Notre équipe d'expertise judiciaire est joignable au 0221 64306610. N'hésitez pas à nous exposer votre problème.
Criminalistique mobile – saisie et analyse des preuves numériques sur les smartphones
Les smartphones et les tablettes comptent parmi les éléments de preuve les plus riches en informations pouvant être rencontrés dans le cadre d'une enquête. L’essentiel n’est pas d’extraire le plus de données possible d’un appareil. Ce qui importe, c’est de sécuriser de manière contrôlée les traces pertinentes pour l’objet de la preuve, de les évaluer dans leur contexte et de les documenter de manière traçable – y compris les points sur lesquels une conclusion technique ne tient plus la route.
LanCologne est un cabinet d'expertise disposant de son propre laboratoire de criminalistique informatique à Cologne, spécialisé dans l'analyse des appareils mobiles. Comme nous couvrons également les autres domaines de la criminalistique informatique et de la reconstruction des données, les appareils mobiles peuvent, si nécessaire, être mis en relation avec d'autres éléments de preuve numériques, plutôt que d'être considérés isolément. Notre expertise repose sur une qualification certifiée par le TÜV Rheinland en matière de criminalistique des appareils mobiles et de Windows, accessible au public dans la base de données de certificats Certipedia sous le numéro de certification 0000067863.
Vous soupçonnez la présence d'un logiciel espion, d'un logiciel de harcèlement ou d'un logiciel malveillant sur un smartphone ? Nous procédons à une analyse judiciaire des appareils iOS et Android afin de détecter tout signe de compromission, en suivant une méthodologie documentée, en fournissant des conclusions vérifiables et en clarifiant ce que ces résultats indiquent et ce qu’ils ne révèlent pas. À propos du test de compromission
Ce que permet la criminalistique mobile – et ce qu'elle ne permet pas
La criminalistique mobile englobe la sauvegarde, l'extraction, l'analyse et l'évaluation des informations numériques provenant des smartphones, des tablettes et des sources de données associées. Elle apporte des réponses à des questions techniques : quelles données sont présentes sur l'appareil ? Quand ont-elles été créées, modifiées ou reçues ? Est-il possible de reconstituer le déroulement des événements ? Quelle est la valeur probante des traces trouvées ?
Elle ne répond à aucune question d'ordre juridique. C’est au tribunal ou au donneur d’ordre – et non à l’expert – qu’il appartient de décider si un résultat d’expertise est pertinent pour une procédure. Et elle n’offre aucune garantie : la possibilité de reconstituer une information donnée dépend du modèle de l’appareil, de la version du système d’exploitation, du cryptage, de l’état de l’appareil et de l’utilisation qui en a été faite après l’événement en question.
Soupçon de logiciel espion, de logiciel de harcèlement ou de logiciel malveillant
Une grande partie des demandes dans le domaine de la criminalistique mobile part d'un soupçon : quelqu'un détient des informations qu'il ne devrait pas connaître. Un appareil a temporairement échappé à son contrôle. Une situation de rupture s'aggrave. Ou encore, un smartphone professionnel présente un comportement suspect après un incident de hameçonnage.
Dans ce genre de cas, nous tenons un analyse médico-légale de compromission . Il ne s'agit pas d'un antivirus et il ne fonctionne pas à l'aide de signatures, mais analyse l'appareil à la recherche de traces qui auraient pu être laissées par une manipulation ou une surveillance.
Ce qui est examiné dans ce cadre
- les applications installées, leur origine et les autorisations qui leur ont été accordées
- Paramètres de configuration et de profil, gestion des appareils et certificats
- Les éléments système et de démarrage, ainsi que les mécanismes permettant leur conservation permanente sur l'appareil
- Anomalies au niveau du réseau et des connexions, y compris les connexions vers des destinations inhabituelles
- Données de diagnostic, de plantage et de journalisation pouvant indiquer une activité inattendue du processus
- Comptes, associations et accès synchronisés sur les appareils connectés
Ce que révèle un résultat
Nous faisons systématiquement la distinction entre un problème technique Justificatif, un Remarque, un soupçon non confirmé et un justificatif manquant. Si aucune anomalie n'est détectée, cela ne signifie pas pour autant qu'il n'y a certainement rien : cela signifie simplement qu'aucun indice n'a pu être mis en évidence avec les données et les méthodes disponibles. Nous précisons cette distinction dans le rapport, car elle est déterminante pour la décision ultérieure du donneur d'ordre.
