[단독 全文 공개] 국과수의 이른바 ‘최순실 태블릿PC’ 감정서 밑줄 치며 읽기 : 월간조선

이른바 ‘최순실 태블릿PC’와 관련한 논란은 여전히 진행 중이다. 국립과학수사연구원(이하 국과수)의 감정서(총 55페이지)가 나왔음에도 말이다. 서울중앙지법 형사합의 22부(김세윤 부장판사)는 지난 11월 8일 최순실씨 측의 요구를 받아들여 국과수에 문제의 태블릿PC를 감정 의뢰했다. 국과수는 11월 27일 재판부에 태블릿PC 감정보고서를 제출했다. 재판부가 의뢰(11월 9일)한 지 18일 만이었다.

이날 연합뉴스 등 다수의 언론 보도에 따르면 검찰은 “법원에서 시행한 태블릿PC의 국과수 감정 결과가 회신됐다”며 “검찰 분석보고서와 대부분 동일하고, 수정·조작 흔적이 없다는 취지다. 검찰 측 증거자료로 (감정 결과를) 관련 재판 등에 제출할 것”이라고 밝혔다. 반면 12월 12일 변희재 《미디어워치》 대표고문은 국과수 감정서를 올해 초 증거조작 혐의로 손석희 jtbc 사장을 고발한 사건과 관련한 증거자료로 제출했다. 감정서는 하나인데 서로 정반대 해석을 하는 것이다.

이와 관련한 기사의 댓글 중에는 이런 내용이 많았다.

“어떻게 해석이 이렇게 다를 수 있느냐. 국과수 보고서를 그대로 공개하라. 해석은 우리가 하겠다.”

《월간조선》은 논란이 되는 사안에 대해 국과수 감정서에 나온 내용을 그대로 공개한다. 논란이 종식되길 바라기 때문이다. 국과수 감정서는 분석 도구마다 삭제된 데이터 복구 방법, 저장된 데이터 분석 방법, 결과에 대한 필터링 기법이 상이하기 때문에, 동일한 증거물을 분석하더라도 결과는 상이할 수 있다는 전제를 달았다.

①최초 개설

〈신규가입 메시지를 받은 점을 보았을 때 2012년 6월 22일 12시 09분 46초에 시리얼번호 ‘8982051201603847859’의 유심 칩을 장착한 것으로 확인되나, 이후 교체에 관한 정보는 발견되지 않음.〉(감정서 9페이지)

김한수 전 청와대 행정관은 검찰조사에서 해당 태블릿PC를 2012년 6월 22일 자신이 대표로 있던 회사 마레이컴퍼니 이름으로 태블릿PC를 개통했다. 김 전 팀장이 2005~2013년 대표를 맡은 마레이컴퍼니는 팬시용품을 수입해 대형마트 등에 판매하는 유통업체였다. 김 전 팀장은 대선 승리 직후 박근혜 정부 대통령직 인수위원회 SNS 팀장을 맡았으며, 박 전 대통령의 취임 후 청와대 행정관(청와대 뉴미디어 정책비서관실)으로 들어갔다.

②카카오톡/휴대전화 번호

〈카카오톡의 사용자 정보에는 카카오톡 이름이 ‘선생님’ 전화번호는 ‘010-4080-5783’로 명시돼 있음.〉(감정서 10페이지)

최순실씨 측 이경재 변호사는 “태블릿을 매입, 등록하고 010-4080-5783이라는 전화번호를 가입한 것은 김한수 전 행정관”이라고 했다. 010-4080-5783이라는 번호를 김 전 행정관이 가입한 만큼 대화명 ‘선생님’은 최씨가 아닌 김 전 행정관이란 주장이다.

