Etre réquisitionné pour assister la police lors d’une perquisition n’est pas une chose agréable. Outre le fait de débarquer chez quelqu’un sans y avoir été invité, devoir fouiller dans les placards, même en présence du propriétaire des lieux, est quelque chose qui m’insupporte.

Bon, heureusement, parfois le propriétaire prend la chose très correctement, voire même avec humour. C’est ce qui m’est arrivé cette semaine lorsque j’ai du assister le commissaire de la ville voisine dans une affaire de vol de codes sources.

Une entreprise en difficulté financière ne paye plus son informaticien. Celui-ci, au bout de deux mois sans salaire attaque son employeur aux prudhommes. L’employeur, mécontent, attaque son salarié au pénal pour vol de codes sources. Là où l’affaire est intéressante, c’est que l’employeur ne disposant pas de locaux, avait demandé à son salarié de travailler chez lui, sur son matériel informatique personnel.

L’informaticien, honnête et prudent, ayant rendu à son employeur tous les développements réalisés, nous a laissé perquisitionner chez lui. Après avoir vérifié qu’il n’y avait aucune trace de codes sources ni d’exécutable indument conservé, nous avons dressé procès verbal de la perquisition.

Ce procès verbal lave le salarié de tout soupçon et lui permettra d’ajouter un élément dans son dossier prudhommal.

Qui a dit que les perquisitions étaient toujours à charge?

Je reçois ce jour une réquisition aux fins d’expertise avec pour missions (je mets mes commentaires entre crochets):

1) Examiner les scellés n°X et Y constitués dans la procédure n°Z [un disque dur externe et un ordinateur avec Dieu sait combien de disques durs à l’intérieur]

2) Y rechercher tout enregistrement et fichier relatif à la réalisation de faux documents,

3) Y rechercher de manière générale toutes informations relatives à des tiers afin d’en permettre l’exploitation notamment à l’effet de vérifier si le nom de ces tiers n’a pas été utilisé par Mr YYY [je mets YYY plutôt que XXX pour éviter d’attirer trop de monde sur ce blog]

4) Apporter tout élément utile à la manifestation de la vérité.

Autant vous dire que je n’ai aucune idée de ce qu’il faut chercher sur les disques durs.

Et bien, c’est cela qui me plait bien !

Dans une affaire de pédophilie (encore une!), j’avais parmi les missions à « fournir [au magistrat instructeur] la liste de toutes les adresses emails présentes sur le disque dur objet du scellé n°N. »

« La mission, rien que la mission, toute la mission. » Me répétait mon vieux professeur d’expertise…

Muni de mes outils opensource d’investigations, j’obtiens au bout de quelques heures de recherches, un ensemble d’emails que je commence à analyser: untel écrit à truc, truc répond avec copie à trucmuche, etc. Sur ma feuille de papier se dessine un réseau de correspondances… Euh, en fait, DEUX réseaux apparaissent! D’un côté, un ensemble de personnes qui s’écrivent, avec certains courriers à thème pédophile, de l’autre un ensemble d’emails qui relatent plutôt des faits médicaux.

Des médecins impliqués dans un réseau pédophile !!!

Oui, mais alors pourquoi DEUX ensembles disjoints de correspondances ?

J’ai donc poussée un peu plus loin en regardant les dates des fichiers présents et effacés du disque dur. Après analyse (aidé par la gendarmerie), il s’est avéré que l’ordinateur avait commencé sa carrière au sein d’un hôpital, avant d’être vendu d’occasion pour finir dans les mains d’un pédophile. Les données effacées AVANT la vente étaient bien entendu toujours présentes sur le disque dur.

J’avais failli inscrire dans mon rapport des personnes complètement étrangères à cette affaire !

Oui mais: « La mission, rien que la mission, toute la mission. »

Or, celle-ci indiquait clairement qu’il fallait que je fournisse la liste de TOUTES les adresses emails apparaissant sur le disque dur!

J’ai alors contacté le magistrat instructeur pour avis.

Celui-ci m’a laissé le choix entre « La mission, rien que la mission, toute la mission » ou « mouillez vous un peu et faites un pré-tri ».

J’ai donc un peu mouillé ma chemise et n’ai fait mention que des emails du premier ensemble. Outreau n’est jamais très loin…

Mais quand j’y repense, j’ai toujours un peu froid dans le dos. Des restes de transpiration sans doute.

Je narrais naguère ici-même une anecdote où le « soupçonné coupable » avait omis de vider la corbeille informatique de son bureau Windows, par méconnaissance de son mécanisme.

J’alimente aujourd’hui la rubrique « Anecdotes expertises » avec une affaire où mon travail a été grandement simplifié par un coup du sort.

Il s’agit d’une affaire de pédophilie supposée. Le suspect est en possession d’un ordinateur et ma mission (et je l’ai acceptée) est de faire « parler » cet ordinateur.

Me voici en train d’étudier une copie du disque dur.

Or, l’une des premières choses que je fais lors d’une analyse de disque dur, est de me promener au gré de mes envies (j’allais dire mon instinct comme à la télé) dans les différents répertoires, avant de lancer les chiens scripts d’analyse.

« Tiens, un répertoire nommé << vrac piratés >> »

« Tiens, un autre qui s’appelle << superteensk13 >>… »

Bref, je flâne.

C’est alors que je tombe sur un répertoire intitulé « print screens » contenant environ 5000 photos. Je regarde quelques unes de ces photos, ainsi que les dates de création des images: il s’agit de photos d’écran.

Le suspect avait installé un logiciel de copie d’écran automatique: une photo de l’écran était prise toutes les 10 minutes et copiée dans ce répertoire! Le sort avait voulu que le suspect ne le désinstalle pas, ne sachant probablement pas ce qu’il avait installé!

J’ai ainsi pu avoir sans me fatiguer et de façon assez détaillée l’utilisation de cet ordinateur (parties de solitaire incluses, sans jeu de mots), les contenus des cédéroms qui ont été gravés, les impressions, les webmails, etc.

Et effectivement, cela valait le détour!

.