Preuve numérique : comment rechercher, analyser et préserver les traces informatiques ?

Qu'est-ce qu'une preuve numérique ?

Une preuve numérique est une information d'origine électronique susceptible de contribuer à établir un fait, à confirmer une hypothèse ou à éclairer les circonstances d'un événement. Elle peut provenir d'un ordinateur, d'un smartphone, d'un serveur, d'une messagerie électronique, d'un logiciel ou d'un service accessible sur Internet.

La généralisation des technologies numériques a profondément transformé les méthodes de recherche de preuves. Les échanges professionnels, les transactions, les communications personnelles et les documents administratifs laissent fréquemment des traces informatiques pouvant présenter un intérêt dans une enquête ou un litige.

Un fichier enregistré sur un disque dur, un courrier électronique, une photographie, un historique de navigation ou un journal système peut contenir des informations permettant de mieux comprendre une situation. Ces éléments peuvent notamment contribuer à documenter une fraude, une intrusion informatique, une modification de document, une divulgation de données ou une utilisation abusive d'un équipement.

La recherche de preuves numériques s'appuie sur les méthodes de l'informatique forensique, également appelée criminalistique numérique ou informatique légale. Cette discipline consiste à identifier, préserver, examiner et interpréter les données électroniques selon une méthodologie documentée.

La présence d'une trace informatique ne suffit cependant pas à démontrer automatiquement un fait. Sa pertinence dépend de son origine, de sa fiabilité, de son contexte et des conditions dans lesquelles elle a été recueillie.

Chaque utilisation d'un appareil peut laisser des traces numériques

Lorsqu'un utilisateur démarre un ordinateur, ouvre un document, consulte un site Internet ou utilise une application, différentes opérations sont réalisées par le système informatique. Certaines d'entre elles peuvent être enregistrées dans des fichiers, des journaux techniques ou des bases de données internes.

Ces informations sont parfois invisibles pour l'utilisateur, mais elles peuvent être examinées au moyen d'outils spécialisés. Elles constituent ce que l'on appelle des traces numériques, ou artefacts numériques dans le vocabulaire de l'investigation forensique.

La recherche de ces traces peut permettre de mieux comprendre l'utilisation d'un équipement et de reconstituer certains événements. Toutefois, toutes les actions ne sont pas nécessairement enregistrées, et les informations conservées peuvent disparaître ou être modifiées au fil du temps.

Déterminer la date du dernier démarrage d'un ordinateur

Les systèmes d'exploitation enregistrent différentes informations relatives à leur fonctionnement. Certains journaux permettent notamment de rechercher les événements associés au démarrage, à l'arrêt ou au redémarrage d'un ordinateur.

L'analyse de ces informations peut contribuer à déterminer à quels moments un équipement a été utilisé ou a changé d'état. Sur Windows, Linux ou macOS, les méthodes de recherche diffèrent selon les journaux disponibles et les paramètres de conservation.

Les horodatages doivent être interprétés avec précaution. Un redémarrage automatique, une sortie de veille ou une modification de l'horloge système peut influencer la chronologie apparente.

Rechercher la date de création ou de modification d'un fichier

Les systèmes de fichiers conservent généralement différentes informations temporelles associées aux documents. Selon le format du support et le système d'exploitation, ces informations peuvent concerner la création, la modification ou certains accès à un fichier.

Dans une investigation, ces horodatages peuvent contribuer à rechercher le moment où un document a été enregistré, modifié ou déplacé.

Il est toutefois nécessaire de distinguer les dates enregistrées par le système de fichiers des métadonnées internes au document. Une copie, une conversion ou un transfert entre plusieurs supports peut entraîner la modification de certains horodatages.

La date affichée dans les propriétés d'un fichier ne constitue donc pas, à elle seule, la preuve certaine de sa date de création initiale.

Établir l'existence d'un document informatique

La recherche de preuves numériques peut également consister à vérifier qu'un document était présent sur un équipement ou qu'il existait à une période donnée.

Les éléments examinés peuvent comprendre le fichier lui-même, des sauvegardes, des références dans les applications, des miniatures, des raccourcis ou des informations conservées dans certaines structures du système.

