사실 관련 업체에 의뢰하면 1만원대 정도의 가격으로 정보를 삭제한다. 물론 포렌식으로도 복구가 불가능하다.

 

태블릿 최서원이 개통했나?

특검은 최서원이 직접 강남구 논현동 휴대폰 매장에 태블릿을 들고 와서 개장했다고 밝혔다. 근거로 휴대폰 매장 점주가 최서원이 개통했다고 진술했기 때문이다.

 

문제의 태블릿은 2015년 8월16일 구미공장에서 출하되었고, 누군가 구입 당시인 2015년 8월18일경 최서원은 독일에 있었다. 이후 3주간 태블릿의 웹브라우저가 사용된 기간에도 최서원은 독일체류 중이었다.

 

최서원의 출입국 현황을 보면, 2015년 8월14일 독일로 출국해 2015년 9월11일 인천공항에 입국했으며, 2015년 10월25일 다시 독일로 출국했다.

 

태블릿이 개통되면 유심 관련 기록이 업데이트 되는데, 포렌식 결과 최초 유심 개통기록이 2015년 9월17일 것으로 밝혀졌다. 하지만 특검은 2015년 10월12일 개통했다고 발표했다. 이는 유심을 재활용하여 명의자를 변경하고, 요금을 함께 쓰는 요금제로 변경한 날로 보고 있다. 유심 재활용 및 요금제 변경은 이동통신사 직영대리점이나 지점에서나 가능하지만, 최서원이 개통했다고 하는 휴대폰 매장은 일반 휴대폰 판매점으로 해당 업무처리를 할 수 없는 것으로 밝혀졌다. 비서 안모씨도 최서원과 함께 휴대폰 매장을 방문한 사실이 없다고 밝히고 있다. 결국 휴대폰 점주의 진술만 있는 셈이다.

 

특검의 증거인멸 정황은.

2017년 1월11일 특검의 이규철 대변인은 정례브리핑에서 특검에서 정상적인 디지털포렌식 절차를 거쳤다고 수사결과를 발표했다.

 

디지털증거물의 포렌식 과정에 대한 대검찰청 예규에 따르면, 태블릿 같은 증거물은 훼손.변경을 막기 위해 압수 즉시 봉인해야 함에도 특검은 2017년 1월5일 압수 이후 한 달여간 외부에 노출되었고, 2017년 2월2일 봉인한 사실을 이동환 변호사가 확인했다. 봉인되기 한 달여 사이 태블릿은 15회에 걸쳐 전원을 끄고 켜고를 반복했다. 이를 조작의 시도로 보고 있다.

 

이와 함께 태블릿 내부 모든 정보를 수정 또는 삭제할 수 있고, 그 작업의 이력을 지울 수 있는 전문 프로그래밍 도구(Android Debug Bridge)가 20일 이상 구동된 사실이 드러났다. 이 프로그램으로 정보를 삭제할 경우 복구가 불가능하고, 삭제한 이력도 남지 않게 된다.

 

이번 포렌식을 담당한 국내 최고 전문기관인 (사)사이버포렌식전문가협회 관계자는, “압수 이후 다수의 자료를 변경.삭제한 흔적과 함께 해당 태블릿을 이용한 사진 촬영과 로그기록까지 발견되는 등 증거의 훼손 또는 변경행위가 있었다”면서 디지털 증거로서의 무결성이 유지되지 않았다고 밝혔다.