Cette expertise s’annonçait particulière, comme à chaque fois devrais-je dire. Il s’agissait une perquisition, ce que je n’aime guère, mais avec une particularité : le mis en cause habite sur un voilier. Je regarde les quelques informations qui me sont fournies dans l’extrait de dossier que l’on m’a adressé : aïe, la personne est un informaticien. Techniquement, cela signifie que le niveau de difficulté risque d’être plus élevé.

Le jour J, j’arrive à l’heure au rendez-vous pris avec la maréchaussée (sans jeu de mot) dans ce petit port. Tout est calme et silencieux, à part le vent qui fait vibrer toutes les drisses et balancines contre les mâts, à part bien sûr les raillements des goélands et les rires des mouettes. Bref, on ne s’entend plus parler à voix basse…

Nous voici tous serrés dans cette petite cabine de voilier, auprès de laquelle une coquette studette parisienne semble être un luxueux palace. Le chef des gendarmes fait assez justement remarquer que compte tenu de la coopération du mis en cause, il n’est peut-être pas nécessaire de tous rester dans la cabine, et me voici donc à accomplir ma mission sous l’œil attentif de l’habitant des lieux, et celui de l’OPJ qui suit scrupuleusement les opérations.

La mission ? Trouver tous les éléments, sur tous supports, permettant d’être utile à la manifestation de la vérité (voir détails dans le dossier).

Les voileux savent qu’une cabine, toute petite qu’elle soit, contient un grand nombre de rangements, de coins et de recoins. Me voici donc à la recherche de tous les supports, papiers et électroniques, susceptibles de contenir une information intéressant le juge d’instruction. C’est une fouille que je n’aime guère tant elle consiste à entrer dans l’intimité des gens.

J’essaye de ne pas déranger l’ordre des rangements, ni de déballer outrageusement la vie privée du mis en cause. Je fouille les différents tiroirs et caissons, et m’intéresse plus particulièrement à l’ordinateur, au téléphone, au disque dur externe et aux clefs USB.

Je ne trouve aucune donnée concernant l’enquête, ni aucune donnée manifestement illégales.

Je m’approche du système de navigation du voilier et je m’intéresse un peu au GPS marin. Je demande alors au mis en cause : vous avez des cartes marines numériques ? Sa réponse est un peu hésitante et confuse. Je regarde alors le GPS et en extrais une carte SD que j’examine sur mon ordinateur portable d’expertise. RAS, mais je fais une copie bit à bit de la carte SD que j’analyse aussitôt avec l’excellent logiciel PhotoRec. Et là bingo : des données effacées s’avèrent très intéressantes. La carte SD avait servi dans un appareil photo, et comme outil de transfert entre deux ordinateurs.

J’ai ainsi pu vérifier in extremis le principe de l’échange de Locard, qui veut qu’on laisse toujours une trace de son passage.

Note : ce billet respecte les recommandations du procureur de la République au sujet de la confidentialité des dossiers d’expertise.

Allo, bonjour Monsieur l’expert, Maître McKie à l’appareil. Je vous appelle pour une expertise privée.

Bonjour Maître.
Vous savez que je ne suis plus inscrit sur la liste des experts judiciaires ?

Oui, oui, mais vous m’avez été chaudement recommandé par un confrère avec qui vous avez travaillé et qui m’a dit beaucoup de bien de vous…

Mmmm, pouvez-vous m’en dire plus sur cette mission que vous souhaitez me confier ?

Alors, je pense que c’est assez simple pour un homme de l’art, mais c’est un peu du chinois pour moi au niveau technique : mon client est poursuivi pour téléchargement illégal. Ses ordinateurs ont été saisis et les enquêteurs ont trouvé des traces dessus. Mais il conteste le fait que ce soit lui qui les ait téléchargés, ni quiconque de son entourage familial.

Mmmm, pourriez-vous préciser le type de téléchargement illégal ?

Mon client est poursuivi pour téléchargement de films et photographies pédopornographiques.

Vous voulez que je disculpe un pédophile ?

Un homme accusé de pédophilie, Monsieur l’expert, mais présumé innocent.