À cela s'ajoute le fait que les attaques visant les appareils mobiles peuvent être conçues pour laisser le moins de traces durables possible. C'est aussi pour cette raison que l'absence d'anomalies ne permet pas d'exclure définitivement une attaque, mais fournit en revanche une indication fiable sur ce qui a été vérifié et ce qui n'a pas été détecté.
Chaque étape de l'examen est documentée : ce qui a été vérifié, la méthode utilisée, le résultat obtenu et les limites de la fiabilité des résultats. Nous décrivons en détail la procédure sur la page Analyse des menaces mobiles et des logiciels malveillants.
Le déroulement de l'examen
Objet de l'affaire et question de preuve
Au départ, c'est la question à laquelle il faut répondre qui prime, et non l'appareil. C'est de la question de fond qu'il découle quelles sources de données sont pertinentes, quelle méthode de sauvegarde est appropriée et quelle est l'étendue adéquate de l'enquête. Une question mal formulée conduit à un résultat imprécis.
Conservation des preuves et état des appareils
Un smartphone est un système dynamique. Il reçoit des messages, synchronise des comptes, enregistre des événements et nettoie des bases de données, même lorsqu’il n’est pas utilisé. Chaque minute pendant laquelle l’appareil continue de fonctionner après l’événement en question peut altérer des traces pertinentes.
C'est pourquoi nous consignons la réception, l'état et l'identification de l'appareil et évitons toute modification inutile. Lorsque la situation l'exige, nous effectuons la sauvegarde judiciaire sur place, plutôt que de transporter l'appareil.
Extraction
Les données sont extraites de l'appareil sécurisé sous une forme adaptée à l'analyse. Les méthodes disponibles dépendent de l'appareil et de sa version. Dans le cas d'appareils protégés ou verrouillés, un déverrouillage ou un décryptage peut être possible, en fonction du modèle, de la version du système d'exploitation et de l'état de l'appareil. On ne peut en déduire aucune garantie générale ; nous examinons chaque cas individuellement.
Analyse et corrélation
C'est là que réside la véritable valeur informative. Les éléments individuels sont examinés dans leur contexte : une base de données est recoupée avec les journaux système, un horodatage avec une source indépendante, un élément de localisation avec le contexte dans lequel il a été créé. Les contradictions entre les sources ne constituent pas un facteur perturbateur, mais représentent souvent le résultat même de l'analyse.
Évaluation et documentation
Au final, on aboutit à une classification qui distingue les faits techniquement vérifiables, les conclusions scientifiquement défendables, les simples indications et les hypothèses non vérifiables – et qui précise où s'arrête la valeur probante.
Types de sauvegardes
Les procédures courantes diffèrent par leur portée et leurs conditions préalables :
- Sauvegarde logique – accède aux données fournies par le système d'exploitation via des interfaces définies. Offre de nombreuses possibilités d'utilisation, mais se limite à ce que le système fournit.
- Sauvegarde basée sur le système de fichiers – recense les structures du système de fichiers et, par conséquent, souvent aussi les résidus de bases de données, les mémoires tampons et les structures secondaires, que ne couvre pas une sauvegarde logique.
- Procédures spécifiques à l'appareil – des droits d'accès étendus, dont la disponibilité dépend fortement du modèle, de la version du système d'exploitation et du niveau de sécurité.
Le terme „ sauvegarde physique “ est utilisé de manière hétérogène dans la pratique. Dans le cas des appareils mobiles, il ne fournit généralement pas une image bit à bit inchangée, comme c'est le cas avec un disque dur classique. Nous ne l'utilisons donc que lorsque cela s'applique d'un point de vue technique – et non comme une garantie de qualité.
iOS et Android : des contextes différents
Les possibilités varient considérablement. Il est trompeur de mettre ces deux plateformes sur un même plan.
iPhone et iPad
Les appareils Apple sont fortement standardisés et protégés à la fois par un chiffrement matériel et un accès au système strictement contrôlé. Les données accessibles dépendent en grande partie de la génération du modèle, de la version d’iOS et de l’état de l’appareil. L’analyse porte notamment sur les données de communication, les fichiers multimédias et leurs métadonnées, ainsi que les traces laissées par le système et l’utilisation. Nous abordons les détails relatifs à la plateforme sur la page consacrée à la analyse judiciaire des iPhones.
