Votre rapport est-il utilisable devant un tribunal ?

Le rapport décrit la méthode, les empreintes et la chaîne de preuve, afin qu'un autre expert puisse vérifier et refaire le travail. L'admissibilité d'une pièce relève en fin de compte du tribunal. Nous avons l'expérience de l'expertise judiciaire.

Pouvez-vous ouvrir un disque ou un téléphone chiffré ?

Avec le mot de passe, la clé de récupération ou une clé issue du système de gestion, oui. Le chiffrement moderne sans clé, nous ne le cassons pas, et personne d'honnête ne le promet. Il subsiste souvent des informations non chiffrées : journaux, métadonnées ou données antérieures au chiffrement.

Puis-je faire examiner l'ordinateur d'un collaborateur ?

Cela dépend de votre politique, du droit du travail et du RGPD : il faut une base et l'examen doit être proportionné. Nous ne sommes pas juristes ; concertez-vous avec votre avocat ou votre DPO. Nous exécutons l'examen dans le cadre de la mission que vous nous confiez.

Combien de temps dure une analyse forensique ?

L'acquisition d'un support prend généralement une journée, selon sa taille et son état. L'examen dépend de la question. En cas d'urgence, nous travaillons en priorité, week-end compris.

Examinez-vous aussi des appareils qui ne démarrent plus ?

Oui. C'est même notre point de départ : rendre l'appareil lisible au laboratoire (salle blanche, donneurs, radiographie, chip-off), puis seulement réaliser l'analyse forensique, avec la même chaîne de preuve.

Travaillez-vous aussi pour des particuliers ?

Oui, par exemple lors d'un litige ou d'un dossier d'assurance. Pour des affaires entre partenaires ou au sein d'une famille, nous demandons au préalable quelle est la base juridique et renvoyons vers votre avocat.

Analyse forensique : chaîne de preuve, rapport et discrétion • Datarecuperatie

Quand cela vous sert

Une récupération ordinaire ramène des données. Une analyse forensique le fait d'une manière qui tiendra ensuite : devant un tribunal, face à un assureur, dans un dossier disciplinaire ou lors d'un audit interne.

un collaborateur part et des fichiers ou des données clients disparaissent
soupçon de fraude, de corruption ou de fuite de secrets d'affaires
une intrusion ou une attaque par rançongiciel : que s'est-il passé exactement, et quand
un dossier d'assurance où la cause et l'ampleur du dommage doivent être prouvées
une expertise judiciaire ou une enquête de la police ou de la justice
un appareil qui ne démarre plus alors que son contenu est nécessaire comme preuve

La chaîne de preuve

Une constatation ne vaut que par le chemin qui y mène. La méthode est donc fixée à l'avance et chaque manipulation est documentée.

Blocage en écriture Chaque acquisition passe par un bloqueur d'écriture. L'original est uniquement lu, jamais modifié.
Empreintes (hash) Avant et après l'acquisition, nous calculons des empreintes (MD5 et SHA-256). Elles figurent au rapport et prouvent que la copie est identique et n'a pas changé ensuite.
Examen sur la copie Tout le travail se fait sur une copie forensique. L'appareil d'origine reste intact.
Chaîne de preuve Pour chaque manipulation, nous notons qui, quand et quoi. Entre les étapes, le support reste scellé.
Rapport Vous recevez un rapport avec les constatations, la méthode utilisée, les empreintes et la chaîne de preuve.

Technique : ce qu'est une copie forensique

Une copie forensique est une copie secteur par secteur du support complet, y compris l'espace que le système de fichiers considère comme vide. Il y subsiste des restes de fichiers supprimés. Nous utilisons les formats courants (raw/dd et E01), afin qu'un autre expert puisse vérifier la copie avec ses propres outils. Sur un support endommagé, la copie se fait en plusieurs passes et nous notons, secteur par secteur, ce qui a pu être lu.

Ce que nous examinons

Fichiers supprimés

Récupérer ce qui semblait effacé, formaté ou écrasé, en précisant ce qui a pu être restauré intégralement ou non.