Lorsque le document a été supprimé, des traces résiduelles peuvent parfois subsister. Elles peuvent contribuer à démontrer qu'un fichier a existé, même lorsque son contenu complet ne peut plus être récupéré.

Il faut néanmoins distinguer la découverte d'une référence technique à un document de la preuve que celui-ci a été effectivement consulté ou exploité par une personne déterminée.

Les métadonnées : des informations techniques utiles à la preuve numérique

Les métadonnées sont des informations décrivant certaines caractéristiques d'un fichier ou d'un objet numérique. Elles peuvent concerner son format, ses dates, ses propriétés techniques, le logiciel utilisé ou certaines informations associées à sa création.

Un document bureautique peut notamment contenir des informations sur son application d'origine, ses propriétés internes ou son historique technique. Une photographie peut conserver des données EXIF mentionnant les caractéristiques de prise de vue, l'appareil utilisé et, dans certains cas, des coordonnées géographiques.

Les métadonnées constituent une source particulièrement intéressante dans les enquêtes informatiques, car elles peuvent apporter des renseignements qui ne sont pas directement visibles dans le contenu du fichier.

Les métadonnées des documents Word, Excel et PDF

Les fichiers bureautiques peuvent contenir des propriétés telles que le nom d'auteur déclaré, le logiciel utilisé, certaines dates ou des informations de modification. Leur examen peut contribuer à comprendre les conditions techniques de production d'un document.

Dans un litige commercial, l'analyse de plusieurs versions peut aider à rechercher des différences de contenu ou à examiner les propriétés associées aux fichiers disponibles.

Ces données ne permettent cependant pas de certifier automatiquement l'identité d'un auteur. Les noms enregistrés peuvent provenir de paramètres logiciels et certaines métadonnées peuvent être supprimées ou modifiées.

Les métadonnées des photographies numériques

Les images peuvent contenir des informations relatives à l'appareil photographique, au logiciel de traitement, à la résolution et parfois aux conditions de prise de vue.

Les coordonnées GPS, lorsqu'elles sont présentes, peuvent constituer des indices géographiques. Elles doivent néanmoins être vérifiées, car elles peuvent être absentes, imprécises ou modifiables.

Dans une enquête, l'analyse des métadonnées peut contribuer à comparer plusieurs images, à rechercher des informations sur leur production ou à identifier certains traitements informatiques.

Les métadonnées des courriers électroniques

Les messages électroniques comportent des en-têtes techniques liés à leur acheminement. Ces informations peuvent mentionner des serveurs, des horodatages, des identifiants de message et certains résultats de mécanismes d'authentification.

Leur analyse peut aider à détecter des incohérences ou à comprendre certains aspects de la transmission d'un message.

Elle ne permet pas nécessairement d'identifier nominativement l'expéditeur réel. Les adresses IP des utilisateurs sont notamment masquées par de nombreux fournisseurs de messagerie.

La valeur juridique de la preuve numérique en France

Les informations électroniques peuvent présenter un intérêt dans différentes procédures : litiges civils, conflits commerciaux, contentieux professionnels, procédures pénales ou contestations contractuelles.

Leur utilisation doit cependant respecter les règles applicables à la preuve et les conditions légales de collecte des informations.

En droit français, il convient de distinguer l'écrit électronique, dont la valeur est encadrée par des dispositions spécifiques du Code civil, et les autres traces informatiques susceptibles d'être présentées comme éléments de preuve.

L'article 1366 du Code civil et la valeur de l'écrit électronique

L'ancien article 1316-1 du Code civil a été renuméroté à l'article 1366 lors de la réforme du droit des obligations entrée en vigueur le 1er octobre 2016.

L'article 1366 prévoit que l'écrit électronique dispose de la même force probante que l'écrit sur papier, à condition que la personne dont il émane puisse être dûment identifiée et que le document soit établi et conservé dans des conditions permettant de garantir son intégrité.

Cette disposition constitue une référence importante pour comprendre les exigences applicables à l'écrit électronique. Elle ne signifie toutefois pas que toute donnée trouvée sur un ordinateur possède automatiquement la même valeur qu'un document régulièrement établi.

