Chapitre 89 : La boussole cachée – Métadonnées, adresses URL et traces numériques derrière les chiffres

Dans l'ancien monde, la scène de crime était physique. Une empreinte digitale sur une vitre, un cheveu tombé sur le tapis, ou peut-être l'odeur d'un parfum bon marché laissée dans la pièce. Au cours de mes années de pratique professionnelle, les preuves étaient le plus souvent tangibles, celles que l'on peut placer dans un sac en plastique transparent et marquer comme "pièce A". Mais à l'ère où l'escroquerie s'opère derrière des écrans, lorsque l'escroc peut se trouver dans un pays lointain, que le serveur est situé dans un autre pays et que l'argent est transféré vers un portefeuille numérique à l'autre bout du monde, la scène de crime a subi une transformation. Elle n'est plus faite de matière, mais de données.

Dans de nombreux cas, les victimes se sentent désemparées. Elles peuvent penser que si les messages ont été supprimés ou si le site a été fermé, il ne reste rien d'autre qu'une capture d'écran floue. C'est une hypothèse erronée. Le numérique, par sa nature même, laisse des traces même lorsque l'on tente de les dissimuler. Ces traces sont appelées métadonnées – "les données derrière les données". C'est la boussole cachée qui peut aider à passer de l'anonymat à la construction d'une base de preuves.

Dans ce chapitre, nous examinerons les méandres de l'architecture numérique. Nous apprendrons comment une adresse URL peut révéler des modèles de fraude, et comment un numéro de téléphone peut devenir un élément significatif dans l'analyse d'un dossier. Il s'agit d'un outil important dans la boîte à outils professionnelle, car dans le cadre d'un examen juridique, les preuves numériques peuvent avoir un poids décisif.

Le scénario suivant est un exemple pédagogique basé sur des modes opératoires de fraude courants. Les personnages et les événements sont fournis à des fins d'illustration uniquement.

Galit (nom fictif) est une responsable financière, une femme rationnelle habituée à travailler avec des données. Un jour, un SMS semblant provenir de sa banque la tire de sa tranquillité : "Votre compte bancaire a été temporairement restreint en raison d'une activité suspecte. Pour confirmer vos coordonnées, connectez-vous : bit.ly/secure-bank-il".

Dans ce scénario, Galit a cliqué sur le lien et est arrivée sur un site qui semblait identique à celui de sa banque habituelle. Elle a saisi ses identifiants et son code de vérification, pour découvrir peu après qu'un retrait important avait été effectué sur son compte. Dans une telle situation, la victime peut avoir l'impression de ne plus avoir de preuves si le site a été mis hors ligne, mais le lien original demeure un point de départ pour l'examen.

Dans ce cas d'étude, le lien n'est pas la fin du chemin, mais la feuille de route pour examiner l'incident.

La couche invisible : que sont les métadonnées et pourquoi peuvent-elles constituer une preuve significative ?

Lorsque l'on prend une photo avec un téléphone portable, au-delà de l'image visuelle, un fichier texte appelé EXIF est enregistré. Il inclut des informations sur le modèle de l'appareil, les coordonnées géographiques (GPS) et l'heure précise de la prise de vue. Ce sont les métadonnées.

Dans le monde de la fraude numérique, les métadonnées donnent un contexte à la preuve. Supposons qu'un "avis de virement bancaire" soit présenté au format PDF et semble légitime. L'examen des métadonnées du fichier pourrait révéler qu'il a été créé avec un logiciel de retouche graphique plutôt que par un système bancaire officiel, ou que la date de création du fichier ne correspond pas à la chronologie alléguée. Dans le scénario de Galit, les métadonnées du SMS peuvent contenir des informations sur la passerelle (Gateway) par laquelle le message a été envoyé, ce qui permet de commencer à retracer le chemin de l'escroquerie.