Chronologie

Quand un fichier a été créé, ouvert, modifié ou copié, et dans quel ordre.

Appareils connectés

Traces de clés USB et disques externes : quel appareil, quand, et ce qui a été copié.

Traces d'utilisation

Connexions, recherches, fichiers récemment ouverts, impressions et journaux du système.

Courriel et documents

Boîtes aux lettres, pièces jointes et documents, y compris depuis des fichiers endommagés ou d'anciens formats.

Appareils mobiles

Smartphones et tablettes, même après une chute ou un dégât des eaux, jusqu'au niveau de la puce.

Ce que nous ne faisons pas : nous prononcer sur une faute ou une intention. Nous établissons ce qui se trouve sur le support et ce qui en ressort. L'appréciation juridique revient au donneur d'ordre, à l'avocat ou au tribunal.

Supports endommagés et chiffrés

Les preuves se trouvent souvent sur un appareil hors service : un portable tombé à l'eau, un disque qui ne démarre plus, un téléphone à la carte cassée. C'est précisément le travail de notre laboratoire. Radiographie, rework et reballing, près de 20 000 disques donneurs et une salle blanche Class 1 nous permettent de rendre le support lisible d'abord, et de l'examiner ensuite.

Sur le chiffrement, nous sommes honnêtes : le chiffrement moderne (BitLocker, FileVault, un iPhone récent) ne se casse pas chez nous. Avec le mot de passe, la clé de récupération ou une clé issue d'un système de gestion, nous accédons aux données. Sans clé, il reste souvent des informations non chiffrées : journaux, métadonnées, données antérieures au chiffrement ou copies sur d'autres supports.

En savoir plus sur notre laboratoire →

Discrétion et sécurité

les dossiers de cette catégorie sont traités par un groupe restreint de collaborateurs
le travail se fait dans un espace séparé, avec son propre stockage
rien n'est enregistré dans le système de dossiers habituel
accord de confidentialité sur demande, ou selon votre propre modèle
nous travaillons selon la norme ISO 27001 ; la certification est en cours
sur demande, nous intervenons sur place avec une salle blanche mobile, afin que le support ne quitte pas votre bâtiment

Nous avons l'expérience de l'expertise judiciaire et travaillons notamment pour des services de police et des cabinets d'avocats.

Ce qu'il faut faire, et surtout ne pas faire

Ce qu'il faut faire

éteindre l'appareil et le mettre de côté
noter qui a eu l'appareil en main, et quand
nous appeler avant d'essayer quoi que ce soit : nous disons immédiatement si une manipulation peut nuire à la preuve
nous remettre l'appareil scellé, ou nous faire venir sur place

Ce qu'il ne faut surtout pas faire

continuer à utiliser l'appareil ou le redémarrer
lancer soi-même un logiciel de récupération sur l'original
copier des fichiers avec l'explorateur : cela modifie les horodatages
faire examiner l'appareil par le service informatique interne avant qu'une copie existe

Chaque démarrage d'un ordinateur modifie des centaines de fichiers. Moins il se passe de choses sur l'original, plus la preuve est solide.

Déroulement et prix

Prise en charge Vous appelez ou écrivez. Nous passons en revue ce qui s'est passé, la question à laquelle vous voulez une réponse et les supports concernés.
Acquisition Vous apportez le support, nous venons le chercher, ou nous intervenons sur place. La copie forensique est réalisée et hachée.
Examen L'examen se fait sur la copie, en fonction de votre question.
Rapport Vous recevez le rapport, avec les constatations, la méthode et la chaîne de preuve. Nous l'expliquons si nécessaire.

Une analyse forensique fait l'objet d'un prix sur mesure : l'ampleur dépend du nombre de supports et de la question posée. Après la prise en charge, vous savez ce que cela coûte. Si le support doit d'abord être réparé, les tarifs habituels s'appliquent.

Voir les tarifs →

Analyse forensique