Android
Android est fortement fragmenté : les fabricants, les chipsets, les versions d'Android, les niveaux de correctifs de sécurité et les paramètres de chiffrement varient considérablement. D'une part, cela élargit l'éventail des procédures possibles ; d'autre part, les résultats sont moins prévisibles que sur iOS. Pour en savoir plus : L'analyse forensic d'Android en détail.
Analyse judiciaire de l'iPhone
La génération du modèle, la version d'iOS et l'état de l'appareil déterminent les procédures possibles.
Analyse judiciaire d'Android
Le fabricant, le chipset, la version et l'état des correctifs entraînent des situations de départ très différentes.
Test de compromission
Analyse visant à détecter la présence de logiciels espions, de logiciels de harcèlement et de logiciels malveillants – avec une interprétation claire des résultats.
Analyse judiciaire d'iCloud
Les comptes, les sauvegardes et les contenus synchronisés peuvent contenir des informations qui ne figurent pas sur l'appareil.
Champs d'artefacts centraux
Messagerie instantanée et communication
Les messages, les pièces jointes, les contacts, les informations relatives aux groupes et à l'heure, ainsi que les métadonnées associées, font partie des données les plus fréquemment analysées. Il est important de faire la distinction entre ce qu'une application affiche à l'écran et ce qui est réellement stocké dans ses structures de données. Une capture d'écran d'une conversation ne constitue pas une analyse judiciaire. Pour en savoir plus, consultez Analyse judiciaire de Messenger.
Bases de données d'applications, SQLite, WAL et SHM
De nombreuses applications stockent leurs données dans des bases de données SQLite. Outre le fichier de base de données proprement dit, il existe souvent des structures annexes, notamment le journal d'écriture anticipée (WAL) et le fichier de mémoire partagée (SHM). Celles-ci peuvent contenir des entrées qui ne sont déjà plus visibles dans la base de données principale. Lors de l’analyse de résultats pertinents sur le plan probatoire, nous examinons ces structures au niveau des données brutes, plutôt que de nous fier à la représentation traitée fournie par un outil. Voir à ce sujet la Analyse WAL et SHM.
Données supprimées
Il n'existe aucune garantie de récupération. Les appareils modernes cryptent par défaut ; les mémoires Flash sont nettoyées en arrière-plan ; les bases de données s'effacent d'elles-mêmes. Si les clés associées ont été supprimées ou si les zones concernées ont été écrasées, toute reconstruction est techniquement impossible.
Il existe cependant souvent des traces secondaires : des entrées dans des structures secondaires de bases de données, des mémoires cache, des aperçus, des historiques de notifications, des sauvegardes ou des copies synchronisées sur des appareils connectés. À l'inverse, le fait qu'une information ne puisse plus être reconstituée ne prouve pas qu'elle n'ait jamais existé.
Données de localisation et de déplacement
Les sources possibles sont les métadonnées des photos, les données cartographiques et de navigation, les artefacts liés aux applications et au système, ainsi que les références au réseau et au cloud. La prudence s'impose lors de l'évaluation : un artefact de localisation atteste d'une activité de l'appareil, et non de la présence d'une personne en particulier. La question de savoir qui portait l’appareil sur soi au moment en question n’est pas une question technique, mais une question de preuve.
Horodatage et reconstitution des événements
Les indications horaires constituent l’une des sources d’erreur les plus courantes. Les fuseaux horaires et les formats varient, et un même fichier peut contenir plusieurs valeurs temporelles ayant des significations différentes : création, modification, réception, envoi, synchronisation, enregistrement dans la base de données ou affichage. Une valeur isolée est donc rarement suffisante à elle seule. Dans la mesure du possible, nous la recoupons avec des sources indépendantes – par exemple avec Journaux des appareils Android.