La nature de l'élément, les conditions de sa conservation et le contexte juridique doivent être examinés séparément.

Identifier l'origine d'un document électronique

L'identification de l'origine d'un écrit électronique constitue un élément important de son appréciation juridique. Elle peut reposer sur différents moyens selon le type de document : signature électronique, système d'authentification, mécanismes de traçabilité ou autres éléments techniques.

Les métadonnées peuvent contribuer à cette recherche, mais elles ne constituent pas nécessairement un mécanisme fiable d'identification.

Un nom d'utilisateur enregistré dans un fichier ne démontre pas automatiquement que la personne correspondante l'a personnellement créé ou modifié.

Garantir l'intégrité des données

L'intégrité désigne le fait qu'une information n'a pas subi de modification non autorisée ou non maîtrisée dans le cadre considéré.

Dans une investigation numérique, les mécanismes de contrôle peuvent notamment comprendre le calcul d'empreintes cryptographiques, la conservation des copies, la traçabilité des manipulations et la documentation des procédures.

Un algorithme comme SHA-256 permet de produire une empreinte numérique à partir du contenu d'un fichier. Deux copies identiques produisent normalement la même empreinte, ce qui permet de vérifier leur correspondance.

Le calcul d'une empreinte ne démontre cependant ni l'authenticité de l'auteur ni la véracité du contenu. Il contribue principalement à contrôler l'intégrité du fichier à partir du moment où l'empreinte de référence a été établie.

La force probante appréciée par le juge

La force probante correspond à la valeur qu'un élément peut présenter pour établir les faits invoqués. Selon le type de procédure et les règles applicables, le juge apprécie les éléments qui lui sont soumis.

Une preuve numérique peut être contestée en raison de son origine, des conditions de sa collecte, de son intégrité ou de son interprétation.

Un rapport informatique détaillé facilite la compréhension des opérations réalisées et des conclusions présentées. Il ne transforme pas pour autant chaque observation technique en preuve incontestable.

La recherche de preuves numériques dans les procédures judiciaires

Les techniques d'investigation numérique peuvent être utilisées pour documenter des situations très différentes : fraude, concurrence déloyale, divulgation d'informations confidentielles, diffamation, usurpation d'identité ou suspicion d'intrusion informatique.

La méthode consiste généralement à définir les informations recherchées, identifier les supports pertinents, préserver les données accessibles légalement et effectuer les analyses nécessaires.

Les constatations peuvent ensuite être organisées dans un rapport technique destiné à faciliter l'examen du dossier par les professionnels du droit.

La preuve numérique dans les affaires de concurrence déloyale

Une entreprise peut rechercher des éléments concernant la copie de fichiers commerciaux, l'utilisation de documents confidentiels ou certaines opérations réalisées sur ses systèmes informatiques.

Une analyse autorisée peut examiner les historiques de fichiers, les journaux disponibles, les informations relatives aux périphériques et certaines traces de synchronisation.

Ces éléments peuvent contribuer à reconstituer des événements techniques, sans démontrer nécessairement l'identité ou l'intention de leur auteur.

La preuve numérique dans les affaires de cybercriminalité

Une victime de cybercriminalité peut disposer de messages suspects, de captures d'écran, de journaux techniques ou de fichiers pouvant contribuer à documenter les circonstances d'un incident.

L'analyse informatique permet de préserver ces éléments, d'étudier leurs caractéristiques et de rechercher d'éventuelles incohérences.

L'identification nominative d'un cybercriminel nécessite parfois des données détenues par des opérateurs ou des plateformes, auxquelles les enquêteurs privés n'ont pas librement accès.

La preuve numérique dans les litiges professionnels

Les entreprises peuvent également être confrontées à des situations de suppression de documents, de modification de fichiers ou d'utilisation contestée d'équipements professionnels.

Les investigations doivent alors tenir compte des droits des salariés, de la confidentialité des correspondances et des règles relatives à la protection des données personnelles.

La collecte doit rester proportionnée à l'objectif poursuivi et se limiter aux informations pouvant être légalement examinées.

Les étapes d'une recherche de preuves numériques

Définition du périmètre d'investigation

Une recherche commence par une question précise : faut-il déterminer si un fichier a existé, rechercher une date de modification, examiner une messagerie ou analyser les traces d'une intrusion ?

