Criminalistique informatique · Tribunaux

Peut-on constater des indices laissant supposer l'utilisation de techniques anti-forensiques ou l'effacement ciblé de traces ?

Les mesures anti-forensiques peuvent, par exemple, viser la suppression de données, le nettoyage des journaux, la manipulation des horodatages ou l'utilisation de certains outils. Une enquête technique recherche des incohérences concrètes et les traces correspondantes, et non pas un soupçon général.

Demande sans engagement

Que doit réellement déterminer l'expert ?

Ce n'est pas la quantité d'artefacts trouvés qui est déterminante. Ce qui importe, c'est de savoir si les traces numériques pertinentes corroborent le fait visé dans la question de preuve, le contredisent ou ne permettent pas de tirer de conclusion fiable. À cette fin, les résultats sont examinés dans leur contexte technique et les hypothèses contraires sont expressément prises en compte.

Où se situe la limite de l'expression

Une anomalie ne constitue pas en soi une preuve d'une manœuvre délibérée visant à faire disparaître des preuves. Les causes techniques et les processus normaux du système doivent être examinés comme explications alternatives. L'intention et l'appréciation juridique relèvent de la compétence du tribunal.

Comment LanCologne traite la question de fond

Dans le cadre de missions judiciaires, notre travail commence par la question des preuves, et non par un programme d'analyse. Nous déterminons quel fait technique doit être élucidé, quelles sources de données sont pertinentes à cet effet et quelles explications alternatives doivent être examinées.

La base de données est clairement documentée et, dans la mesure où cela est techniquement possible, examinée à partir de sauvegardes légistes vérifiées ou de copies de travail. Les correspondances automatisées ne sont pas reprises telles quelles lorsqu'elles soulèvent des questions déterminantes pour la décision. L’origine, la logique de création et le contexte d’un artefact sont déterminants. Si nécessaire, un résultat est vérifié à l’aide des données brutes ou à l’aide d’une deuxième méthode indépendante et techniquement appropriée.

Dans notre rapport d'expertise, nous faisons la distinction entre les constatations factuelles, l'évaluation technique et les conclusions. Nous indiquons également très clairement les limites de nos conclusions : qu'est-ce qui est prouvé, qu'est-ce qui est simplement étayé, quelles questions restent en suspens et que ne peut-on pas établir sur la base des données disponibles ?

La partie principale est rédigée de manière à être compréhensible pour les juges et autres non-spécialistes en criminalistique. La vérifiabilité technique est garantie par une partie technique distincte. Celle-ci documente les sources de données, les valeurs d'intégrité, les artefacts et les étapes d'analyse essentiels à une vérification indépendante.

Notre méthode de travail

1Délimiter sur le plan technique la mission judiciaire et la question de la preuve.
2Vérifier le domaine de compétence, le délai et les éventuels doutes quant à l'impartialité.
3Documenter clairement les éléments de preuve et les données de départ.
4Garantir l'intégrité et éviter les changements dans la mesure du possible.
5Déduire des hypothèses de vérification techniques et des contre-hypothèses à partir de la question de preuve.
6Analyser de manière ciblée les sources de données pertinentes.
7Valider scientifiquement les résultats déterminants et examiner les explications alternatives.
8Recenser les incohérences, les données manquantes et les limites techniques.
9Répondre clairement à la question de preuve, sans aller au-delà de la portée des données.
10Consigner les bases techniques nécessaires à une vérification indépendante.

Cadrage méthodologique

Il n'existe pas de liste légale de logiciels obligatoires pour la criminalistique informatique judiciaire. Le module DER.2.2 du référentiel « Grundschutz » du BSI contient des principes de base utiles concernant la prévention, la collecte de preuves et la présentation des résultats adaptée au public cible en cas d'incidents de sécurité informatique. Il précise toutefois expressément que l'analyse médico-légale proprement dite ne fait pas l'objet de ce module et qu'il ne concerne pas les enquêtes médico-légales informatiques menées dans le cadre d'infractions pénales. Nous ne le présentons donc pas comme une norme en matière de procédure pénale.

Cadre juridique

Articles 403, 404a, 407a et 411 du Code de procédure civile (ZPO) ; article 286 du Code de procédure civile (ZPO).

L'appréciation finale des preuves relève de la compétence du tribunal. Notre mission d'expert se limite à apporter une réponse technique à la question technique posée dans le cadre de la mission qui nous a été confiée.

Foire aux questions

Peut-on constater des indices laissant supposer l'utilisation de techniques anti-forensiques ou l'effacement ciblé de traces ?+
Les mesures anti-forensiques peuvent, par exemple, viser la suppression de données, le nettoyage des journaux, la manipulation des horodatages ou l'utilisation de certains outils. Une enquête technique recherche des incohérences concrètes et les traces correspondantes, et non pas un soupçon général.
Comment se déroule concrètement un tel examen technique ?+
Dans le cadre de missions judiciaires, notre travail commence par la question des preuves, et non par un programme d'analyse. Nous déterminons quel fait technique doit être élucidé, quelles sources de données sont pertinentes à cet effet et quelles explications alternatives doivent être examinées.
Le résultat de l'expertise permet-il de fournir des éléments clairs au tribunal ?+
Une anomalie ne constitue pas en soi une preuve d'une manœuvre délibérée visant à faire disparaître des preuves. Les causes techniques et les processus normaux du système doivent être examinés comme explications alternatives. L'intention et l'appréciation juridique relèvent de la compétence du tribunal.
Existe-t-il une base juridique à cet effet ?+
Articles 403, 404a, 407a et 411 du Code de procédure civile (ZPO) ; article 286 du Code de procédure civile (ZPO). L'appréciation finale des preuves relève de la compétence du tribunal. Notre intervention en tant qu’expert se limite à apporter une réponse technique à la question de preuve soulevée dans le cadre de la mission qui nous a été confiée.

LanCologne – Informatique légale pour les tribunaux

Vous avez besoin d'une expertise informatique légale indépendante concernant une question de preuve précise dans le cadre d'une procédure judiciaire ? LanCologne analyse les traces numériques disponibles sans préjuger des conclusions et documente de manière transparente les résultats déterminants, les contre-résultats et les limites techniques.

Nous contacter dès maintenant