Une analyse plutôt qu'un rapport sur les outils
Les logiciels d'investigation numérique permettent de sauvegarder, d'extraire, d'organiser les données et de fournir des indices. Cependant, le rapport généré automatiquement par un outil ne constitue pas pour autant une interprétation d'expert.
Les outils reposent sur des hypothèses : ils classent les données, interprètent les valeurs temporelles et mettent en évidence des corrélations qui ne s’appliquent pas nécessairement à chaque cas particulier. C’est pourquoi nous vérifions la plausibilité des résultats pertinents pour la preuve au niveau des artefacts et des données brutes, dans la mesure où cela est nécessaire et techniquement possible. Pour une classification plus générale, voir notre Services d'expertise en informatique légale.
Comptes cloud et appareils connectés
Un appareil est rarement isolé. Les comptes, les sauvegardes, les contenus synchronisés et les autres appareils du même utilisateur peuvent contenir des informations pertinentes, parfois même lorsqu'elles ne figurent plus sur l'appareil faisant l'objet de l'enquête. Ces sources ne sont prises en compte que dans le cadre de la mission d'enquête confiée et des autorisations juridiques et techniques existantes.
Neutralité des résultats, documentation et chaîne de traçabilité
Les analyses sont menées sans a priori. Les éléments pertinents sont évalués, qu'ils corroborent ou contredisent une hypothèse de travail. Même lorsqu'elle est commanditée par une partie, l'analyse technique reste neutre. L'absence de preuve constitue un résultat techniquement correct et est désignée comme telle.
Sont consignés la réception, l'état et l'identification de l'appareil, les transferts, les étapes de traitement, la méthode de sauvegarde choisie, les outils et versions utilisés, les étapes d'analyse ainsi que les limites de l'examen. Des valeurs d'intégrité ou de hachage sont générées dans la mesure où cela est techniquement possible ; pour les appareils mobiles, ce n'est pas le cas dans toutes les procédures ni à tous les niveaux.
Formats des résultats : documentation, rapport, expertise
L'étendue dépend de la mission, de la question de fait et de l'usage prévu :
- Documentation technique – traitement structuré des données sauvegardées et extraites, afin que le donneur d'ordre puisse lui-même poursuivre le travail.
- Rapport d'expertise médico-légale – une analyse complète comprenant les résultats, leur interprétation, leur pertinence et leurs limites clairement indiquées.
- Rapport d'expertise en informatique légale – réponse d'expert à une question de preuve concrète, préparée en vue de son utilisation dans le cadre d'une procédure.
Nous déterminerons quelle forme est la plus appropriée avant le début de l'examen.
Pour qui menons-nous ces études ?
L'examen technique est le même dans tous les cas de figure ; ce sont les questions typiques qui diffèrent.
Tribunaux nécessitent une réponse neutre et compréhensible à une question concrète relative à la preuve. Avocats et avocats pénalistes font souvent vérifier d'un point de vue technique les résultats d'examens disponibles. autorités chargées de l'application de la loi confier la saisie et l'analyse à titre de prestation complémentaire d'expertise. Entreprise enquêtent sur les incidents internes, les fuites de données éventuelles ou la reconstitution de déroulements concrets. Assurances nécessitent une analyse technique des sinistres et la vérification des preuves numériques. Particuliers nous contactent pour des questions concernant leurs propres appareils et ont également besoin d'une explication claire des résultats.
Limites techniques
Les possibilités d'analyse sont limitées par le modèle de l'appareil et la version du système d'exploitation, les mises à jour de sécurité et le chiffrement, l'état de verrouillage et l'état de l'appareil, les effacements et nettoyages de la base de données effectués, l'utilisation ultérieure après l'événement en question, les processus de synchronisation, ainsi que par les défauts et les dommages physiques.
Le fait qu'un appareil ait déjà été déverrouillé au moins une fois depuis sa dernière mise sous tension joue ici un rôle particulier. Avant le premier déverrouillage, une grande partie des données est cryptée et techniquement inaccessible ; après un déverrouillage, davantage de zones se trouvent dans un état décrypté. Cette différence peut déterminer quelles analyses sont possibles – et c’est une raison pour ne pas redémarrer inutilement un appareil après un événement pertinent.
