Criminalistique numérique : comment récupérer et effacer définitivement des données

La criminalistique numérique suscite de plus en plus d'intérêt, notamment face à la croyance répandue selon laquelle appuyer sur " Supprimer " et vider la corbeille suffit pour effacer définitivement des données d'un appareil. En réalité, ce n'est qu'une illusion : le fonctionnement des systèmes d'exploitation laisse bien souvent des traces exploitables. Que ce soit par simple accident ou dans le cadre d'une enquête sur une cyber-infraction, la question de savoir comment récupérer des fichiers supprimés demeure centrale. Cela s'explique par le fait que l'effacement physique des données ne se produit que bien après leur suppression logique.

Qu'est-ce que la criminalistique informatique et numérique ?

La criminalistique numérique est une discipline technique appliquée, dédiée à la recherche, l'extraction et la conservation de preuves électroniques. Les spécialistes de ce domaine interviennent sur tous types de supports : serveurs, ordinateurs, objets connectés, ou encore systèmes embarqués dans les véhicules. Leur mission essentielle consiste à accéder aux données sans en modifier l'état initial, condition sine qua non pour garantir leur valeur juridique.

Le terme " criminalistique informatique " est plus ancien et désignait à l'origine l'analyse des disques durs de PC. Aujourd'hui, il s'intègre pleinement au champ plus vaste de la Digital Forensics, englobant l'analyse des appareils mobiles, l'interception de trafic réseau et l'examen d'architectures cloud.

La récupération de données repose sur un constat : lors d'une suppression classique, le système d'exploitation n'efface pas les données elles-mêmes, mais supprime uniquement leur référence dans la table des fichiers (par exemple, la MFT sous NTFS), marquant l'espace comme disponible pour de nouveaux enregistrements.

Jusqu'à ce qu'une nouvelle information vienne écraser les données cachées, le fichier d'origine reste physiquement stocké sur le disque. Les experts utilisent des suites logicielles capables d'ignorer la table des fichiers et de scanner le support au niveau physique, détectant les signatures de formats connus : photos, documents, archives de sauvegarde, etc.

Comment récupérer des fichiers supprimés : physique de la mémoire et des supports

Le succès de la récupération dépend essentiellement du type de support utilisé. Disque magnétique (HDD) et SSD fonctionnent selon des principes physiques distincts, ce qui influence entièrement la stratégie de l'expert. Lorsque l'utilisateur efface des données, la réaction matérielle varie selon l'appareil.

Pour éviter de perdre des documents importants et devoir recourir à des interventions complexes, il est préférable de mettre en place des sauvegardes automatiques régulières. Pour choisir l'outil adapté, consultez notre sélection des meilleures applications de sauvegarde et de restauration automatique de données pour 2025.

Récupération de données sur disque dur (HDD)

Les disques durs classiques enregistrent les informations sur des plateaux magnétiques. Lors d'une suppression standard ou d'un formatage rapide, la polarité des zones magnétiques reste inchangée : seul le chemin d'accès au fichier est effacé, autorisant l'écriture de nouvelles données par-dessus.

Tant que le disque n'a pas été réécrit ou physiquement détruit, il est possible d'extraire des données même après plusieurs années. Les experts emploient des logiciels professionnels de récupération RAW, qui lisent les traces magnétiques secteur par secteur et reconstituent les fichiers selon leurs signatures uniques.

En cas de dommages mécaniques, la récupération devient plus complexe : le disque doit être ouvert dans une " salle blanche ", le bloc de têtes de lecture remplacé, ou les plateaux transférés dans un disque donneur afin de créer une copie exacte pour analyse.

Pourquoi la récupération sur SSD est-elle plus difficile ?

Les SSD, sans pièces mobiles, stockent les données dans des cellules de mémoire flash. Le principal défi pour la criminalistique numérique provient de la commande TRIM : cette instruction système efface physiquement les cellules dès la suppression du fichier, les préparant à de nouveaux enregistrements.

Si le contrôleur a déjà exécuté la commande TRIM, la récupération classique devient impossible, car les anciennes données sont remplacées par des zéros. Pour comprendre en détail le fonctionnement de ces supports, consultez notre dossier sur la dégradation des SSD, le TBW, la structure de la mémoire NAND et le wear leveling.

Néanmoins, il reste parfois possible de récupérer des informations : la commande TRIM s'exécute en tâche de fond et n'est pas toujours immédiate. Une coupure de courant inopinée, une panne du contrôleur ou l'extraction du SSD en fonctionnement peuvent interrompre le processus d'effacement et laisser des données brutes accessibles via un programmateur spécialisé.

Secrets des smartphones : peut-on restaurer photos et conversations supprimées ?

