Sticky Notes Forensics

Définition

Sticky Notes est une application Windows qui permet aux utilisateurs de créer des notes adhésives sur le bureau. Malgré son aspect anodin, elle constitue une source forensique intéressante car les utilisateurs y stockent fréquemment des informations sensibles : mots de passe, numéros de carte bancaire, codes d'accès, notes personnelles, et parfois des informations relatives à des activités frauduleuses. Dans Windows 10 et les versions récentes, les Sticky Notes sont synchronisées avec OneDrive et stockées localement dans une base de données SQLite : %LOCALAPPDATA%\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite. Cette base contient les notes avec leur texte complet, leur couleur, leurs timestamps de création et de modification, et les métadonnées de synchronisation. Pour les versions antérieures (Windows 7/8), les notes étaient stockées dans un fichier StickyNotes.snt au format binaire propriétaire dans %APPDATA%\Microsoft\Sticky Notes\. Ce format peut être analysé avec des outils forensiques spécialisés ou en extrayant directement le texte du fichier binaire. La valeur forensique des Sticky Notes est significative dans plusieurs contextes. Dans les investigations de fraude financière, les utilisateurs notent fréquemment les codes PIN, mots de passe et numéros de compte dans les Sticky Notes. Dans les investigations d'espionnage industriel, des notes peuvent contenir des informations sur des projets confidentiels, des contacts, ou des plans. Dans les investigations de criminalité organisée, des codes, des adresses ou des messages codés peuvent être stockés. L'aspect synchronisation cloud est important : même si les Sticky Notes locales ont été supprimées, des copies peuvent subsister dans le compte Microsoft de l'utilisateur et peuvent être obtenues via les procédures légales appropriées (réquisition judiciaire auprès de Microsoft).