③태블릿PC에 등록된 구글 계정

〈zixi9876@gmail.com, greatpark1819@gmail.com, kimpa2014@gmail.com가 발견됐음. 이 중 2개의 계정(zixi9876@gmail.com, greatpark1819@gmail.com)에서 3개의 표시이름(‘유연-zixi9876@gmail.com’, ‘가은-zixi9876@gmail.com’, ‘연이-greatpark1819@gmail.com’)이 발견됨. 이 중 ‘유연’이라는 이름은 삭제(row_status 필드의 ‘D’)된 것으로 확인됨. kimpa2014@gmail.com은 2014.03.27.자부터 2014.04.01.자까지만 메일에 접속한 것으로 확인됨.〉(10페이지)

우선 ‘zixi9876@gmail.com’이란 이메일 계정인데 지시(zixi)는 ‘위에서 지시(하는 것을 검토한다)’라는 뜻으로 이춘상 전 보좌관과 함께 사고로 사망한 당시 김우동 박근혜 후보 선거대책위원회 홍보팀장, 유현석 박근혜 후보 선거대책위원회 홍보팀장, 이재만 전 청와대 총무비서관, 정호성 전 청와대 제1부속비서관, 김휘종 전 청와대 행정관 등 5명이 공동으로 사용하는 메일 주소라고 한다.

검찰은 2016년 11월 14일 ‘greatpark 1819@gmail.com’ 계정에 대해 “최순실씨와 ‘문고리 권력 3인방(정호성·이재만·안봉근 전 비서관)’이 함께 사용한 정황이 있다”고 밝혔다. ‘kimpa2014@gmail.com’은 김휘종 전 청와대 홍보기획비서관실 선임행정관이 사용하던 것이었다. 김휘종씨의 검찰 진술조서 일부(증거기록 2책 중 3395~3396쪽)를 보면 검찰은 김씨에게 “태블릿PC에서는 ▩을 통해 ▩계정으로 메일을 보낸 사실이 확인되고 있는데 ▩계정으로 메일은 진술인이 사용하는 계정 아닌가요”라고 묻는 대목이 있다.(원문 그대로 옮김) 이에 김씨는 “제가 사용하는 이메일 계정이 맞습니다”라고 답한다. 여기서 ▩ 부분은 이메일이나 휴대폰 번호 등 개인정보가 담겨 있는 곳을 검찰이 지운 것이다. 보통 모자이크 비슷한 형태로 지우기 때문에 삭제된 곳 일부가 노출되기도 한다. ▩ 부분 중 한 군데를 자세히 보면 알파벳 ‘pa’가 보인다. 변호인 A씨는 이를 근거로 지워진 이메일 계정이 kimpa2014가 확실하다고 강조했다. 기자가 확인한 김씨의 네이버 이메일에도 알파벳 ‘pa’가 들어 있었다.

김 전 행정관은 정치권 인사로는 특이하게 연극영화과(한양대)를 나왔다. 1973년생으로 김일환 체신부 장관 손자로 알려졌다. 김 전 행정관은 미래성장 사업이 ‘IT’라고 판단하고, 자신의 전공 대신 IT를 공부했다. 김 전 행정관의 검찰 진술 조서에 따르면 그는 최순실이 운영하는 ‘초이스쿨’이라는 홈페이지 관리인으로 최씨와 인연을 맺었다. 김 전 행정관은 최씨의 소개로 정수장학회에서 근무하기도 했다. 이후 박근혜 국회의원실에서 근무했던 그는 박 전 대통령의 대선 승리 후 청와대에 입성했다. 그는 청와대 근무 당시 ‘문고리 4인방’으로 불릴 정도로 박근혜 전 대통령의 최측근이었다.

《월간조선》 취재에 응한 박근혜 정부 청와대 핵심부서에서 근무한 인사 다수는 “김휘종 전 행정관은 청와대 대통령 관저에 들어가 보고하는 4명 중 한 명이었다”며 “잘 모르는 직원들은, 3명은(정호성·안봉근·이재만 전 비서관) 그렇다 쳐도 김 전 행정관은 ‘의외’라고 했지만 사실 김 전 행정관은 2012년 대통령 선거 유세 도중 교통사고로 사망한 이춘상 보좌관 역할을 대신한 사람으로 박 전 대통령이 굉장히 신임했다”고 입을 모았다.