Pendant des années, je suis intervenu comme expert judiciaire dans des dossiers de recherche de films et d’images pédopornographiques. J’en ai trié des milliers, des dizaines de milliers, des centaines de milliers. Je pleurais la nuit devant mon ordinateur en classant les images et les films par âge des victimes, en les cataloguant par thème, par pose, par acte… Mais j’étais désigné par un magistrat pour une mission précise : cet ordinateur contient-il des films ou des images pédopornographiques ? Si oui, les extraire sur un support de stockage.

Le magistrat m’autorisait à accéder au scellé, et me fournissait les quelques pièces du dossier nécessaires à mes investigations. Je faisais un travail scientifique d’investigation le plus précis possible sachant que la vie d’autres personnes pouvait en dépendre. Mais une fois mon rapport déposé, le scellé reconstitué et rendu, je n’avais plus affaire à la justice, ni accès au dossier, ni même des informations sur les suites données à mon travail.

Dans le cas d’une expertise privée, la situation est très différente : je travaille au côté d’un avocat, j’ai accès à tout le dossier auquel il a accès, et je rencontre et je discute avec son client.

Disculper un pédophile, jamais.

Un homme accusé de pédophilie, mais présumé innocent.

Je me souviens alors de ce que m’a dit un jour mon épouse, Avocate : tout être humain a droit à une juste peine. Pour cela, il doit être défendu devant ses juges par un avocat qui va présenter la part d’humanité qui existe en chacun de nous, même chez le pire criminel.

J’accepte d’examiner le dossier. Les enquêteurs présentent des faits, ici la présence avérée d’images et de films pédopornographiques sur un ordinateur, mais comme souvent, ils omettent d’explorer toutes les pistes pouvant expliquer ces faits. C’est alors à l’avocat, et son expert technique, de se lancer dans cette recherche.

Les faits sont simples : un ordinateur contient des images et des films pédopornographiques, effacés mais dont les traces persistent sur le disque dur et sont reconstituables. Le dossier contient beaucoup d’images…

Je retrouve des images que je connais bien pour y avoir été confronté lors de mes trop nombreuses expertises sur ce sujet. J’y croise le regard triste et le sourire forcé de la petite fille que j’ai appelé Yéléna. J’en parle à Me McKie qui m’avoue ne pas avoir voulu regarder les images jointes au dossier. J’ai l’impression d’avoir perdu une part de mon humanité en m’étant endurci et insensibilisé.

Mais je constate aussi que beaucoup de personnes avaient accès à l’ordinateur, dont beaucoup trop de monde externe à la cellule familiale. Je constate que le mot de passe du compte utilisé au démarrage de l’ordinateur était connu de tous, facile à trouver ou à pirater. Je constate que les données incriminées ont été transférées vers une clé USB qui n’a pas été retrouvée. Enfin, je constate qu’UNE incohérence apparaît dans les listings de bornage du téléphone mobile du présumé innocent, qui prouve que les choses se passaient dans son dos : il est innocent.

Il a été relaxé.

Me McKie m’a raconté qu’une fois dans une affaire de drogue où son client contestait fermement sa participation au trafic, et où il avait plaidé la relaxe, convaincu de son innocence, le client était venu (libre) le remercier à la sortie du tribunal, et lui avait dit “vous savez Maître, je ne recommencerai plus“.

Je ne suis pas fait pour ce métier.

Pas de service informatique à proprement parler dans cette PME, mais un responsable informatique qui pilote un prestataire. La fonction support est donc externalisée, comme c’est malheureusement trop souvent le cas quand un consultant vient se mêler des relations humaines.

Le chef d’entreprise m’accueille un peu surpris : “je croyais que la réunion était prévue à 9h”. Je lui explique que j’arrive toujours en avance pour être sur que les conditions d’accueil de la réunion d’expertise sont optimales. Il opine du chef, étant lui-même fort en avance.

