Expertises Judiciaires Informatiques

Lorsqu’un litige, une fraude ou une intrusion doit être établi devant un tribunal, un assureur ou une direction, la preuve numérique ne se constate pas : elle se collecte, se conserve et se démontre. naXios intervient sur ces missions techniques pour des entreprises, des avocats et des particuliers, avec des ingénieurs assermentés.

Nos missions

• Recherche de preuves à la suite d’une intrusion sur un système informatique
• Analyse de traces réseau et détection d’intrusions
• Analyse d’ordinateurs, de serveurs, de téléphones portables et de supports amovibles
• Récupération de fichiers effacés ou chiffrés
• Copie de disque avec prise d’empreintes MD5 et SHA-256
• Effacement sécurisé de supports selon la méthode DoD
• Conseil en sécurité informatique
• Formations techniques au hacking et aux contre-mesures

Dans quel cadre nous intervenons

Deux situations coexistent, et elles n’appellent pas le même rôle.

• Une expertise ordonnée par un tribunal
  L’expert est désigné par le juge. Nous intervenons alors aux côtés de votre avocat comme expert de partie : nous examinons les mêmes éléments, nous suivons les opérations d’expertise, et nous rédigeons les observations techniques que votre conseil verse au dossier. C’est souvent là que se joue la contradiction utile.
• Une expertise privée
  Vous nous la commandez directement, avant d’engager une procédure ou pendant celle-ci. Le rapport est versé aux débats comme toute autre pièce et soumis à la contradiction. Sa force tient entièrement à sa méthode et à sa traçabilité.

Dans les deux cas, le protocole est le même et les constatations sont établies par des ingénieurs assermentés. Un rapport privé conduit avec rigueur pèse davantage qu’une analyse mal documentée : ce qui compte devant un juge, c’est de pouvoir démontrer comment on est arrivé au constat.

Nous vous dirons dès le premier échange dans lequel de ces deux cadres votre situation se place, et ce que cela implique pour la suite.

Le déroulé d’une expertise judiciaire

Savoir ce que le juge attend à chaque étape permet d’anticiper, plutôt que de subir. Voici le cadre d’une expertise ordonnée en matière pénale, les difficultés qui reviennent le plus souvent, et la façon dont nous les traitons — que nous intervenions comme expert de partie ou que vous nous confiiez une expertise privée.

Deux difficultés font échouer plus de missions que toutes les autres. La mission mal cadrée d’abord : des questions trop larges produisent un rapport qui ne répond à rien d’utile. Nous remettons donc une note méthodologique dès le départ, qui reformule ce qui est demandé et ce qui est réalisable. Les lacunes dans les journaux ensuite : quand la rotation a effacé la période concernée, aucune méthode ne la reconstitue. D’où l’importance d’intervenir tôt, et de faire suspendre cette rotation dès les premiers soupçons.

Le dernier point du tableau est le moins technique et le plus décisif : un rapport que le tribunal ne comprend pas ne sert à rien, quelle que soit la qualité du travail qu’il résume. Schémas, chronologies et glossaire ne sont pas des ornements.

Ce que change le serment

Ces missions sont menées par des ingénieurs assermentés. Un rapport technique, aussi rigoureux soit-il, n’a pas la même portée selon qu’il émane d’un prestataire ou d’un intervenant ayant prêté serment.

• Un engagement personnel
  Celui qui a prêté serment répond de la sincérité de ses constatations. Il ne peut pas affirmer plus que ce qu’il a constaté.
• Une contestation qui porte sur le fond
  La partie adverse discute la méthode et les constats, pas la qualité de l’auteur du rapport.
• Une méthode qui ne se négocie pas
  Copie conforme, empreintes, chaîne de conservation, distinction entre constat et interprétation : le protocole reste le même quel que soit le commanditaire.

Une méthode qui rend la preuve opposable

Une analyse menée directement sur le support d’origine le modifie et fragilise tout ce qui en sera tiré. Nous travaillons donc toujours de la même façon.

• Préservation
  Le support est isolé et manipulé le moins possible. Rien n’est analysé à chaud sur la machine d’origine.
• Copie à l’identique
  Réalisée avec nos propres équipements de copie sans altération, qui interdisent matériellement toute écriture sur le support d’origine. Nous calculons les empreintes MD5 et SHA-256 ; toute analyse porte ensuite sur la copie, jamais sur l’original.
• Chaîne de conservation
  Chaque manipulation est tracée et datée : qui a eu le support, quand, et ce qui en a été fait.
• Mise sous scellé si l’enjeu le justifie
  Les opérations peuvent se dérouler devant un commissaire de justice, anciennement huissier de justice, qui consigne les empreintes à son procès-verbal et place le support sous scellé. La pièce acquiert une date certaine et reste vérifiable des années plus tard.
• Analyse
  Reconstitution des faits à partir des artefacts, des journaux et des fichiers, y compris supprimés.
• Rapport
  Un document lisible par un non-technicien, qui expose la méthode, les constats et leurs limites.

Quand nous solliciter

• Départ d’un collaborateur avec suspicion de détournement de données
• Intrusion ou rançongiciel dont il faut établir l’origine et l’étendue
• Contestation sur le contenu ou la date d’un fichier
• Litige commercial ou prud’homal reposant sur des éléments numériques
• Besoin d’effacer des supports de façon vérifiable avant réforme ou revente

Ce qu’il ne faut pas faire

N’éteignez pas et ne redémarrez pas la machine sans avis, n’installez aucun outil dessus, ne tentez pas de récupérer les fichiers vous-même : chacune de ces actions détruit des traces et peut rendre la preuve inexploitable. Appelez-nous d’abord.

Selon votre situation, voir aussi : l’analyse forensique après une cyberattaque, la preuve numérique dans un litige d’entreprise, la copie conforme et le scellé numérique, ou l’ensemble de nos prestations d’informatique légale. Pour un support défaillant sans enjeu probatoire, voir la récupération de données.