뉴스타파 출연[2021.08.13]

뉴스타파가 세월호 CCTV 영상 파일 조작 의혹을 재현 실험으로 검증한 보도에, 당시 세월호 DVR 영상 복구 작업을 총괄했던 사람으로 출연했습니다.

출연 부분(7:27~15:36)부터 재생되고 15:36에서 멈춥니다.

방송 정보

보도: 뉴스타파 〈세월호 특검 "CCTV 조작 없다"...본질은 '사참위 부실 조사'〉
공개일: 2021년 8월 13일
출연: 전유형 (당시 명정보기술 부장 — 세월호 CCTV 복구 작업 총괄)
주제: 세월호 DVR 바꿔치기와 CCTV 영상 파일 조작 의혹을 전문가들과 함께 검증한 결과, 의혹의 근거가 파일 복구 프로그램의 오류였음을 확인한 보도
기사: 뉴스타파 기사 보기

출연 내용

왜 이미징과 파일 추출을 동시에 했나

복구 당시 하드디스크는 읽지 못하는 영역(배드 섹터)이 많아 상태가 매우 좋지 않았습니다.

처음부터 끝까지를 무조건 무작위적으로 복제를 하게 되면, 그러다 하드디스크가 죽어버리면 내가 원하는 데이터도 아예 건져내지 못하는 그런 불상사가 생길 수 있기 때문에, PC-3000에서 제공해 주는 데이터 익스트랙터라고 하는 도구를 이용해서 폴더로 접근을 했고, 필요한 부분을 먼저 선행 작업을 진행하기 시작했던 거였죠.

그래서 법원에 제출된 영상 파일은 전체 덤프에서 뽑아낸 것이 아니라 처음부터 생성 경로가 달랐습니다.

뉴스타파는 고려대 이상진 교수팀과 당시 명정보기술 복구팀을 한자리에 모아, 당시와 같은 PC-3000 5.6 버전으로 같은 조건을 재현했습니다. 이미징과 파일 추출을 동시에 돌리자, 배드 섹터 영역이 덤프 파일에서는 0으로 채워졌지만 개별 추출 파일에는 옆 파일의 데이터가 써졌습니다. 법원에 제출된 세월호 CCTV 영상 파일에서 나타난 것과 같은 현상이었고, 세월호 특검도 같은 방식의 재연 테스트로 같은 결론을 얻었다고 밝혔습니다.

사참위는 복구 당사자에게 묻지 않았다

보도에 따르면 사참위는 세월호 CCTV 복구를 담당했던 전문가들을 조사하면서 기술적인 질문을 거의 하지 않았습니다. 당시 복구 작업을 함께 지켜본 김인성 교수(당시 한양대)도 같은 취지로 증언했습니다. 복구 작업 총괄 책임자였던 입장에서는, 사참위 조사 때 이 결함이 언급됐다면 함께 원인을 찾았을 것이라고 말했습니다.

당연히 그때 작업 총괄 책임자로서 그걸 어떻게 풀어 나갈 수 있을지, 해결할 수 있을지에 대해서 같이 고민을 해 보지 않았을까 생각이 듭니다.

복구 현장의 보안

복구 현장에는 CCTV를 달고 바깥에 모니터링 공간까지 따로 마련했습니다. 김인성 교수에 따르면 작업 때는 유가족, 변호인, 해경, 참관인까지 10명 가까운 사람이 지켜봤습니다. 작업이 중단될 때는 장비를 캐비닛에 넣어 잠그고 봉인했습니다.

(작업이) 중단되는 과정에서는 캐비닛에 제품을 넣고, 아무래도 저희 회사이다 보니까 저희가 그 키를 관리하면 어떤 변수가 생길지 모르기 때문에, 그 키는 김인성 교수가 별도로 보관을 하고 있었고.

포렌식 관점에서

상태가 나쁜 저장장치는 읽을 때마다 더 망가질 수 있어서, 중요한 데이터를 먼저 건지고 전체 복제를 나중에 하는 방식이 실무에서 쓰입니다. 이번 사례는 그 과정에서 복구 도구의 버그가 파일에 흔적을 남겼고, 그 흔적이 조작으로 오해받은 경우입니다. 데이터에 결함이 보이면 먼저 "왜 이런 결함이 생겼는지"를 같은 도구·같은 조건으로 재현해 보는 것이 포렌식 검증의 기본입니다.