계정에 표시된 이름 세 개(유연, 가은, 연이) 중 ‘유연’은 최순실 딸 정유라의 개명 전 이름과 같다. 최씨 측 변호인은 “그(딸의 이름) 유연이 아니다”고 주장한다. ‘가은’은 김휘종 전 행정관의 딸 이름과 같다. ‘연이’는 최순실의 큰언니 최순영의 장남 이병헌의 딸 이름과 같다. 이병헌과 김한수 전 행정관은 절친한 친구다.

④태블릿PC의 실사용자

국과수는 태블릿PC 실사용자에 대해 단수인지 다수인지 명확하게 판단하기 어렵다고 했다. 최순실씨 소유가 아니라고 하기에도 애매하지만, 그렇다고 “국립과학수사연구소의 감정결과, 태블릿PC는 최씨 것”이라고 확언하기도 어렵다는 것이다.

〈감정물 태블릿PC에 등록된 구글 계정이 다수의 기기에 등록되어 사용된 점, 감정물 태블릿PC에 다수의 구글 계정으로 접속된 점을 보았을 때 다수의 사용자에 의해서 사용되었을 가능성도 있음. 다만 하나의 구글 계정을 통해 다수의 안드로이드 운영체제의 기기에 등록이 가능한 점, 단수의 카카오톡 계정 및 전화번호가 발견된 점, 특정 일자에 특정 장소에서 발견된 위치정보(GPS)가 함께 발견된 점으로 보았을 때 다수의 구글 계정에 접근 가능한 단수의 사용자가 사용하였을 가능성도 배제할 수 없음. 상기의 이유로 제시된 감정물 태블릿PC에 대한 분석 결과만으로는 사용자가 단수인지 다수인지 명확하게 판단하기 어려움.〉(36페이지)

최순실씨 소유가 아니라고 하기에도 애매하지만, 그렇다고 “국립과학수사연구소의 감정 결과, 태블릿PC는 최씨 것”이라고 확언하기도 어렵다.

⑤최순실씨가 독일을 방문(2012년 7월 14일~7월 29일·2013년 7월 29일~8월 6일)한 사실을 입증할 수 있는 자료가 태블릿PC에 저장돼 있는지 여부

최순실이 독일을 방문했을 2012년 7월, 2013년 7, 8월 독일 로밍과 관련한 메시지 받은 것으로 확인.

〈문자메시지 기록에 따르면 태블릿PC의 사용자가 독일 로밍과 관련된 메시지를 2012년 7월 15일부터 7월 21일까지, 2013년 7월 29일부터 8월 6일까지 받은 것으로 확인됨. 해당 시점(2차례)에 독일을 방문한 것으로 판단됨.〉(12페이지)

⑥최순실씨가 제주도를 방문(2012년 8월 14일~8월 16일)한 사실을 입증할 수 있는 자료가 태블릿PC에 저장돼 있는지 여부

〈감정물 태블릿PC에서 저장되어 있는 위치 정보 등을 분석한 결과 검찰이 지목한 기간에 제주도로 확인되는 위치정보가 3건 발견됨.〉 (감정서 추가본 10페이지)

검찰은 ⑤, ⑥번의 이유를 들어 태블릿PC를 최순실 것이라고 주장했다.

최씨 측 관계자는 “3건이 다 일치해야 하는데, 그렇지 않다”며 “2012년 8월 15일 낮 1시 9분에 제주도 주상절리에 있는 것으로 나오는데, 최순실이 탄 비행기가 제주공항에 착륙한 시간이 12시(정오) 57분이다. 위치정보가 맞다면 제주공항 근처로 나와야지 왜 공항에서 40분이나 떨어진 주상절리로 나오는가”라고 했다.

⑦이외의 위치 정보

〈일반적인 태블릿PC, 스마트폰의 IP 주소는 전원을 끄거나 데이터 네트워크 온·오프, wifi(공공 무선인터넷) 연결을 할 경우에 IP 주소가 변경되며, 이전 IP 내역은 기록되어 있지 않음. 한편, 감정시점에 IP 주소는 발견되지 않음. 때문에 2012년 부터 2016년까지의 위치 이동경로 및 위치 특정이 불가능함.〉(17페이지)

최씨 측 변호인은 2012년부터 2016년까지 태블릿PC의 위치 이동경로 및 위치를 파악해 보면 최씨 것이 아닌 게 확실히 증명될 것이라고 주장해 왔다.

