디지털 증거의 해시값이 하는 역할

해시값은 파일의 내용을 일정한 계산식에 넣어 얻는 고정 길이의 문자열이다. 원본과 복제본의 값이 같으면 복제 과정에서 내용이 바뀌지 않았다는 점을 확인하는 데 도움이 된다. 그러나 같은 값 하나만으로 파일의 작성자, 촬영 시각, 수집의 적법성까지 모두 증명되는 것은 아니다.

해시값이 달라지는 경우

파일 내용이 한 비트라도 바뀌면 일반적으로 결과값도 달라진다. 사진을 다시 저장하거나 영상 형식을 변환하고 문서의 속성을 수정한 경우에도 값이 바뀔 수 있다. 반대로 파일명이나 저장 폴더만 바꾸고 실제 데이터가 그대로라면 사용한 파일시스템과 계산 대상에 따라 값이 유지될 수 있다. 따라서 무엇을 대상으로 어떤 알고리즘을 사용했는지 기록돼야 비교의 의미를 알 수 있다.

압수 당시 값과 분석본 값을 연결하기

전자기기를 확보한 시점, 이미징을 시작하고 마친 시점, 원본 매체와 복제 이미지에 부여된 식별번호를 확인한다. 압수목록, 디지털 증거 수집확인서, 포렌식 결과보고서에 적힌 SHA-256 등의 값이 서로 이어지는지 살핀다. 수치가 다르면 곧바로 조작이라고 단정할 것이 아니라 압축파일 전체를 계산했는지, 내부 개별 파일을 계산했는지, 분석 과정에서 별도 추출본을 만들었는지부터 확인해야 한다.

동일성과 진정성립은 같은 문제가 아니다

대법원은 디지털 자료의 증거능력을 판단하면서 원본과 사본의 동일성, 수집·보관 과정의 신뢰성, 작성자와 내용의 진정성 등을 구체적으로 살핀다. 해시 비교는 동일성을 뒷받침하는 한 방법이지만 계정 사용자가 누구였는지 또는 대화 내용이 사실인지까지 대신 판단하지 않는다. 작성 주체는 로그인 기록, 기기 점유, 대화 맥락 같은 별도 자료로 검토한다.

포렌식 보고서에서 확인할 항목

보고서에는 사용 도구와 버전, 알고리즘 명칭, 계산 대상, 오류 발생 여부, 작업자의 서명이 있는지 본다. 값이 생략됐다면 원본 보존 방식과 복제 절차를 확인할 자료가 무엇인지 요청할 수 있다. 출력된 문자열을 눈으로만 옮기면 한 글자 오류가 생기기 쉬우므로 전자 목록과 문서 표기를 함께 대조하는 편이 낫다.

값이 맞지 않을 때의 대응

불일치가 발견되면 어느 단계의 두 값을 비교했는지 특정하고 원본을 임의로 열거나 다시 저장하지 않는다. 법원에 제출된 매체라면 증거목록과 검증·감정 절차를 통해 확인할 수 있고, 수사 단계라면 참여 기록과 압수목록 교부 여부도 함께 살핀다. 형사소송법상 압수·수색 절차와 대법원 전자정보 판례가 검토 기준이며, 단순한 문자열 차이만으로 증거 전체가 당연히 배제되는 것은 아니다.

결국 핵심은 값 자체가 아니라 원본 확보부터 법정 제출까지 이어지는 관리 기록이다. 계산 대상과 시점이 분명해야 동일성에 관한 기술적 설명이 법적 판단 자료로 기능한다.

전자정보의 동일성과 압수 범위는 국가법령정보센터의 형사소송법과 디지털 증거에 관한 대법원 주요판결을 함께 적용해 판단한다. 다른 증거 유형은 증거 안내에서 비교할 수 있다.