Résumé exécutif
“Extraction mobile” n’est pas une seule opération. En 2026, la vraie décision n’est pas l’outil, mais le type d’acquisition réaliste selon l’état du terminal (verrouillé/déverrouillé, redémarré/non redémarré), l’OS, la politique de chiffrement et les contraintes légales. [1] [3] [4] [5]
Une extraction logique peut suffire pour certains litiges ciblés, alors qu’un mandat “avancé” est nécessaire quand l’enjeu repose sur des artefacts supprimés, des apps chiffrées ou des incohérences temporelles fines. Le bon cadre: comparer coût, délai, risque de perte probatoire et utilité attendue. [1] [2] [6] [9] [10]
Logique vs avancée: différence réelle
| Type | Ce qu’on obtient typiquement | Limites |
|---|---|---|
| Logique | Données applicatives accessibles, métadonnées usuelles, exports standard | Peu d’accès aux zones protégées/supprimées |
| Système de fichiers | Couverture plus large des artefacts locaux | Dépend des privilèges et de l’état sécurité |
| Avancée/physique | Potentiel maximal selon appareil/OS | Pas toujours possible, plus coûteux, plus encadré |
Important: “avancée” ne veut pas dire “complète”. Les protections matérielles et cryptographiques peuvent limiter durablement l’accès, même pour des équipes spécialisées. [3] [4] [5]
Quand une extraction logique est souvent suffisante
- Dossier où la question principale porte sur l’existence d’échanges, pas sur la récupération profonde de données effacées.
- Contexte où des sources externes corroborent déjà fortement (M365, logs SaaS, cloud).
- Besoin de triage rapide pour décider d’une escalade.
Dans ces cas, la vitesse et la traçabilité méthodologique valent parfois plus qu’une quête d’exhaustivité techniquement incertaine. [1] [2]
Quand il faut demander une extraction avancée
- Suspicion d’effacement ciblé ou d’anti-forensics.
- Litige à enjeu élevé nécessitant granularité temporelle fine.
- Dépendance forte à des apps chiffrées/éphémères.
- Divergences importantes entre déclarations et traces disponibles.
La demande doit être ciblée: quels artefacts, quelle période, quelles hypothèses, quel niveau de confiance attendu. Sinon, on paie plus sans gain probatoire proportionnel. [7] [8] [9] [10]
Les 10 questions à poser à l’expert avant mandat
- Quel type d’acquisition est réellement possible sur ce modèle/OS?
- Quels artefacts sont hors de portée même en méthode avancée?
- Quel est le plan de préservation avant manipulation?
- Comment la chaîne de possession sera-t-elle documentée?
- Quels outils et versions seront utilisés?
- Quels contrôles d’intégrité (hash, journaux) sont prévus?
- Quel délai pour un rapport préliminaire exploitable?
- Comment seront gérées les données chiffrées/apps E2E?
- Quelle stratégie de corrélation externe (cloud, logs, backups)?
- Quelles limites seront explicitement déclarées au rapport?
Pièges fréquents côté client/cabinet
- Redémarrer l’appareil “pour tester” avant collecte.
- Changer mot de passe/biométrie sans stratégie de conservation.
- Supposer qu’un screenshot remplace une acquisition structurée.
- Retarder la décision expert jusqu’à perte d’artefacts volatils.
Ces erreurs coûtent souvent plus que le mandat lui-même, car elles dégradent irrémédiablement la qualité de la preuve disponible. [1] [2] [6]
Décision coût vs impact: modèle simple
Impact faible + preuves externes fortes → logique/triage. Impact moyen + ambiguïtés majeures → logique + expertise ciblée. Impact élevé + risque d’effacement → avancée rapide avec protocole strict. L’objectif est proportionnalité, pas maximalisme technique. [1] [2]
Règle d’or: demander une extraction avancée quand la question juridique dépend d’artefacts que l’extraction logique ne peut raisonnablement pas atteindre.
Incertitudes et limites
Les capacités d’extraction évoluent vite selon modèles d’appareils, patchs OS et outillage. Toute promesse de “récupération complète” doit être traitée avec prudence et reformulée en probabilités/conditions. [3] [4] [5] [9] [10]
Références
- NIST SP 800-101r1 — Mobile Device Forensics — https://csrc.nist.gov/pubs/sp/800/101/r1/final
- NIST SP 800-86 — https://csrc.nist.gov/pubs/sp/800/86/final
- Apple Platform Security — Data Protection — https://support.apple.com/guide/security/data-protection-sece8608431d/web
- Apple Platform Security — Secure Enclave — https://support.apple.com/en-ca/guide/security/sec59b0b31ff/web
- Android Developers — Direct Boot — https://developer.android.google.cn/privacy-and-security/direct-boot?hl=en
- CISA — Mobile Communications Best Practices — https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance
- Signal documentation — https://signal.org/docs/
- Telegram MTProto — https://core.telegram.org/mtproto
- WhatsApp forensic comparative study — https://link.springer.com/article/10.1007/s42452-019-1312-8
- Ephemeral messaging forensic analysis — https://www.sciencedirect.com/science/article/pii/S266628172300094X