⑧드레스덴 연설문 파일의 오염 여부

국과수는 드레스덴 파일의 오염 가능성이 없다고 결론지었다. 다만 이 파일은 김휘정 전 행정관이 사용한 것으로 보이는 ‘kimpa2014@gmail.com’ 계정으로 다운로드 받은 것으로 나타났다.

〈드레스덴 연설문 파일을 확인한 결과, 해당 파일은 2014년 3월 27일자 19시 20분 경부터 19시 27분경까지 저장된 것으로 확인되어 있음. 다운로드 내용 기록이 저장된 파일을 분석한 결과, 구글 메일로 접속하여 다운로드한 것으로 판단되며, 다운로드 일시와 생성일시, 수정일시가 모두 1초 내의 차이로 상호 부합한 것으로 보았을 때 수정(오염)이 되었다고 판단하기 어려움. 한편 다운로드 시점에 해당 태블릿PC로 웹메일(kimpa2014@gmail.com)에 접속한 흔적이 발견됨. 해당 계정의 메일에서 첨부된 파일을 다운로드한 것으로 판단.〉(36페이지)

드레스덴 파일의 외부 삽입 의혹은 사실이 아니었다. 다만 드레스덴 연설문 파일을 다운로드한 계정은 김휘종 전 행정관이 사용한 것으로 보이는 ‘kimpa2014@gmail.com’이었다.

⑨태블릿PC로 연설문 수정했는지 여부

〈감정물 태블릿PC에 설치된 애플리케이션 목록을 분석한 결과 수정 저장이 가능한 애플리케이션은 발견되지 않음. 한편, 네이버 오피스, 구글, 넷피스 24 등과 같이 온라인상에서 문서 작성 및 수정 저장이 가능하지만, 인터넷 접속 기록을 살펴본 결과, 해당 서비스에 접속한 이력은 발견되지 않음.〉(17~18페이지)

최순실이 태블릿PC를 가지고 연설문을 막 고쳤다는 것은 사실이 아니다. 누군가 외부에서 수정한 파일을 받았을 뿐이다. 박근혜 정부 청와대 핵심부서에서 근무한 인사들은 “박 전 대통령의 연설문을 보여주는 ‘프롬프트’를 담당한 홍보수석실 관계자들은 이메일을 통해 미리 연설문을 받아봤다”며 “잘못된 게 있으면 수정도 했던 것으로 안다”고 했다.

⑩태블릿PC에 파일을 복사, 삽입했을 가능성

“최순실 소유가 아니라고 하기에도 애매하지만, 최순실 것이라고 확언하기도 어렵다.”(국과수 감정서)

〈파일의 경로가 확인되는 88개 파일(hwp 파일 80개, pdf 파일 3개, ppt 파일 1개, pptx파일 4개)에 대해 다운로드 로그 및 이메일 첨부 기록 잔존 여부를 확인한 결과, 다운로드 로그가 있는 파일은 모두 45개로 확인됨. 이 45개 파일은 일반적으로 이메일에 첨부된 상태로 수신되어 확인하였을 때 ‘/media/Android/data/com.android.email/cache’ 폴더에 임시(캐시) 파일 형태로 저장되며, 사용자가 이메일, 웹 사이트, 메신저 등에서 다운로드 받았을 때 ‘/media/Download’ 폴더에 저장됨. 다만 테스트 태블릿PC로 시험한 결과 ‘/media/Android/data/com.android.email/cache /media/Download’ 폴더는 태블릿PC의 기본 애플리케이션인 ‘내 파일’ 및 태블릿PC와 USB 케이블로 연결된 PC에서 접근이 가능하여 임의로 파일을 복사 또는 삽입하였을 가능성도 배제할 수 없음. 상기의 이유로, 이메일 첨부 기록이나, 다운로드 기록이 있어야만 수신되었다고 할 수 있으며, 그 기록들이 없다면 외부로부터 수신된 것인지, 복사에 의해 태블릿PC에 저장된 것인지 판단하기 곤란함.〉(22페이지)

쉽게 말해 다운로드 기록이 있는 파일은 외부로부터 수신됐기 때문에 오염 가능성이 없다. 그러나 이 기록이 발견되지 않는 파일은 삽입하였을 가능성도 있다.

