입력 : 2017.10.22 10:11
검찰 '포렌식 보고서'에 담긴 의문들
‘최순실 태블릿PC’ 논란이 재점화되었다. 포문을 연 이는 신혜원씨다. 2012년 박근혜 대선후보 캠프에서 SNS 팀원으로 일했던 신씨는 지난 10월 8일 최씨 소유로 알려진 문제의 태블릿PC가 “본인이 사용했던 것”이라고 폭로했다. 신혜원씨가 배포한 보도자료에는 그간 알려진 것과 다른 내용이 있다. 우선 태블릿PC 사용자다. 그동안 태블릿PC는 ‘김한수 개통 → 최순실 사용’이란 게 정설이었다. 하지만 신씨는 문제의 태블릿PC 사용자 중 알려지지 않은 몇 사람이 더 있다고 주장했다.
JTBC의 첫 보도를 통해 알려진 대로 태블릿PC의 첫 개통자는 김한수씨다. 김씨는 이춘상 보좌관(2012년 대선 직전 교통사고로 작고)의 부탁을 받고 자신의 개인회사 명의로 태블릿PC를 2012년 6월 22일 개통했다. 하지만 신혜원씨는 이후 태블릿PC 사용자가 여러 차례 바뀌었다고 주장하고 있다. 일단 김한수씨는 이 태블릿PC를 캠프 동료인 조진욱씨에게 넘겨줘 조씨가 사용했다고 한다. 이후 청와대에서 홍보 업무를 담당하던 김철균 비서관이 박근혜 캠프에 합류하자 조씨는 이 태블릿PC를 김철균 비서관에게 인계했다고 한다.
2012년 10월 무렵 태블릿PC 사용자가 또 바뀐다. 당시 박근혜 후보 사조직인 서강포럼의 사무국장을 맡고 있던 신혜원씨가 대선 캠프에 들어왔는데 신씨는 캠프 입성 후 이춘상 보좌관으로부터 김철균 비서관이 쓰던 태블릿PC를 넘겨받았다고 한다. 캠프 SNS팀은 직제상 상급자는 김철균씨였지만, 실질적으론 박 대통령의 핵심측근인 이춘상보좌관이 주도했다고 한다. 신혜원씨는 대통령 선거 후 이 태블릿PC를 김휘종씨에게 반납했고, 김씨는 태블릿PC를 가지고 청와대에 입성해 2014년 초까지 사용했다는 게 신씨 주장이다.
이러한 주장이 맞다면 궁금증이 남는다. 김휘종씨가 쓰던 태블릿PC가 왜 최순실의 강남 사무실에서 발견되었느냐는 점이다. JTBC는 태블릿PC 입수 경위와 관련, 2016년 10월 18일 강남구 신사동 더블루K 사무실에 남은 원목 책상에서 기자가 취재 중 발견했다고 주장하고 있다. JTBC의 주장이 맞다면 가능성은 두 가지다. 하나는 김휘종씨가 쓰던 태블릿PC가 어떤 경로인지는 모르지만 최순실 사무실로 넘어갔다는 것이고, 또 하나는 JTBC 측의 입수 경로 주장이 거짓일 가능성이다.
확실한 사실은 지금까지의 정보를 종합해 봤을 때 문제의 태블릿PC를 김휘종씨가 사용했다는 것이다. 며칠 전 한 인터넷 매체에 신혜원씨와 김휘종씨의 통화 녹음이 공개되었다. 여기서 김씨는 “(태블릿PC를) 2014~2015년경에 폐기했다”고 주장했다. 신씨와의 카카오톡 대화에선 “소각했다”는 주장도 했다. “폐기했다” “소각했다”는 김씨의 주장이 사실이라면 최순실 사무실에서 발견된 태블릿PC는 또 다른 태블릿PC라는 논리가 성립하지만, 김씨의 주장은 현재로선 확인이 불가능하다.
현재 일부 언론은 김씨를 ‘태블릿PC 논란의 주범’으로 단정하는 듯한 보도를 쏟아내고 있지만 김씨의 입장이 반영된 기사는 전무한 실정이다. 그래서 논란의 중심에 선 그를 만나 보기로 했다. 김휘종씨에 관해 알려진 정보는 조부가 한국전력 사장과 향군 회장을 역임한 김일환(1914~2001) 전 국방부 차관이란 정도다.