Nous échangeons quelques banalités, puis il me dit : “sale affaire quand même”. Je le rassure en lui disant qu’il n’y a pas de raison pour qu’on n’avance pas sur le sujet, même si je n’en sais rien moi-même…

L’entreprise s’est faite dérober 40 000 euros le mois précédent et personne ne comprend comment cela a pu se produire. Plusieurs personnes sont suspectées, la police est en train d’enquêter. Mais le chef d’entreprise est inquiet et voudrait que les choses avancent BEAUCOUP plus vite, car la police n’a pas vraiment encore commencé son enquête. Son avocat lui a conseillé de faire appel à un expert judiciaire pour une mission privée. Son directeur financier m’a contacté et me voilà sur site pour démêler la pelote. Je ne suis pas sur d’y arriver, mais j’ai proposé d’essayer.

L’heure de la réunion est arrivée. Le comité de direction est au complet, je pourrais dire au garde à vous. Ma discussion informelle avec le chef d’entreprise m’a permis de cerner un peu le profil du personnage : autoritaire, exigeant avec lui-même et avec les autres, ne laissant pas ou peu la place aux doutes ou aux hésitations, intelligent mais avec des idées bien arrêtées.

Je regarde les personnes assises autour de la table. Je remarque une certain tension dans l’air. Personne ne parle, tout le monde attend que le patron prenne la parole. Celui-ci laisse une dizaine de secondes de silence s’écouler, puis introduit rapidement le sujet et me passe la main. Je me présente, puis je demande aux personnes autour de la table de se présenter, tout en prenant le temps de noter leurs prénom, nom et fonction. Cela pose la réunion dans un rite qui ne leur est pas habituel.

Puis le directeur financier m’explique qu’une facture de 40 000 euros a été payée à un fournisseur, mais à la mauvaise banque. Ce qui fait que le fournisseur réclame toujours le paiement de sa facture. Classique. J’évoque une arnaque au président ou une usurpation d’identité. Plusieurs personnes hochent la tête. Je me fais remettre des impressions des échanges, j’écoute les explications et les interrogations. Je vois bien que tout le monde a sorti le parapluie et que le chef d’entreprise cherche le coupable de cette catastrophe. Le directeur financier me vante les mérites de ses procédures à double vérification, le responsable informatique me vante les mérites de la sécurité de son parc informatique, de ses serveurs infonuagiques et de ses parefeux “gérés par le meilleur prestataire qui soit”… Bref, l’entreprise est sure, impossible de se faire piéger. Et pourtant…

A la pause de 10h30, je propose discrètement au chef d’entreprise de me laisser gérer la réunion “qui va prendre un tournant très technique ennuyeux” et lui suggère subliminalement de prendre la décision de quitter la salle pour aller gérer des choses plus importantes, ce qu’il fait d’assez bonne grâce (étant bien clair que c’est lui qui a pris cette décision). A la reprise de la réunion, j’annonce aux personnes présentes que compte tenu de la tournure technique que va prendre la suite des opérations, je souhaite ne pas leur faire perdre leur temps et les recevrait individuellement en tête à tête sur des créneaux d’une heure. Tout le monde a l’air un peu plus à l’aise

Je commence à lancer mes filets à grosses mailles.

Je reste seul avec le responsable informatique. Je lui demande de me fournir les impressions des emails avec leurs entêtes complètes. Je lui demande de convoquer le responsable technique du prestataire informatique immédiatement pour une réunion d’une heure dans l’après-midi. Je veux l’accès à tous les logs des équipements : postes de travail, routeurs réseaux, serveurs, téléphonies, parefeux, etc. Il est plus à l’aise qu’en présence de son chef d’entreprise et voit en moi l’un de ses pairs.

Je vois ensuite le responsable administratif et financiers. Je lui pose des questions sur le fonctionnement de son équipe, sur qui fait quoi. Il se lance dans une explication détaillée des subtilités de son art. Je l’arrête rapidement en lui disant que je suis nul en comptabilité/finance et que je souhaite voir rapidement en tête à tête la personne qui a mené les opérations de changement des informations bancaires. Il est un peu dépité, résiste au fait que je sois seul avec son collaborateur. Mais je suis intraitable.

Le responsable informatique revient avec une pile de feuilles d’impression contenant tous les emails échangés. Il reste avec moi pour m’aider à en prendre connaissance et à écrire sur le grand tableau blanc la ligne de temps des échanges, façon FBI. J’ai vu ça dans les séries et c’est vrai que c’est une bonne idée (sauf que c’est difficile à afficher proprement). Je repère un problème dans les entêtes des emails.