삽입 가능성이 제기되는 파일은 다음과 같다.

〈▲11.30-12,1.hwp ▲2일차 충청경기남부.hwp ▲11.29.hwp ▲12.2.hwp ▲유치원 반론.hwp ▲TV토론 관련.hwp ▲부산경남 일정.hwp ▲16일차 서울 삼성역 코엑스 유세.hwp ▲미래의 길.hwp ▲16일차 서울 삼성역 코엑스 유세(수정).hwp ▲나는.hwp ▲투표 독려 음성메시지.hwp ▲당선 소감.hwp ▲홈피, 트위터.hwp ▲난곡 사랑의 밥집.hwp ▲호주총리 통화 참고자료.hwp ▲청와대 회동(1228).hwp ▲121228청와대회동_수정.hwp ▲홍보 SNS운영안.hwp ▲대통령 당선인 대변인 선임 관련.hwp ▲자료.hwp ▲당선인 신년사(신문용).hwp ▲식사, 티타임 대상자.hwp ▲한국시민단체협의회 축사.hwp ▲역대 경호처장 현황.hwp ▲다보스포럼.hwp ▲아베 신조 총리 특사단 접견자료.hwp ▲양승태 대법원장 면담 말씀자료.hwp ▲2013 재경 대구경북인 신년교례회 동영상(수정).hwp ▲130109MB특별사면.hwp ▲중국 특사단 추천 의원.hwp ▲정부 조직개편안 관련 평가.hwp ▲인사.hwp ▲취임기념우표 발행(130115-3).hwp ▲다보스포럼 특사 파견.hwp ▲130128고용복지_업무보고_참고자료.hwp ▲5.18 33주년 기념사.hwp ▲강원도업무보고.hwp ▲후보님 SNS 대화 시나리오.pdf ▲선거공약서_B_1207_10_양면[1].pdf ▲20130102_엠블럼.pptx ▲0103_인수위엠블럼.pptx〉

하필 일부 언론에 대표적인 기밀문서라고 보도된 ▲호주총리 통화 참고자료.hwp ▲청와대 회동(1228).hwp ▲121228청와대회동_수정.hwp 등도 삽입 가능성이 제기되는 파일에 포함됐다.

외부로부터 수신된 파일 목록은 다음과 같다.

〈▲제32회 국무회의 말씀자료.hwp ▲육영수여사 제38주기 추도식 인사 말씀.hwp ▲육영수여사 제38주기 추도식 인사 말씀-2.hwp ▲육영수여사 제38주기 추도식 인사 말씀-3.hwp ▲육영수여사 제38주기 추도식 인사 말씀-4.hwp ▲육영수여사 제38주기 추도식 인사 말씀-5.hwp ▲육영수여사 제38주기 추도식 인사 말씀-6.hwp ▲육영수여사 제38주기 추도식 인사 말씀.hwp ▲육영수여사 제38주기 추도식 인사말씀-7.hwp ▲1일차 대전역 유세.hwp ▲1일차 대전역 유세.hwp ▲4일차 부산.hwp ▲5일차 경남.hwp ▲11일 차 서울유세문.hwp ▲11일차서울유세문-2.hwp ▲11일차서울유세문-3.hwp ▲11일차서울유세문-4.hwp ▲11일차서울유세문.hwp ▲11일차서울유세문-5.hwp ▲11일차서울유세문-6.hwp ▲11일차서울유세문-7.hwp ▲전국축산인 한마음 전진대회 축사.hwp ▲전국축산인 한마음 전진대회 축사-2.hwp ▲전국축산인 한마음 전진대회 축사-3.hwp ▲전국축산인 한마음 전진대회 축사.hwp ▲3차 TV연설문.hwp ▲17일_일정.hwp ▲성탄절 민생행보.hwp ▲신년사(방송3사).hwp ▲1안.hwp ▲1안.hwp ▲1안(다시).hwp ▲국무회의 말씀자료.hwp ▲아침.hwp ▲_.hwp ▲_-1.hwp ▲_-2.hwp ▲_-3.hwp ▲_-4.hwp ▲_-5.hwp ▲_-6.hwp ▲신문광고(안).hwp ▲선거공약서_B_1208_양면.pdf ▲페이스북.ppt ▲취임식행사업체.pptx ▲취임식행사업체.pptx〉

