Examen Médico-Légal de Téléphone Mobile

Si vous soupçonnez une compromission, un examen médico-légal de téléphone mobile peut identifier ce qui s'est passé, quelles données ont été accédées, et si un malware ou un accès non autorisé est présent. De nombreuses personnes recherchent "examen de piratage de téléphone mobile" lorsqu'elles ont besoin de réponses après un incident de sécurité. Ce guide explique le processus en langage clair.

Pour les étapes de prévention, voir notre guide de prévention du piratage iPhone.

Qu'est-ce qu'un Examen Médico-Légal de Téléphone Mobile ?

Un examen médico-légal mobile est un processus structuré et juridiquement défendable pour collecter, préserver et analyser des preuves à partir d'un smartphone. Il va au-delà d'un simple scan de sécurité et se concentre sur l'intégrité des preuves, la traçabilité et un rapport clair.

Quand Vous Avez Besoin d'un Examen Médico-Légal

Les cas d'utilisation courants incluent :

Prise de contrôle de compte suspectée, logiciel espion ou stalkerware
Enquêtes d'entreprise impliquant des appareils de l'entreprise
Conflits juridiques ou de conformité nécessitant une documentation
Utilisateurs sensibles (cadres, journalistes, personnalités publiques) confrontés à des menaces ciblées

Quelles Preuves Peuvent Être Récupérées ?

Un examen médico-légal qualifié peut récupérer :

Journaux d'appels, SMS et métadonnées d'applications de messagerie
Activité des applications et traces d'authentification
Historique de localisation et connexions réseau
Historique du navigateur, téléchargements et accès aux fichiers
Modifications de configuration de l'appareil et journaux système
Artefacts supprimés (lorsque récupérables et légalement permis)

Le Processus Médico-Légal (Étape par Étape)

Admission et portée : Définir les objectifs, le type d'appareil et l'autorisation légale.
Préservation : Maintenir la chaîne de possession et isoler l'appareil.
Acquisition : Capturer les données en utilisant des méthodes forensiques approuvées.
Analyse : Corréler les événements, identifier les indicateurs et confirmer les chronologies.
Rapport : Livrer un rapport appuyé par des preuves avec conclusions et recommandations.

Types d'Extraction : Logique vs Système de Fichiers vs Physique

Extraction logique : Tire les données accessibles via les API standard. Plus rapide, mais limité.
Extraction du système de fichiers : Accès plus profond aux données d'application et journaux système.
Extraction physique : Image bit-à-bit lorsque supporté, meilleur pour les artefacts supprimés.

La méthode dépend du modèle de l'appareil, de la version de l'OS et de la portée légale.

Combien de Temps Cela Prend-il ?

La plupart des examens médico-légaux mobiles prennent 3-10 jours ouvrables, selon la complexité de l'appareil, la portée et l'urgence. Les cas à haut risque peuvent nécessiter un triage plus rapide.

Ce Que Vous Devriez (et Ne Devriez Pas) Faire Avant un Examen

Ne réinitialisez pas aux paramètres d'usine et ne désinstallez pas d'applications.
Arrêtez d'utiliser l'appareil si vous soupçonnez une compromission active.
Documentez le comportement inhabituel (captures d'écran, horodatages).
Si possible, déplacez les communications sensibles vers un appareil propre séparé.

Considérations Légales et de Consentement

Vous devez avoir une autorisation légale pour examiner un appareil. Cela signifie généralement :

Vous possédez l'appareil, ou
Vous avez le consentement écrit du propriétaire légal, ou
L'appareil appartient à l'entreprise avec consentement politique

L'accès non autorisé peut créer une exposition légale et invalider les preuves.

FAQ

Un examen médico-légal peut-il détecter un logiciel espion ? Souvent oui. Les enquêteurs recherchent des indicateurs comme des profils inconnus, des processus suspects et un comportement réseau anormal.

Un examen médico-légal trouvera-t-il des messages supprimés ? Parfois. La récupération dépend du modèle de l'appareil, de la version de l'OS et de l'utilisation de l'appareil après la suppression.

Est-ce la même chose que la réponse aux incidents ? La criminalistique (forensics) se concentre sur les preuves et les rapports. La réponse aux incidents se concentre sur le confinement et la récupération. Pour les cas urgents, commencez par la réponse aux incidents.

Catégories de Preuves : Ce Que Chacune Révèle

Toutes les données n'ont pas la même valeur probante. Les distinguer vous aide à définir la portée de l'examen et à comprendre ce que l'analyste peut raisonnablement vous livrer.

Journaux d'appels et SMS. Chaque appel consigne le numéro, la direction (entrant ou sortant), la durée et l'horodatage. Les SMS stockés localement peuvent être extraits, parfois même après suppression. En revanche, le contenu des conversations des messageries modernes reste côté serveur : un examen local n'en voit que les traces.

Données spécifiques aux applications. Chaque application maintient ses propres bases : caches, préférences, identifiants de session, contacts synchronisés. C'est là qu'apparaissent les indices les plus fins — un profil d'appareil inconnu, une session de connexion non sollicitée, des permissions anormales. L'extraction logique ne voit qu'une fraction de ces données, car elle passe par les API standard du système. L'extraction du système de fichiers accède aux bases SQLite internes, aux fichiers WAL et aux zones de configuration qu'elle ignore ; c'est aussi elle qui révèle des lignes supprimées encore présentes dans l'espace libre. Voilà ce que l'extraction logique laisse échapper et que l'extraction du système de fichiers peut encore trouver.