Une personne passe la tête par la porte et m’informe être en charge de la facturation. Je change de table en laissant le tas de papier en vrac, demande à l’informaticien de sortir et reçoit les confidences du comptable. “Vous savez, c’est dur de travailler ici. tout le monde est chef, mais nous sommes peu nombreux à faire, vous comprenez ?”. Je comprends. Je lui explique que je suis moi-même un peu chef, et donc très ignorant de son travail et que s’il pouvait me l’expliquer en termes simples. Il sourit et me détaille son activité. Je lui demande s’il se souvient d’une intervention particulière du service informatique dans le mois qui précède, il réfléchit et me signale une intervention assez longue sur son poste par le service informatique. Intrigué, je demande des détails : “Oh, j’avais des soucis avec Excel, et le service support de Microsoft m’a contacté par téléphone et m’a aidé à les régler.”

Le responsable technique du prestataire informatique arrive en retard sur son créneau horaire, mais avec tous les accès techniques. “Nous avons un puits de logs, vous savez”.

J’ai une idée en tête, je vais pouvoir lancer mes filets à petites mailles.

Deux heures plus tard, je crois avoir la solution. Je convoque à nouveau le comptable, mais en présence de l’informaticien et du responsable technique du prestataire. Je lui demande de nous détailler l’intervention du support informatique Microsoft. Et avant que les deux chefs ne réagissent, je leur demande d’écouter attentivement et de laisser parler le sachant.

“Alors voilà, j’ai reçu un coup de téléphone du support Microsoft pour le problème d’Excel que j’avais signalé, et nous avons passé une heure au téléphone. Ils m’ont fait installer un logiciel sur son poste pour pouvoir intervenir à distance, et ils ont fait plein de trucs pour me dépanner”. Je vois la mine déconfite du responsable informatique, mais avant qu’il n’intervienne, je dis de ma voix la plus douce possible “mais avez-vous imaginé que la personne au téléphone puisse ne pas appartenir au support Microsoft ?”. Et là, j’ai vu le visage du comptable se décomposer : “vous voulez dire que c’est moi qui ait donné accès à un pirate à mon ordinateur ?”

Dans ce dossier, un pirate s’est fait passer pour le service support de Microsoft auprès d’un employé et a pu installer un logiciel de prise de contrôle à distance, sans éveiller de soupçons ni d’alerte, parce que la politique de sécurité informatique de l’entreprise n’interdisait pas l’utilisation de ce type de logiciel et par manque de sensibilisation du personnel (et des chefs) à la sécurité informatique. Le pirate a eu tout loisir d’accéder à l’ordinateur, d’analyser les échanges, les procédures et les habitudes. Quand j’ai regardé les entêtes des emails, j’ai remarqué le changement de domaine au moment où le pirate a expliqué le changement de banque et a adressé une facture parfaitement conforme à celle de l’année précédente (mais avec une nouvelle banque). Les outils de messagerie n’affichant pas l’adresse réelle de l’expéditeur, et de toutes façons celle utilisée par le pirate étant très proche de l’adresse de l’utilisateur légitime, le comptable ne s’est pas méfié (pas plus que les différentes personnes en copie des échanges). La procédure de double vérification consistait en des échanges emails “OK” complètement inefficients. Le terrain était prêt pour la catastrophe. Nous avons vérifié, la dernière utilisation du logiciel de contrôle à distance (toujours installé) remontait à la date de paiement de la facture.

J’ai passé plus de temps à expliquer au chef d’entreprise que le comptable était une victime (qu’il fallait défendre) qu’à lui présenter la méthode utilisée par le pirate.

J’ai eu la satisfaction d’apprendre par la suite que tout le monde s’était fait remonter les bretelles, mais que le comptable était toujours en poste. Sans doute le patron a-t-il eu la lucidité de comprendre qu’il n’avait pas tant de sachants que cela dans l’entreprise.