Cette étape permet de définir les supports concernés, les autorisations disponibles et les moyens techniques nécessaires.

Identification et préservation des données

Les informations susceptibles de présenter un intérêt sont identifiées avant l'analyse. Selon la situation, une copie de fichiers, une acquisition logique ou une image forensique du support peut être envisagée.

La préservation vise à réduire les risques de modification et à conserver des informations sur les opérations réalisées.

Analyse des fichiers et des métadonnées

Les outils spécialisés permettent d'examiner les propriétés techniques, les journaux, les historiques et les données disponibles.

L'analyse cherche à identifier les éléments pertinents, à vérifier leur cohérence et à rapprocher plusieurs sources lorsque cela est possible.

Reconstitution des événements

Les horodatages, les traces de connexion et les informations des fichiers peuvent être regroupés dans une chronologie.

Cette reconstitution doit tenir compte des limites de chaque source, notamment des modifications automatiques, des différences d'horloge et des données manquantes.

Rédaction d'un rapport technique

Le rapport présente le contexte, le périmètre, les méthodes employées, les résultats et les limites de l'analyse.

Il peut comprendre des tableaux, des copies de fichiers, des captures d'écran et des références techniques permettant de comprendre les constatations.

Le rôle du détective privé dans la recherche de preuves numériques

Les détectives privés peuvent rencontrer des situations dans lesquelles les données électroniques constituent une source importante d'informations. Leur activité consiste à rechercher des renseignements destinés à défendre les intérêts légitimes de leurs clients, dans le respect du cadre réglementaire applicable.

Lorsque la mission présente une dimension informatique, le détective privé peut utiliser des méthodes de recherche documentaire et des outils techniques adaptés aux données qu'il est autorisé à examiner.

Il peut également travailler avec un spécialiste de l'informatique pour comprendre les résultats, définir les opérations techniques nécessaires ou préparer une intervention plus approfondie.

Une assistance technique ne doit toutefois pas être confondue avec l'exécution d'actes réglementés d'enquête privée par une personne non autorisée.

Expert informatique, expert judiciaire et commissaire de justice

Plusieurs professionnels peuvent intervenir dans un dossier comportant des preuves numériques. Leurs missions ne sont pas identiques et leur intervention dépend des besoins techniques et juridiques de l'affaire.

Le spécialiste en informatique forensique

Le spécialiste en informatique forensique possède des compétences dans l'acquisition, la préservation et l'analyse des données électroniques. Il peut réaliser des examens techniques, rechercher des traces et produire des rapports dans le cadre de prestations autorisées.

Son intervention ne lui confère pas automatiquement le statut d'expert judiciaire.

L'expert judiciaire en informatique

L'expert judiciaire est un professionnel désigné par une juridiction pour apporter un avis technique sur les questions qui lui sont soumises.

Il intervient dans le cadre de la mission fixée par le juge et conformément aux règles procédurales applicables.

La recherche d'un expert doit tenir compte de ses compétences réelles, de sa spécialité et de la nature des équipements à examiner.

Le commissaire de justice

Le commissaire de justice peut effectuer des constatations dans les conditions prévues par la réglementation. Son intervention peut être pertinente lorsqu'il faut documenter l'existence d'un contenu électronique ou l'état apparent d'un support.

Dans certains dossiers, les constatations peuvent être préparées avec l'assistance d'un technicien spécialisé. Il convient toutefois de distinguer un constat de l'analyse forensique approfondie d'un système informatique.

Quels logiciels permettent de rechercher des preuves numériques ?

Les spécialistes de l'analyse informatique disposent de différents outils pour examiner les supports, rechercher les métadonnées et documenter les constatations.

ExifTool pour les métadonnées

ExifTool permet de consulter les métadonnées de nombreux formats de fichiers, notamment les images et certains documents électroniques.

Il peut être utilisé pour rechercher les informations techniques enregistrées dans un fichier et comparer certaines propriétés.

Autopsy pour l'analyse des supports

Autopsy est un logiciel d'analyse forensique permettant d'examiner les systèmes de fichiers, de rechercher des documents et d'explorer certaines informations techniques.

