Rafael Pfister

Consulting

Forensique e-mail pour les autorités de poursuite pénale

Dans les procédures pour escroquerie, extorsion, usurpation d’identité ou fuite de données, un e-mail constitue souvent le moyen de preuve central. Son authenticité, le lieu de sa soumission et le chemin qu’il a suivi peuvent être établis à partir des en-têtes, des signatures et des journaux des serveurs. J’assiste les ministères publics, la police et d’autres autorités par des analyses techniques et des rapports écrits compréhensibles également pour des non-spécialistes.

Le conseil est assuré en allemand ou en anglais.

  • Forensique e-mail
  • Analyse des en-têtes
  • Vérification DKIM
  • Exchange et Microsoft 365
  • Procédure pénale
  • Expertises

Prestations

  • Analyse de l’origineÉvaluer la Received chain, les adresses IP émettrices, les serveurs de messagerie et les horodatages ; distinguer clairement les champs d’en-tête fiables de ceux qui peuvent être falsifiés.
  • Vérification de l’authenticitéVérifier a posteriori les signatures DKIM, interpréter les résultats SPF et DMARC, détecter les manipulations du contenu ou des en-têtes.
  • Analyse des journaux et des plateformesSuivi des messages Exchange, Message Trace et journaux d’audit de Microsoft 365, journaux des passerelles : reconstituer la distribution, les transferts et les accès.
  • Comptes compromisÉtablir si et depuis quand une boîte aux lettres a été prise en main et quels messages l’attaquant a envoyés, lus ou supprimés.
  • Rapport et explicationsRapport écrit avec la méthode, les constats et les limites des conclusions ; explications auprès des enquêteurs et du tribunal.

Méthode et valeur probante

Les analyses portent sur des copies des données sauvegardées, jamais sur les originaux ; des valeurs de hachage attestent que les copies n’ont pas été modifiées. L’analyse des en-têtes s’appuie sur des outils fonctionnant en local, de sorte que les éléments de preuve ne quittent pas l’environnement contrôlé. Chaque étape est documentée de manière à ce qu’un autre spécialiste puisse la reproduire. Le rapport distingue constats, interprétation et questions ouvertes ; ce que les données ne permettent pas d’établir est désigné comme tel. Des mandats d’expert au sens des art. 182 ss CPP sont possibles, tout comme le soutien technique à des enquêtes en cours.

Déroulement d’une mission

  1. Mandat et questionsL’autorité formule les questions ; l’étendue, les délais et la forme de la remise des données sont fixés.
  2. Reprise des donnéesCopies avec valeurs de hachage, remise documentée et conservation sécurisée.
  3. AnalyseÉvaluer en-têtes, signatures et journaux, étayer les constats par les données brutes.
  4. RapportRéponses aux questions posées, méthode et limites des conclusions, explications orales si nécessaire.

Exemples tirés de la pratique