Sur le plan juridique, l'importance des métadonnées est liée à l'examen de l'authenticité de la preuve. Alors qu'une capture d'écran peut être modifiée, des métadonnées originales sont plus difficiles à falsifier de manière cohérente. La présentation d'un fichier avec ses métadonnées originales permet d'évaluer la fiabilité de la preuve. Dans le contexte de la loi sur les services de paiement et de la jurisprudence relative aux cartes de paiement, la question de l'authenticité est centrale. S'il est possible de démontrer que le document présenté a été créé dans des circonstances suspectes, des questions peuvent être soulevées concernant les systèmes de protection et d'identification de l'établissement financier.

Il est important de noter : le transfert de fichiers via certaines applications peut supprimer les métadonnées. C'est pourquoi, au cours de mes années de pratique professionnelle, j'insiste sur l'importance de conserver le fichier brut (Raw file). Il est recommandé de conserver l'e-mail lui-même sous forme de fichier EML ou MSG, qui inclut les "en-têtes" (Headers) détaillant le parcours numérique du document.

L'adresse sur le mur virtuel : analyse des URL et des noms de domaine comme outil d'examen juridique

Dans le scénario pédagogique de Galit, le lien raccourci (comme bit.ly) sert parfois d'outil pour masquer la destination réelle. L'examen d'un tel lien pourrait révéler une adresse telle que : http://bank-israel-security-verification.com/login.

Une telle adresse peut sembler correcte pour un utilisateur non averti, mais une analyse professionnelle révélera que les banques en Israël utilisent généralement des extensions .co.il et non .com. Une vérification "Whois" du domaine – les informations sur l'enregistrement de l'adresse – peut révéler qu'il a été enregistré peu avant la fraude sous des détails non identifiables.

Cette analyse aide à étayer les arguments concernant une fausse déclaration. La création d'un nom de domaine imitant celui d'une institution connue peut témoigner d'une intention criminelle. De plus, ces preuves peuvent servir à examiner la responsabilité des parties impliquées. Il est possible d'examiner si l'escroquerie était sophistiquée au point qu'un client raisonnable n'aurait pas pu la distinguer sans outils professionnels.

Dans les cas d'adresse de site web suspecte, il convient d'examiner sa structure, de rechercher des fautes de frappe intentionnelles (Typosquatting) ou l'utilisation de caractères similaires provenant de langues étrangères. La documentation de l'adresse complète, y compris les paramètres techniques qui y figurent, est essentielle pour évaluer la nature de la tentative.

Numéros de téléphone et identités usurpées : entre "usurpation" (spoofing) et réalité juridique

L'un des défis dans ces dossiers est la technologie de Spoofing (usurpation d'identité), qui permet d'afficher un numéro de téléphone différent de celui à partir duquel l'appel est réellement passé. Dans le scénario pédagogique, Galit a vu sur son écran le nom de la banque car le numéro falsifié était identique au numéro officiel enregistré dans ses contacts.

Cet aspect est pertinent pour l'examen de la question de la faute et de la négligence contributive. Une documentation montrant qu'un numéro officiel d'un établissement financier a été utilisé peut influencer l'analyse juridique concernant le degré de prudence dont le client devait faire preuve. Il est difficile d'attendre d'un client qu'il ne réponde pas à un appel semblant provenir du service officiel de sa banque.

Pour la collecte de preuves, il est recommandé d'obtenir le détail des appels entrants auprès de l'opérateur de télécommunications (Logs), car le détail d'appels classique n'affiche généralement que les appels sortants. Ces données peuvent révéler l'origine réelle de l'appel ou l'adresse IP du serveur. Dans certains cas, il est possible d'examiner si un "SIM Swapping" a été effectué – le transfert du numéro de téléphone vers une autre carte SIM sans autorisation, ce qui soulève des questions concernant la sécurité des données chez l'opérateur de télécommunications.

La responsabilité des institutions financières face à la preuve numérique

L'analyse technique des métadonnées et des adresses URL se traduit par un examen juridique des obligations de diligence. La loi sur les services de paiement, 2019, établit le cadre de responsabilité en cas d'utilisation abusive de moyens de paiement. Les institutions financières peuvent arguer que la divulgation d'un code constitue un défaut de maintien de la confidentialité, mais la présentation de preuves sur une "ingénierie sociale" (Social Engineering) sophistiquée peut changer la donne.