Les smartphones modernes sous iOS et Android intègrent des mémoires flash UFS ou NVMe, proches des SSD d'ordinateur. Leur architecture inclut des algorithmes de " garbage collection " effaçant irrémédiablement les cellules supprimées.

Le principal obstacle pour les experts est le chiffrement fichier par fichier (FBE). La suppression d'une photo consiste souvent à détruire la clé cryptographique associée : sans elle, les données brutes deviennent un bruit numérique illisible, impossible à décrypter.

Cependant, les spécialistes ne s'avouent pas vaincus : si l'original est effacé, des vignettes peuvent subsister dans le cache de la galerie, les journaux des messageries ou des dossiers cachés du système. Pour éviter toute fuite lors de la vente ou du changement d'appareil, découvrez notre guide complet : comment effacer vos données personnelles en toute sécurité avant de vendre votre téléphone, ordinateur portable ou iPhone en 2025.

La récupération des conversations dans les messageries (Telegram, WhatsApp)

La suppression pour tous ne garantit pas l'effacement total. La plupart des messageries conservent l'historique des discussions dans des bases SQLite locales. Particularité : la suppression d'un message ne l'efface pas immédiatement, mais le marque comme libre (freelist), en attente d'être écrasé.

Tant que la base n'a pas été compactée ou réécrite, les messages supprimés subsistent physiquement sur la mémoire de l'appareil. Les experts utilisent des outils spécialisés pour extraire la base complète, scanner les blocs libres de SQLite et récupérer des fragments de conversations effacées. Les journaux système et les sauvegardes cloud, indépendantes de l'application, peuvent également fournir des indices précieux.

Méthodes matérielles : extraire des données d'appareils endommagés

Face à un appareil cassé, submergé ou intentionnellement détruit, les méthodes logicielles ne suffisent plus : la criminalistique numérique recourt alors à la microélectronique et à des techniques d'extraction bas niveau.

La méthode la plus radicale est le Chip-Off : le circuit mémoire est minutieusement dessoudé de la carte mère, placé dans un adaptateur-programmateur, puis le contenu est extrait directement, en contournant le contrôleur ou le système d'exploitation endommagé.

Des méthodes moins invasives, comme JTAG ou ISP, consistent à connecter de fins fils aux points de test de la carte, prévus en usine. Cela permet d'alimenter et d'accéder à la mémoire même si l'affichage ou la connectique de l'appareil sont hors service.

Conclusion

La criminalistique numérique prouve qu'aucune donnée ne disparaît définitivement d'un simple clic. Les systèmes d'exploitation, pensés pour la rapidité et la commodité, n'effacent pas physiquement les fichiers supprimés, laissant un large champ d'investigation aux enquêteurs spécialisés.

Le succès de la récupération dépendra toujours du support et du délai écoulé depuis la suppression. Si les anciens disques durs conservaient les informations durant des années, les SSD modernes et smartphones chiffrés compliquent la tâche, obligeant les experts à recourir à des techniques matérielles avancées. Pour préserver la confidentialité en cas de perte ou de vente, l'utilisation de mots de passe robustes et du chiffrement matériel reste la solution la plus fiable.

FAQ

1. Peut-on supprimer définitivement un fichier d'un ordinateur ?
   Oui, mais la suppression classique via la corbeille n'est pas suffisante. Pour éliminer toute trace, il faut utiliser des logiciels " shredder " qui réécrivent les secteurs du disque avec des zéros ou des données aléatoires sur plusieurs passages. Sur les SSD modernes, il est recommandé d'utiliser l'outil " Secure Erase " fourni par le fabricant.
2. Comment récupère-t-on des données après un formatage de disque ?
   Le formatage rapide proposé par Windows ne supprime pas les fichiers, mais crée une nouvelle table vide. Les experts et logiciels de récupération scannent le disque en mode RAW, ignorent la table, et retrouvent les fichiers grâce à leurs signatures numériques (en-têtes).
3. Les autorités peuvent-elles lire les discussions secrètes sur Telegram ?
   Les discussions secrètes utilisent le chiffrement de bout en bout, rendant leur interception impossible via le fournisseur. Toutefois, si un expert a un accès physique à un smartphone déverrouillé ou peut extraire la mémoire vive pendant le fonctionnement, il pourra récupérer les clés de chiffrement et lire la base de données locale de l'application.
4. La réinitialisation d'un téléphone efface-t-elle réellement les données ?
   Sur les smartphones iOS et Android (à partir de la version 10), le chiffrement intégral ou par fichier est la norme. La réinitialisation détruit physiquement les clés cryptographiques. Après cela, toutes les données deviennent inexploitables, même par des méthodes matérielles.