드레스덴 파일(▲_.hwp ▲_-1.hwp ▲_-2.hwp ▲_-3.hwp ▲_-4.hwp ▲_-5.hwp ▲_-6.hwp)을 제외하고는 인사말, 유세문 또는 유세일정이다. 자유한국당 태블릿PC 진상조사 태스크포스(TF) 관계자는 “대선 캠프 내 실무자, 청와대 행정관 수준에서 주고받을 수 있는 수준의 문건”이라고 했다.

⑪2016년 10월 18일(jtbc 입수 날) 이후 기록된 데이터의 무결성 여부

국과수는 2016년 10월 18일 자 이후 태블릿PC의 전체에 대한 무결성이 유지되지 않는다고 했다.

〈2016년 10월 18일 자부터 2016년 10월 31일 자까지 생성, 수정된 파일들이 다수 발견되어 2016년 10월 18일 자 이후 태블릿PC의 전체에 대한 무결성이 유지되지 않음. 2016.10.18. 이후 생성된 파일은 파티션 25에는 4개, 파티션 28에는 2580개로 확인됨. 다만 감정물 태블릿PC의 경우, 태블릿PC가 부팅되는 것만으로도 다수의 파일들이 생성, 변경이 되어 태블릿PC 전체에 대한 무결성이 쉽게 훼손되기 때문에, 사건과 관련된 파일 단위의 무결성을 파일의 해시 값 및 파일 관련 정보들의 연관성(다운로드 로그, 이메일 로그, 임시파일(Cache) 데이터, 파일시스템상의 시간정보 등)을 함께 확인할 필요가 있음. 파티션 25의 4개의 파일은 모두 시스템에 의해서 생성되는 파일이며, 파티션 28의 2580개 중 사용자에 의해 삽입 또는 생성된 파일로 판단되는 파일은 클립보드 관련 사진 6개, 사진파일 1개, 화면 캡처 사진 1개임. 이를 제외한 대부분 파일들은 사용자가 태블릿PC에 설치된 애플리케이션을 동작하면서 애플리케이션에서 자동으로 생성된 파일들임.〉(35페이지)

⑫태블릿PC의 셀프 카메라(self camera) 기능 존재 여부

〈감정물 태블릿PC의 모델(SHV-E140S)의 사용설명서에는 셀프 촬영 기능에 대한 설명이 기재되어 있으며 테스트 태블릿PC를 통해 확인할 결과 셀프 카메라 촬영 기능이 있는 것으로 확인. 테스트 태블릿PC를 통해 확인한 결과 셀프 카메라는 1600x1200의 해상도 촬영만 가능하고, 후면 카메라는 2048x1536, 1028x768의 해상도를 지원, 저장 사진들이 셀프 카메라로 촬영되었는지를 식별할 수 있음.〉(27페이지)

⑬태블릿PC 내 카메라로 찍은 사진 현황

태블릿PC 속 16장의 사진 중 최순실 사진은 2장이었는데, 셀카는 1장이었다. 왼쪽 손가락을 입쪽으로 올린 사진은 누군가 찍어준 사진이고, 그 옆 얼굴만 나온 사진은 최씨가 직접 찍은 셀카다.

