경찰 수사 발표시점 등 의혹만 키워…전문가 “포털 서버 로그기록 확인해야”

국가정보원 여직원의 대선 후보 비방 댓글 작성 의혹 사건을 수사 중인 경찰의 중간수사 결과 발표에 대한 역풍이 거세다. 보안 전문가들은 17일 “하드디스크뿐만 아니라 포털 등의 서버 로그기록까지 살펴봐야 충분한 수사”라며 “아직 충분한 수사가 이뤄지지 않은 단계에서 경찰이 왜 발표를 했는지 의문”이라고 지적했다.

이상진 고려대 정보보호대학원 디지털포렌식학과 교수는 “인터넷에 남긴 댓글은 대부분 하드디스크에 남지만 내용을 덮어쓰면 사라질 수도 있다.”면서 “특정 사이트 아이디로 비방 댓글을 달았는지를 알려면 포털사업자에게 요청해 서버를 분석하는 것이 정확하다.”고 말했다. 신원 동명대 정보보호학과 교수도 “단순히 PC에 남아 있는 증거는 조작이나 삭제가 가능하다.”면서 “정확한 입증을 위해서는 포털사이트 서버와 하드디스크를 함께 비교하는 작업이 기본”이라고 설명했다.

경찰이 하드디스크 분석에 사용했다는 데이터 복구·분석 프로그램 ‘인케이스’에 대해서도 전문가들은 완전하지 않다고 밝혔다. 신 교수는 “최근 아예 복구가 불가능하도록 파일을 삭제하는 프로그램이 개발돼 이런 프로그램을 이용했다면 사실상 복원은 불가능하다고 봐야 한다.”고 밝혔다. 이 교수는 “통상 데이터를 삭제하면 삭제 흔적이 남기 때문에 수사 과정에서 알 수 있지만 정식 프로그램이 아닌 별도로 개발한 프로그램을 썼을 가능성도 있다.”면서 “이런 프로그램은 특정 내용은 물론 사용 흔적까지 지울 수 있다.”고 말했다.

확인된 40개 아이디 이외의 아이디가 있을 수 있다는 의혹도 제기됐다. 신 교수는 “대부분의 웹사이트는 사용자 식별을 위해 ‘쿠키’(cookie)라는 정보를 개인 PC로 보낸 후 저장하게 해 흔적이 남는데 이를 하나하나 삭제하면 검색된 아이디 40개 외에 문제가 될 만한 특정 아이디를 삭제하는 것도 가능하다.”고 말했다.

경찰의 중간수사 결과 발표가 과연 충분한 분석 후 나온 것인가에 대한 의문도 제기됐다. 신 교수는 “문제의 하드디스크에 담긴 내용을 단순히 경찰이 복원하는 데 사흘 정도가 걸린 것은 이해할 만하다.”면서도 “단 얻은 결과를 어떻게 해석할 것인지가 가장 중요한 포인트인데, 이 과정에도 추가시간이 걸린다.”고 덧붙였다.

경찰 수사에 한계가 있을 수밖에 없었다는 지적도 제기됐다. 박대우 호서대 IT응용기술학과 교수는 “통상 비방성 댓글 수사를 할 때에는 해당 댓글을 증거자료로 제출하고 누가 작성한 것인지 역추적하는데 이번 경우는 댓글 작성자가 먼저 지목됐다.”면서 “혐의점이 나오지 않은 상태에서 경찰이 서버기록 압수수색 영장을 받기는 쉽지 않았을 것”이라고 말했다.

경찰의 중간수사 결과 발표 시점에 대한 비판도 나왔다. 경찰이 긴급 보도자료를 낸 시점이 이정희 통합진보당 후보가 사퇴한 날인 데다 대선 후보 3차 TV토론 직후였기 때문이다. 표창원 경찰대 교수는 “서버 조사도 하지 않은 상태에서 경찰이 밤 11시에 중간수사 결과를 발표하는 것은 대단히 드문 일”이라며 “경찰이 오히려 국민의 의혹을 키웠다.”고 비판했다.

신진호기자 sayho@seoul.co.kr

배경헌기자 baenim@seoul.co.kr