Il présente également un intérêt pédagogique pour les professionnels souhaitant découvrir les méthodes de criminalistique numérique.

FTK Imager pour l'acquisition de données

FTK Imager est un outil utilisé pour réaliser certaines acquisitions de données et examiner des supports dans un cadre d'investigation.

Les méthodes d'acquisition doivent être adaptées au matériel et documentées afin de permettre une vérification des opérations réalisées.

Les outils de calcul d'empreintes SHA-256

Le calcul d'empreintes numériques permet de contrôler l'intégrité des fichiers entre différentes étapes d'un traitement.

Ces contrôles peuvent être intégrés à des scripts ou à des logiciels de gestion de dossiers pour faciliter la traçabilité.

Intelligence artificielle et automatisation des preuves numériques

Les technologies d'intelligence artificielle peuvent assister certaines opérations d'investigation numérique, notamment le classement des documents, l'extraction de métadonnées, la recherche de mots-clés ou la préparation de chronologies.

Les solutions d'automatisation permettent également de créer des répertoires, de calculer des empreintes, de produire des inventaires et de générer des rapports à partir des informations collectées.

Ces outils peuvent réduire les opérations répétitives, mais leurs résultats doivent être vérifiés. Une analyse réalisée par intelligence artificielle ne garantit ni l'authenticité d'un document ni sa valeur probante.

Pour préserver la confidentialité, les traitements peuvent être organisés localement lorsque les logiciels et les infrastructures le permettent, sans transmission des documents vers des services externes.

Cyberdétective : les méthodes de recherche de preuves numériques depuis 1999

Ancien détective privé spécialisé dans les enquêtes informatiques et la cybercriminalité, Alain Stevens développe depuis 1999 des activités consacrées aux technologies numériques et à leur utilisation dans la recherche d'informations.

Il propose depuis cette époque des livres et des publications sur l'informatique, les enquêtes numériques et la cybercriminalité. Son parcours professionnel et ses travaux ont fait l'objet de nombreuses références dans la presse internationale.

À travers Cyberdétective et Pacta Cyber Lab, il propose aujourd'hui des formations, des conseils techniques, des logiciels spécialisés et des solutions d'automatisation destinés notamment aux détectives privés et aux professionnels souhaitant mieux comprendre l'analyse des preuves numériques.

Ces outils peuvent contribuer à la recherche de métadonnées, au classement de fichiers, à la préservation d'informations et à la production de rapports techniques.

Alain Stevens n'est pas expert judiciaire et n'exerce pas actuellement d'activité réglementée de détective privé. Il peut toutefois conseiller les utilisateurs sur les méthodes et les outils informatiques, ainsi que sur les compétences techniques à rechercher auprès d'un professionnel spécialisé.

Comment choisir un professionnel pour analyser une preuve numérique ?

Le choix d'un intervenant dépend de la nature des données, de la question posée et du cadre de la procédure.

Une recherche de métadonnées sur un document PDF ne nécessite pas nécessairement les mêmes compétences qu'une récupération de données sur un disque endommagé, une analyse de smartphone ou une investigation après une cyberattaque.

Il est donc important de définir le besoin avant de solliciter un spécialiste. Une première évaluation peut permettre de déterminer les outils appropriés, les limites de l'intervention et l'éventuelle nécessité d'un constat ou d'une expertise.

Contactez Alain Stevens pour comprendre et préserver vos preuves numériques

Vous êtes détective privé, avocat, dirigeant d'entreprise ou particulier et souhaitez comprendre les possibilités d'analyse d'un document électronique, de recherche de métadonnées ou de préservation de données informatiques ?

Alain Stevens peut vous accompagner dans le choix des méthodes techniques, la compréhension des outils forensiques et l'identification des compétences spécialisées nécessaires à votre projet.

Depuis 1999, son expérience des enquêtes informatiques et de la cybercriminalité constitue le fondement des solutions Cyberdétective, consacrées aux logiciels, à la formation et à l'assistance technique en investigation numérique.

Contactez Alain Stevens sur Pacta.com pour présenter votre besoin et étudier les possibilités techniques de recherche et de préservation des preuves numériques.