Spoliation forensics

Définition

La spoliation, dans le contexte forensique et légal, désigne la destruction, l'altération, la dissimulation ou la falsification intentionnelle ou négligente de preuves numériques susceptibles d'être utilisées dans une procédure judiciaire ou administrative. C'est un concept central du droit de la preuve numérique qui peut avoir des conséquences légales graves pour la partie qui spoliate. En droit américain (applicable aux multinationales), la spoliation peut entraîner des sanctions sévères : présomption adverse (le tribunal présume que les preuves détruites étaient défavorables à la partie spoliatrice), amendes, voire rejet d'une défense entière. En droit français, la destruction de preuves peut constituer une infraction pénale (violation de scellés, destruction de preuves) passible d'emprisonnement et d'amendes. La spoliation peut être intentionnelle (effacement délibéré de logs, destruction de disques, réécriture de fichiers) ou non intentionnelle (écrasement de logs par rotation non suspendue, suppression automatique de données par des politiques de rétention non ajustées, défaillance matérielle sans sauvegarde). C'est pourquoi le Legal Hold est si critique : dès qu'une organisation anticipe un litige, elle doit suspendre toutes les politiques de suppression automatique des données potentiellement pertinentes. Les indicateurs de spoliation détectables forensiquement incluent des incohérences dans les timestamps (dates de fichiers chronologiquement impossibles), des traces de nettoyage (exécution de CCleaner, Eraser, ou équivalents dans les logs), des modifications de registre ou de fichiers système inhabituelles pour effacer des artefacts, et des métadonnées manquantes sur des systèmes où elles devraient exister. Les anti-forensics (techniques délibérées pour entraver les investigations) représentent une forme avancée de spoliation. Elles incluent le chiffrement fort des données, la stéganographie, le nettoyage sécurisé de métadonnées, l'utilisation de systèmes d'exploitation amnésiques (Tails), et la falsification de timestamps (timestomping). L'investigateur forensique expérimenté connaît ces techniques et sait les détecter ou les contourner. La documentation rigoureuse (chaîne de traçabilité, hashes à chaque étape) protège aussi bien l'investigateur que la partie qui produit des preuves : elle démontre que les preuves présentées n'ont pas été altérées après leur collecte.