Artefacts supprimés. Une suppression ne détruit pas tout de suite les données : elle marque l'espace comme réutilisable. Tant qu'il n'a pas été réécrit, la récupération reste possible, surtout via extraction physique. Mais chaque utilisation de l'appareil après la suppression réduit ces chances. D'où la règle : cessez d'utiliser le téléphone dès qu'un examen est envisagé.

La Chaîne de Possession en Pratique

Un rapport ne vaut que si vous pouvez démontrer qui a touché l'appareil, quand et pourquoi. En pratique :

À l'admission, l'appareil est enregistré : modèle, IMEI ou numéro de série, état constaté, heure d'arrivée, identité du déposant — signé par les deux parties.
Chaque personne qui manipule ensuite l'appareil est consignée, avec horodatage et objet de l'intervention.
L'appareil est isolé du réseau (mode avion, ou sac blindé si la situation l'exige) pour empêcher toute modification à distance, y compris un effacement déclenché par un attaquant.
Toute extraction est hachée (SHA-256) : l'empreinte figure dans le rapport et prouve que l'analyse a porté sur une copie intacte, jamais sur l'original.
L'analyse se fait sur des dupliqués ; l'original est scellé.

C'est cette documentation qui permet à un tiers — avocat, assureur, service RH, tribunal — de vérifier que les conclusions reposent sur des preuves intactes. Un rapport sans chaîne de possession peut être contesté, et à raison.

Ce Qui Rend un Examen Juridiquement Solide

Trois éléments, documentés avant toute manipulation :

La preuve de la propriété de l'appareil : facture d'achat, attestation d'employeur, ou correspondance entre l'IMEI et votre contrat.
Un consentement écrit du propriétaire légal : daté, signé, avec identification des parties. Une autorisation verbale ne suffit pas si le rapport doit servir plus tard.
Une portée de recherche explicite : quelles catégories de données, quelle période, quel objectif. Une portée floue fragilise l'examen entier, même techniquement irréprochable.

Pour un appareil d'entreprise, c'est la politique écrite et l'attribution formelle de l'appareil qui fondent l'autorité de l'employeur. Le recrutement d'un prestataire et les mandats de test relèvent d'un autre cadre, traité dans nos pages sur la légalité de l'embauche ; ici, ce qui compte est la chaîne documentée du consentement, pas l'étendue d'une autorisation de tester. Un examen réalisé sans ces éléments peut invalider les preuves et vous exposer vous-même.

Deux Scénarios de Terrain

Prise de contrôle d'un compte, sur votre propre téléphone.

Vous constatez des connexions inconnues, une réinitialisation de mot de passe que vous n'avez pas demandée, ou des déconnexions soudaines de vos comptes.
Vous documentez chaque anomalie avec son horodatage (captures d'écran), vous cessez d'utiliser le téléphone pour toute communication sensible.
Vous signez un consentement écrit et décrivez ce que vous soupçonnez : l'analyste saura où regarder — sessions actives, profils de gestion inconnus, applications installées hors boutique, tentatives d'accès.
L'examen corrèle chaque connexion avec l'heure et la localisation de l'appareil : si l'intrus opérait depuis un autre fuseau horaire ou un autre appareil pendant que le vôtre était hors ligne, cela ressort.
Le rapport appuie ensuite vos démarches : signalement aux plateformes, dépôt de plainte, rotation complète de vos identifiants depuis un appareil propre.

Un appareil professionnel sous politique écrite. La politique d'utilisation et la fiche d'attribution du téléphone constituent l'autorisation. L'examen se limite aux données professionnelles prévues par la politique, préserve la configuration du système (profils VPN, gestion MDM, tentatives de jailbreak ou de root) et sert à la fois à la réponse d'incident et au processus RH interne, avec la documentation nécessaire dans les deux cas.

Limites de la Récupération et Facteurs de Coût

Un examen honnête commence par ce qu'il ne peut pas faire :

Contenu chiffré de bout en bout. Les messages d'applications comme Signal ou WhatsApp ne sont lisibles que s'ils existent en clair en local ou dans une sauvegarde déchiffrable. Sinon, seules les métadonnées (contacts, fréquences, horodatages) restent accessibles.
Sauvegardes cloud. Les sauvegardes iCloud ou Google peuvent véhiculer des données hors de l'appareil, mais y accéder exige les identifiants du propriétaire et sa double authentification. Si les sauvegardes sont désactivées, cette passerelle n'existe pas.
Données effacées avant l'admission. Une réinitialisation d'usine effectuée avant la remise de l'appareil réduit la récupération à de rares fragments.
Données uniquement côté serveur. Certains historiques n'existent que chez l'éditeur de l'application ; aucun examen local ne peut les obtenir.

Ce qui fait bouger le délai et le coût. Un appareil déverrouillé, avec un OS standard et une portée simple, se traite dans le bas de la fourchette annoncée. Le temps grimpe avec un verrouillage d'écran inconnu, un écran fissuré, un modèle rare, plusieurs appareils à corréler ou des exigences de documentation juridique renforcées. L'urgence déclenche en général un triage prioritaire plutôt qu'une compression du travail d'analyse. Et aucune promesse de résultat ne peut être faite avant l'acquisition : c'est précisément l'examen qui établit ce qui est récupérable.

Résumé

Un examen médico-légal de téléphone mobile fournit une vue claire et appuyée par des preuves de ce qui s'est passé sur un appareil. Si vous avez besoin d'une réponse défendable après une compromission suspectée, la criminalistique mobile professionnelle est la voie la plus sûre.

Aperçu

Décisions clés, risques et actions de mise en oeuvre pour ce sujet.

Examen Médico-Légal de Téléphone Mobile : Processus, Preuves et Quand Vous en Avez Besoin (2025)