〈총 16장의 사진이 존재(최순실 2장, 조카 장승호 3장, 장승호 딸 장시은 7장, 조카 이병준 2장, 검은 화면 2장). 16장 중 셀프 카메라로 찍은 사진은 8장(최순실 1장, 장승호 딸 장시은 7장), 후면 카메라로 찍은 사진도 8장(최순실 1장, 조카 이병준 2장, 조카 장승호 3장, 검은 화면 2장)임.〉 (31페이지)

〈한편, 장승호 사진 한장은 파일명, 생성일시, 수정일시가 차이가 있으며 EXIF(디지털카메라의 이미지 파일 안에 저장되어 있는 화상 파일 형식) 정보도 다른 파일들과 다르게 구성되어 있어 본 감정물 태블릿PC 카메라로 촬영된 파일의 원본으로 볼 수 없음.〉(44페이지)

결론적으로 태블릿PC 내 최순실 셀카는 1장이며 조카 장승호 사진 3장 중 1장은 태블릿PC로 촬영된 것이 아니다.

자유한국당 태블릿PC 진상조사 태스크포스(TF)의 윤상직 의원은 “16장 중 15장은 2012년 6월 25일에 촬영한 것으로 나오는데 1장은 2016년 10월 18일 17시 43분 찍은 것으로 국과수 감정서에 나온다”며 “2016년 10월 18일은 jtbc가 태블릿PC를 입수한 날이다. jtbc는 지난해 태블릿PC 입수경위를 설명하는 과정에서 오랫동안 방전된 상태였고 충전하는데 시간이 걸려 실제로 처음 켠 시간은 오후 4시가 좀 넘어서였다고 했다.

2016년 10월 18일 17시 43분에 찍은 게 맞다면 jtbc가 태블릿PC를 입수한 이후에 찍은 것이 된다. jtbc가 사진을 태블릿PC에 옮겼다고 봐도 되는 부분이 아닌가 싶다”고 주장했다.

검찰의 이른바 최순실 태블릿PC 포렌식 보고서에서도 이 사진의 생성시간은 2016년 10월 18일 17시 43분으로 나온다. 2017년 11월 30일 국회 법제사법위원회에서 윤 의원의 이 같은 질의에 박상기 법무부 장관은 다음과 같이 밝혔다. 속기록 내용을 그대로 옮긴다.

〈그 사진 자체로만 본다면 2012년 그날의 가족모임에서 촬영된 것으로 보입니다마는 지금 위원님이 질문하신 대로 만든 날짜, 생성된 날짜가 다른 사진하고 좀 달리 나온 것 같습니다. 제가 이 부분의 전문가는 아닙니다마는 태블릿PC 사진 파일을 확인하고 점검하는 과정에서 파일이 자동적으로 생성될 수 있다는 얘기를 들었는데, 그러나 지금 이 사진의 경우에는 다른 사진과 그 부분에 있어서 좀 상이한데, 다만 이게 지금 재판에 증거로 제출되어 있기 때문에 제가 구체적으로 지금 답변드리기가 좀 어렵습니다.〉

국과수는 최순실 조카 장승호의 사진 한 장은 파일명, 생성일시, 수정일시에 차이가 있으며 EXIF(디지털카메라의 이미지 파일 안에 저장되어 있는 화상 파일 형식) 정보도 다른 파일들과 다르게 구성되어 있어 본 감정물 태블릿PC 카메라로 촬영된 파일의 원본으로 볼 수 없다고 했다.

⑭태블릿PC 저장기록 수정 여부

〈시스템 관점에서 일반적으로 태블릿PC의 저장기록을 수정하는 기능을 가지기 위해서는 루팅(시스템에 대한 관리자 권한을 취득하는 작업)이라는 기법을 통해 시스템 전체의 저장기록(파일시스템 정보와 같은 시스템 정보)을 수정 및 편집이 가능하나, 감정물 태블릿PC에서는 루팅을 한 흔적이 발견되지 않음. 또한 감정물 태블릿PC의 날짜 및 시간 정보를 수동으로 변경한 후 파일을 복사하는 방법도 있으나, 테스트 태블릿PC로 확인한 결과 날짜와 시간, 분만 변경 가능하며 초 시간은 설정할 수 없어, 정교하게 다른 기록들과 일치되도록 기록을 수정하는 것은 어려움. 또한 이메일 데이터의 경우 이메일 서버의 시간과 동기화되면, 이메일 서버 시간을 따름. 다만 디지털 데이터의 특성상 정교한 조작의 경우 그 흔적이 발견되지 않을 가능성도 있음.〉

⑮포렌식 보고서에 카카오톡 메시지가 깨져 보이는 이유

국과수는 오검출로 인해 카카오톡 대화 메시지가 깨져 보이는 것이지, 의도적인 것이 아니라고 했다.