기자는 김휘종씨를 찾아가기 전 그에게 전화와 카톡, 문자메시지를 여러 번 남겼지만 답이 없었다. 수소문 끝에 그가 거주하는 경기도의 한 아파트를 찾았다. 김씨는 집에 없었고, 귀가하던 부인 문모씨와 마주쳤다. 문씨는 “여긴 아이들도 거주하는 공간이다. 돌아가 달라”는 반응을 보였다. “우리가 범죄자는 아니지 않느냐”며 격한 감정을 드러내기도 했다. 기자가 그에게 “김휘종씨에게 다녀간 사실을 꼭 전해달라”고 당부하며 다시 한 번 김씨에게 ‘충분한 반론권을 보장하겠다’는 문자와 카톡을 했지만, 기사 마감 시점(10월 19일)까지 아무 연락이 없었다.
◆ 사진 속 여인과 이메일
그렇다면 김휘종씨가 문제의 태블릿PC를 사용했다는 증거는 뭘까. 600여쪽 분량의 검찰 태블릿PC 포렌식 보고서에는 20대 중후반에서 30대 초반으로 보이는 여인의 사진이 50여장 있다. 이 여성의 이름은 김○○(으)로, 2012년 박근혜 대선 캠프에서 한 달 정도 일했다고 한다. 기자가 입수한 박근혜 캠프 연락망에도 김○○의 전화번호와 이메일이 있었다. 기자는 김휘종씨의 카카오스토리 계정에서도 그녀의 흔적을 발견할 수 있었다. 2013년 2월 13일 김씨가 카카오스토리 계정에 올린 글에 김○○씨가 댓글을 남긴 기록이 있다. 당시 캠프 관계자들에 따르면, 김휘종씨와 이 여인은 매우 친한 사이였다고 한다. 최순실 측 이경재 변호사가 이 여인을 아는지 최순실에게 물었지만, 최씨는 “누군지 모른다”는 반응을 보인 것으로 전해졌다.
검찰의 포렌식 보고서에는 두 개의 이메일 계정이 등장한다. 하나는 JTBC가 보도했던 greatpark1819@gmail.com이고, 또 다른 하나는 zixi9876@gmail.com이다. greatpark1819는 태블릿PC를 최초로 개통할 때 등록한 이메일 계정이다. 포렌식 보고서에 이 이메일 계정의 이름은 첫 개통자인 ‘김한수’가 아닌 ‘이○미’로 되어 있다. 검찰은 ‘이○미’가 누구인지에 대해선 조사하지 않은 것으로 알려졌다.
또 다른 계정인 zixi9876은 캠프 내 업무를 공유하기 위해 만든 것으로, 여러 사람이 이 이메일 계정을 알고 있었다고 한다. 김휘종씨도 그중 한 명이라고 한다. 실제로 검찰의 포렌식 보고서에는 zixi9876 메일을 열어본 닉네임이 ‘가○’(이)라고 기록되어 있는데, 기자가 확인한 결과 가○(은)는 김휘종씨의 딸 이름과 일치했다. greatpark1819 메일의 경우, 열어본 사람이 ‘연이’라고 보고서에 나와 있다.
greatpark1819 계정은 2014년 2월 5일 열어본 게 마지막이고, 그 다음 로그인된 시점은 JTBC가 처음 태블릿PC를 입수했던 2016년 10월 18일로 보고서에 나온다. 그 사이 이 이메일은 아무도 열어 보지 않았던 것으로 추정된다. zixi9876 메일은 2013년 1월, 9월, 10월, 2014년 1월경 등에 로그인된 기록이 있을 뿐이다. zixi9876로 수신된 자료 중 업무용으로 보이는 파일은 2012년 8월 15일 오전 2시에 받은 ‘8·15’ 파일, 즉 ‘육영수 여사 38주기 추도사’ 정도라는 게 보고서 내용이다. 기자는 포렌식 보고서의 두 이메일 계정에서 ‘최순실 태블릿PC’의 핵심 증거로 거론된 드레스덴 연설문이 오간 흔적은 발견할 수 없었다. JTBC는 최순실이 문제의 태블릿PC로 드레스덴 연설문을 이메일로 받아서 수정했다고 보도한 바 있다.