Il n'est donc pas possible de garantir l'exhaustivité ou la réussite de l'intervention. Ce qui est réalisable dans un cas concret ne peut être évalué de manière fiable qu'après examen de l'appareil et de la problématique. En cas de défaut matériel ou si la reconstruction des données est prioritaire, il peut être nécessaire de Récupération de données la solution la plus appropriée.
Technologies et outils de criminalistique
Pour la sauvegarde, l'extraction et l'analyse, nous utilisons des outils de criminalistique éprouvés ainsi que des étapes d'analyse complémentaires développées en interne. Le choix dépend de l'appareil, de la source des données et de la problématique – et non l'inverse.
La compétence technique ne découle pas de la possession d'un logiciel, des logos de partenaires ou des noms de fabricants, mais d'une vérification méthodique des résultats. Les résultats fournis par les outils sont vérifiés lorsque les conclusions ont une valeur probante et ne sont pas repris tels quels sans avoir été vérifiés.
Questions fréquentes sur la criminalistique mobile
Comment se déroule une expertise en criminalistique mobile ?
Clarifier la question faisant l'objet de l'expertise, sécuriser l'appareil de manière contrôlée, extraire les données, analyser et mettre en corrélation les artefacts, classer et documenter les résultats. L'étendue de chacune de ces étapes dépend de la problématique posée.
Combien de temps dure un examen ?
Cela dépend de l'appareil, du volume de données, de la méthode de sauvegarde et de l'étendue de l'analyse. Nous ne pourrons donner une estimation fiable qu'après examen ; il serait irresponsable de notre part d'avancer une durée forfaitaire.
Est-il possible de récupérer des messages supprimés ?
Parfois. La réussite d'une reconstruction dépend du cryptage, de la gestion de la mémoire, du temps écoulé et de l'utilisation ultérieure des données. Il existe souvent des traces secondaires dans des structures annexes de bases de données, des mémoires cache ou des sauvegardes. Il n'y a toutefois aucune garantie.
Est-il possible d'examiner un appareil verrouillé ?
Selon le modèle, la version du système d'exploitation et l'état de l'appareil, un déverrouillage ou un décryptage peut être possible. Nous vérifions au préalable si cela s'applique dans le cas concret.
En quoi l'iPhone et Android diffèrent-ils ?
iOS est fortement standardisé et très sécurisé, tandis qu'Android est très hétérogène. Ces deux caractéristiques ont une incidence directe sur les procédures de sécurité disponibles et sur la prévisibilité des résultats.
Des valeurs de hachage sont-elles générées ?
Oui, dans la mesure où cela est techniquement possible. Sur les appareils mobiles, toutes les méthodes ne permettent pas d'obtenir une image pour laquelle la valeur de hachage a la même valeur informative que sur un support de données classique. Nous consignons ce qui a été généré et à quoi cela se rapporte.
Quelle est la différence entre un rapport et un avis d'expert ?
Un rapport d'enquête consigne les constatations et leur interprétation. Une expertise répond en outre à une question de preuve concrète sous une forme adaptée à une procédure.
Est-il possible de déterminer si un appareil a fait l'objet d'une surveillance ?
Les anomalies au niveau du système, des applications et du réseau peuvent fournir des indices. Il est possible d'en apporter la preuve, mais pas de les exclure avec certitude : si aucune anomalie n'est détectée, cela signifie qu'aucun indice n'a pu être identifié à partir des données disponibles.
Nous répondons à d'autres questions de manière groupée à l'adresse suivante : Toutes les questions et réponses sur la criminalistique mobile.
Demander une expertise judiciaire sur un appareil mobile
Décrivez-nous le problème et l'état de l'appareil : nous vous indiquerons ce qui est techniquement possible et ce qui ne l'est pas.
Pour nous permettre de procéder à une première évaluation, il est utile de nous indiquer le modèle de l'appareil, la version du système d'exploitation, son état actuel (allumé, verrouillé, endommagé), s'il est accessible, ainsi qu'une brève description du problème. Nous ne pouvons toutefois pas garantir à l'avance le succès d'une extraction ou d'une récupération.