〈디지털 포렌식 데이터 복구 기법 중 애플리케이션, 파일별로 규정된 특정 패턴을 이용하는 방법으로 데이터를 복구함. 이때 특정 패턴은 일치하나 실제 데이터가 아닌 잘못된 데이터가 복구되는 경우(오검출)가 발생하는데 이러한 경우에 16진수(Hexadecimal)로 표기 또는 한글이 깨져 보이는 경우가 발생함.〉(40페이지)

카카오톡 대화 내용을 숨기려 한 것은 전혀 아니란 것이다.

⑯태블릿PC 속 일부 한글 파일이 jtbc 발견 이전에 열람된 것처럼 기록된 이유

〈한컴뷰어 히스토리는 한국 시각보다 9시간 느린 영국 그리니치 표준시로 표시됨.〉(51페이지)

⑰오방낭 파일의 입수 경로

오방낭 파일에 대한 국과수의 의견.

〈오방낭.jpg 파일은 ‘/media/Android/data/com.android.email/cache’ 폴더에 저장되어 있으며, 일반적으로 이메일에 첨부된 상태로 수신되어 사용자가 열람하였을 때 ‘/media/Android/data/com.android.email/cache’ 폴더에 임시(캐시) 파일 형태로 저장됨.

오방낭.jpg 사진이 저장된 시점인 2013년 1월 30일 17시 31분 17초 전·후 수신된 이메일이 있긴 하지만 일부만 발견된 상태로 해당 사진 파일 첨부 여부가 확인되지 않음. 테스트 태블릿PC로 시험한 결과, 동 폴더는 태블릿PC의 기본 애플리케이션인 ‘내 파일’에서 접근이 가능하며, USB 케이블로 연결된 PC에서도 접근이 가능하여 파일을 복사 또는 삽입하는 것이 가능함.〉(45페이지)

오방낭 파일의 입수경로는 중요하다. 오방낭 파일이 이른바 최순실 태블릿PC에서 발견됐다는 보도 후 몇몇 언론에서는 오방낭을 박 전 대통령과 최씨를 ‘주술적 의존 관계’로 엮은 단서로 삼았다.

2016년 10월 27일 한 인터넷 언론에 실린 ‘상식 넘어선 박근혜-최순실 관계, 오방낭이 증명?’이라는 제목의 기사내용이다.

〈2013년 2월 25일 대통령 취임식 날 개최된 ‘희망이 열리는 나무’ 제막식. 이 행사는 최순실씨가 기획한 것으로 알려졌다. 당시 나무에 장식돼 있던 물건은 ‘오방낭’이었다. ‘오방낭’은 다섯 가지 색으로 이뤄지는데 중앙의 흰색은 우주의 중심을, 바깥의 4색은 동서남북을 가리킨다. 우주의 기운을 담은 주술적 의미가 있다고 봐야 한다. (중략)

‘주술적’ 정황은 대통령의 옷에서도 발견된다. 해외순방 중 입었던 옷의 색깔을 최순실씨가 사주와 궁합 등을 고려해 지정해 주었다는 주장이 나왔다. 더불어민주당 김종민 위원이 이원종 대통령 비서실장을 질타하며 한 말이다. 박 대통령의 공식 ‘어록’에도 주술적 경향이 감지되는 표현이 나온다. 공식석상에서 쓰기엔 부적합한 용어가 거침없이 등장한 것이다.

하늘의 응답, 기도, 메시지, 우주, 혼? 국정을 논하는 공식석상에 주술적 의미가 내포된 이런 용어가 대통령의 입에서 튀어나온 ‘현상’을 어떻게 이해할 수 있을까? 박 대통령과 최순실씨의 관계가 단순한 ‘인간관계’가 아니라 ‘주술적 의존의 관계’는 아닐는지.〉

박 전 대통령과 최씨와의 관계를 과장, 해석 했다는 지적이다.⊙