JTBC는 2013년 7월 경남 거제시 저도(島) 휴양지에서 촬영된 박근혜 대통령 사진들이 태블릿PC에 담겨 있는 것도 최순실과의 연관성을 입증하는 물증으로 제시했는데, 이 사진이 최순실이 아니라 김휘종씨와 관련이 있다는 주장도 있다. 이는 김씨의 직책 때문이다. 통상 대통령의 공식 사진은 청와대 국정홍보비서관실에서 담당한다고 한다. 김휘종씨가 이 부서 소속이었기 때문에 저도 휴양지 사진이 김씨가 쓰던 태블릿PC에 들어있었고, 이는 오히려 태블릿PC가 최씨와 관련이 없다는 방증이란 주장이다. 검찰의 포렌식 보고서에는 저도의 박근혜 대통령 사진 이외에도 2012~2013년 사이 저장된 다양한 사진 기록이 제시돼 있는데 대부분 네이버 정치 뉴스, 연예, 쇼핑, 스포츠 기사에 딸린 사진들이다. 이를 근거로 “당시 50대였던 최순실씨가 검색한 흔적이라고 보기 어렵다”고 주장하는 이들도 있다.
◆ 연설문의 저장 위치와 형식
또 다른 의문은 태블릿PC에 파일로 존재하는 ‘드레스덴 연설문’의 저장 위치와 형식이다. JTBC는 최순실씨가 박 전 대통령의 독일 드레스덴 연설 하루 전, 이 태블릿PC로 연설문 파일을 이메일로 받아 한글파일로 열어본 뒤 수정했다는 취지의 보도를 한 바 있다.(2016년 10월 24일 최초 보도에선 개인 PC라고 했으나 이후 태블릿PC로 바뀜.) 이것이 국정농단의 중요한 근거 중 하나라고 주장했다. 하지만 앞서 언급했듯이 이메일로 연설문을 주고받은 흔적은 찾을 수 없었다.
포렌식 보고서에 등장하는 드레스덴 연설문은 보고서 ‘사진’ 항목에 7개의 파일로 적시돼 있다. 파일명은 _.hwp, _-1.hwp, _-2.hwp, _-3.hwp, _-4.hwp, _-5.hwp, _-6.hwp이며 ‘만든 날짜’ ‘수정한 날짜’ ‘엑세스한 날짜’가 각각 표 형태로 정리되어 있다. 날짜는 박 전 대통령이 독일 드레스덴에서 연설한 날(2014년 3월 28일)보다 하루 앞선 ‘2014-03-27’로 보고서에 기록되어 있으며 ‘만든 날짜’ ‘수정한 날짜’ ‘엑세스한 날짜’가 ‘2014-03-27’로 모두 일치되어 있었다. 저장 위치는 ‘/FAT/media/Download’였다.
주목할 것은 이 파일 저장 위치다. 한 IT기기 전문가에 따르면, 태블릿PC의 운영체제상 문서가 저장되면 ‘/FAT/data/com.android…’라는 식의 경로가 생성되는 게 일반적이라고 한다.(문제의 태블릿PC 모델명은 삼성 갤럭시탭 ‘SHV-E140S’로 안드로이드 운영체제 사용.) 그런 점에서 ‘드레스덴 연설문’은 저장 위치가 독특하다고 했다. 태블릿PC를 오랫동안 취재해온 한 기자는 “다운로드(Download)라는 파일 위치로 보아, 누군가 외부에서 파일을 들여와 삽입시킬 가능성도 충분히 있다”고 주장했다. 이 보고서에서 적시한 태블릿PC의 다른 파일들, 예컨대 이메일로 주고받은 자료는 ‘…/com.android.email/cache/(파일명)’라는 식으로 캐시(cache·PC나 스마트폰 사용 시 쌓이는 임시파일들) 폴더에 들어 있다. JTBC 보도대로 최씨가 ‘드레스덴 연설문’ 파일을 이메일로 받았다면, 이 역시 위와 같은 경로에 남아 있어야 합리적이지만, ‘드레스덴 연설문’ 파일은 ‘다운로드(Download)’ 폴더에 들어있어 의문으로 남는다.