Une fois que l’expert judiciaire a déposé son rapport au greffe du tribunal, sa mission est achevée et il est dessaisi du dossier. Les avocats peuvent s’écharper sur le rapport, minimiser son impact, ou essayer de décrédibiliser son auteur, l’expert n’en saura en général rien. Ses oreilles siffleront sans doute, surtout si l’expertise a été houleuse, avec une partie agressive ou un conflit loin d’être apaisé (ce n’est pas le rôle de l’expert de trouver une médiation, sauf si c’est explicitement écrit dans les missions confiées par le magistrat qui le désigne).

Je passe au broyeur mes vieux dossiers. Il n’est pas toujours facile pour un expert judiciaire de savoir quand détruire définitivement ses dossiers, car les textes sur le sujet évoluent et à la durée minimale de conservation s’ajoutent les délais générés par les différents appels éventuels des parties, qui sont rarement transmis à l’expert, celui-ci étant dessaisi dès la remise de son rapport.

Un expert judiciaire doit procéder régulièrement à la destruction des documents qu’il a pu conserver, et en particulier des anciens rapports d’expertise et de leurs annexes. C’est ainsi qu’en rangeant d’anciennes archives de mon coffre fort numérique, je suis retombé sur l’histoire d’un petit garçon, que j’appellerai Erwan.

Erwan avait neuf ans. Il aimait jouer sur l’ordinateur familial qui trônait dans le salon. Il passait des heures sur le jeu que lui avait installé son père.

A neuf ans, Erwan est un petit garçon curieux de tout : il aime taper sur le clavier – mais pas trop fort – et cliquer sur les personnages de son jeu. Il a vite compris comment allumer l’ordinateur et l’éteindre correctement – comme lui a dit son papa.

Son père lui a également fait plusieurs recommandations : ne pas parler aux inconnus, ne pas sortir de l’école seul, ne pas abîmer les objets qui coûtent chers, ne pas dire de gros mots. Erwan est fier de savoir allumer l’ordinateur et l’utiliser comme un grand.

Enfin, presque comme un grand. Parce que son père a installé un logiciel de contrôle parental pour bloquer tout usage non autorisé d’internet. Du coup Erwan ne peut qu’utiliser le site de son jeu et quelques autres sites placés en liste blanche. Erwan se sent un peu à l’étroit dans cette petite bulle. Surtout que ces copains lui racontent monts et merveilles sur internet et ses vidéos rigolotes.

Alors Erwan, neuf ans, utilise le navigateur internet autrement. Il navigue, non pas sur internet, mais sur l’ordinateur familial en ouvrant les images qui sont stockées localement dans des dossiers bien rangés par son père.

En tout cas, c’est ce que l’historique du navigateur montrera lors de l’enquête dans laquelle je suis intervenue en recherche d’images et de films pédopornographiques. Les jours et heures de navigation “locale” correspondent à la présence d’Erwan à la maison, seul, sur l’ordinateur familial. Ordinateur familial partagé et utilisé par son père pour télécharger des images et des films pédopornographiques et pornographiques. Beaucoup. Et bien rangés, à l’abri – croyait-il – de son fils, grâce au logiciel de contrôle parental.

Un père assouvissant ses penchants en toute discrétion, protégeant son fils des prédateurs sexuels avec un logiciel dont il pensait – à tort – qu’il empêchait son fils d’accéder aux images qu’il amenait lui-même sur l’ordinateur familial.

J’ai détaillé dans le rapport tout l’historique du navigateur, et extrais des entrailles de l’ordinateur toutes les images et tous les films qui hantent encore mes nuits.

Je pense à Erwan et à l’effroi qui devait le saisir quand il se promenait du haut de ses neuf années, “comme un grand” seul sur l’ordinateur familial.

Je pense à son père criminel et pourtant protecteur.

Je pense à tous ceux qui croient qu’il suffit d’un logiciel “magique” pour protéger leur enfants, alors que la meilleure solution est la présence et l’accompagnement parental qu’on appelle l’éducation.

Je pense à tous ces politiques qui utilisent l’excuse de la protection des enfants pour imposer plus de “contrôles”.

Et je suis là encore aujourd’hui, à feuilleter ce rapport que je m’apprête à détruire, et qui me brûle l’écran.