Forensique mobile : extraction, validation et chaîne de possession

Le smartphone moderne est, en termes probatoires, un enregistrement exceptionnellement complet de la vie d'une personne : communications, historique de localisation, activité financière et la chronologie qui les relie. Cette richesse place les appareils mobiles au cœur des enquêtes d'entreprise comme des contentieux. Elle en fait aussi des preuves fragiles — une seule étape négligente peut remettre en cause toute l'acquisition. Une forensique mobile solide tient autant à la procédure qu'à l'outillage.

Une acquisition type

Le travail suit une séquence délibérée, alignée sur les principes de l'ISO/IEC 27037 pour l'identification, la collecte et la préservation des preuves numériques :

1. Isoler l'appareil. Placez-le dans un état où il ne peut recevoir aucune commande à distance — mode avion ou enceinte blindée — afin d'empêcher un effacement à distance ou l'écrasement des preuves par de nouvelles données.
2. Tout documenter à la saisie. Marque, modèle, identifiants, état physique et état de l'écran, consignés avec horodatage avant toute interaction.
3. Extraire méthodiquement. Selon l'appareil et l'autorisation, cela va d'une extraction logique des données accessibles à une acquisition plus complète du système de fichiers ou physique. La méthode retenue doit être consignée et justifiée.
4. Hacher le résultat. Générez une empreinte cryptographique de l'image extraite au moment de l'acquisition, afin que l'intégrité puisse être prouvée ultérieurement.

Validation et recevabilité

L'extraction n'est que la moitié du travail. Les résultats doivent être validés — en corroborant les constats entre artefacts, en confirmant la cohérence des horodatages et en s'assurant que l'outillage a rapporté avec exactitude. Pour qu'une preuve soit recevable, vous devez pouvoir démontrer que ce que vous présentez dans le rapport est identique à ce qui se trouvait sur l'appareil, et qu'elle a été obtenue par un processus solide et reproductible. L'empreinte d'acquisition, revérifiée avant l'analyse, est ce qui rend cette affirmation défendable.

La recevabilité tient rarement à l'ingéniosité de l'analyse. Elle tient à votre capacité à prouver que la preuve est inaltérée et à rendre compte de chaque main qui l'a touchée.

Chaîne de possession et pièges courants

La chaîne de possession est l'enregistrement ininterrompu et documenté de qui a manipulé la preuve, quand et pourquoi — de la saisie au prétoire. Une seule lacune non documentée peut suffire à la partie adverse pour contester l'ensemble de la pièce.

Les pièges que nous voyons le plus souvent sont évitables : examiner l'appareil en fonctionnement au lieu d'une image préservée, ne pas l'isoler avant qu'un effacement à distance ne survienne, se fier à un seul outil sans recoupement, et une documentation de possession bâclée incapable de résister à l'examen. Aucune de ces erreurs n'est sophistiquée — ce sont des défaillances de discipline. En forensique mobile, la discipline est l'expertise.