파일이 열린 날짜와 시간도 석연치 않다. 검찰의 포렌식 보고서 항목 중 하나인 ‘한컴 뷰어 히스토리’에 의하면 드레스덴 연설문 파일 두 개(_-3.hwp, _-4.hwp)는 각각 2016년 10월 18일 오전 8시16분52초, 오전 8시16분59초에 열린 것으로 기록돼 있다. 지난 1월 11일 JTBC 보도에 따르면, JTBC 취재진이 태블릿PC를 확보하러 서울 청담동 더블루K 사무실에 도착한 시간이 2016년 10월 18일 오전 9시라고 했다. JTBC 취재진은 같은 날 오후 3시30분 서울 논현동 삼성전자 서비스센터에서 태블릿PC 충전기를 구입해 태블릿PC를 열어 보았고, 그 안에서 드레스덴 연설문 등 국정개입에 단서가 되는 파일들을 모두 촬영한 뒤 2016년 10월 24일 검찰에 인계했다고 밝혔다. JTBC 보도가 사실이라면, 드레스덴 연설문 파일 두 개(_-3.hwp, _-4.hwp)는 JTBC가 입수하기 전 이미 누군가가 열어 보았다는 뜻이 된다. 이 태블릿PC에는 L자 패턴의 잠금이 설정돼 있었지만, JTBC가 이를 어떻게 풀었는지도 의문이다. 드레스덴 관련 나머지 다섯 개 파일(_.hwp, _-1.hwp, _-2.hwp, _-5.hwp, _-6.hwp)은 2016년 10월 24~25일 열린 것으로 기록돼 있어 JTBC로부터 태블릿PC를 넘겨받은 검찰이 열어본 것으로 추정된다.
최순실씨가 태블릿PC로 드레스덴 연설문’을 수정한 사실을 입증할 기록도 보고서에서 찾을 수 없었다. 검찰의 포렌식 보고서에 따르면, 태블릿PC에는 한글(hwp) 뷰어만 앱으로 깔려 있다. 한글 뷰어로는 문서를 읽어볼 수만 있을 뿐, 수정 등의 편집은 불가능하다. 포렌식 보고서에는 삭제된 앱 목록도 실려 있지만, 여기에 편집 가능한 한글 워드프로세서가 설치되어 있었다는 기록은 찾을 수 없었다.
검찰이 태블릿PC가 최순실씨 것이라고 주장한 또 다른 이유는 최순실씨가 촬영된 사진 때문이다. JTBC는 이 사진들을 근거로 최씨 소유 태블릿PC란 요지의 보도를 했었다. 태블릿PC에 의문을 제기하는 측에선 “최순실 사진은 2012년 6월 25일 최씨 가족들이 모인 식사 자리에서 촬영된 10여장이 전부고 그 외엔 (태블릿PC에) 한 장도 없다”며 검찰과 JTBC의 주장에 의문을 제기한다. 그렇다면 김한수씨가 개통해 김휘종씨에게까지 흘러온 태블릿PC에 최씨 사진이 있던 이유는 무엇일까? 법조인 출신의 한 인사는 이렇게 추정했다.
“김한수씨와 최순실씨의 조카 이○○(이)가 고교 동창으로 매우 가까운 사이다. 그 식사 자리에 3일 전 태블릿PC를 개통한 김한수와 이○○(이)가 함께 있었을 가능성을 배제할 수 없다.”
검찰은 ‘독일에서의 영사콜 기록 두 건이 최씨와 관련이 있다’며 태블릿PC가 최씨 소유임을 나타내는 증거라는 주장도 폈다. 영사콜이란 해외에서 긴급한 일이 있을 때 이용할 수 있는 외교부 24시간 전화를 의미한다. 지난 9월 17일 ‘박근혜 대통령 공정재판을 위한 법률지원단’(단장 김기수 변호사)은 “영사콜 두 번 외에는 해외에서의 전화 기록이 전무한데, 최서원씨는 2012년에서 2016년까지 독일에 훨씬 더 많은 횟수를 왕래한 것으로 알려져 있다”고 밝혔다. 두 건의 영사콜 기록만으로 최씨 소유로 단정한 검찰 측 주장이 신빙성이 없다는 뜻이다.
태블릿PC는 사상 초유의 대통령 탄핵과 구속의 단초를 제공한 물건이다. 감정 결과가 담긴 검찰의 포렌식 보고서가 처음 공개된 것은 지난 9월 19일 재판에서였다. 사건 발생 약 1년이 지난 시점이다. 그동안 온갖 억측은 쌓여만 갔다. 이제 그 결정적 실마리를 쥐고 있는 사람이 입을 열 차례다.