Grâce à l'analyse des preuves numériques, il est possible d'examiner si l'établissement financier a respecté son obligation de diligence. Par exemple, une connexion a-t-elle été détectée depuis un pays étranger peu de temps après une connexion depuis Israël, ou les systèmes de surveillance auraient-ils dû détecter des liens de phishing connus ? Les métadonnées de la transaction sont un outil d'assistance pour examiner la question de savoir s'il y a eu négligence dans la surveillance de l'activité.

Dans un scénario possible, la présentation d'une analyse professionnelle des infrastructures de fraude peut mener à un réexamen de la position de l'établissement financier. Les chances de récupération des fonds dépendent des circonstances spécifiques de chaque cas, mais la construction d'une base de preuves numériques est une étape nécessaire dans la gestion d'une telle procédure.

La crise et la découverte : importance du traitement correct des preuves

Les actions indépendantes des victimes après la découverte de l'escroquerie peuvent parfois affecter la qualité des preuves. Dans le scénario pédagogique, tenter de confronter l'escroc sur WhatsApp peut conduire à la suppression des messages de la part de l'escroc.

Cependant, même les messages supprimés peuvent laisser des traces dans les métadonnées de la base de données de l'application sur l'appareil. La comparaison entre les heures d'envoi et de suppression des messages et les heures des opérations sur le compte peut aider à construire la chronologie de l'incident.

Au fil des ans, le cabinet a rencontré des cas où l'arrêt de l'utilisation de l'appareil immédiatement après la découverte de l'incident a permis une meilleure exploitation des données médico-légales. Dans un scénario possible, après l'examen des preuves et leur présentation, les parties peuvent parvenir à un compromis qui leur convient.

Conclusion et enseignements : l'ADN du dossier juridique

La collecte de preuves numériques exige une compréhension des données en coulisses. Les métadonnées, les adresses URL et les numéros de téléphone sont des composants significatifs dans la construction d'une base factuelle à l'ère moderne.

Dans des cas similaires à celui de Galit, la présentation d'une analyse scientifique des preuves numériques peut modifier la nature du dialogue avec les institutions financières et le déplacer vers un examen objectif des circonstances.

Signes d'alerte (Red Flags) dans les métadonnées et les adresses :

• Domaines trop similaires : utilisation d'extensions peu communes ou remplacement de lettres dans le domaine.
• Liens raccourcis : utilisation de services de raccourcissement d'URL externes dans des messages sensibles provenant d'institutions officielles.
• Incohérences temporelles : contradictions entre les métadonnées et le contenu visible du document.
• Protocole non sécurisé : absence d'utilisation de HTTPS sur les sites exigeant la saisie de données sensibles.

Que faire après un incident ? (Plan d'action) :

• Documentation et conservation : éviter de supprimer l'historique de navigation, les messages ou les e-mails.
• Conservation des fichiers sources : conservation et transfert des fichiers dans leur format original pour préserver les en-têtes (Headers).
• Capture complète : documentation de la ligne d'adresse complète (URL) des sites suspects.
• Demande de données : exigence du détail des appels entrants auprès de l'opérateur de télécommunications.

Aspect juridique :

Conformément à l'ordonnance sur la preuve [nouvelle version], 1971, et à la loi sur la signature électronique, 2001, les documents numériques et les métadonnées qui les accompagnent ont un statut juridique, sous réserve du respect des conditions de recevabilité et de fiabilité. Il est possible d'examiner des possibilités pour présenter ces preuves devant le tribunal, en mettant l'accent sur la preuve de l'intégrité de la preuve ("chaîne de preuves"). La responsabilité des institutions financières est examinée en lien avec la loi sur les services de paiement ainsi que sous les principes généraux du droit des contrats et de la responsabilité civile délictuelle, la preuve numérique servant d'outil pour évaluer le niveau de diligence et de sécurité requis.