Forensic informatique : analyser un listing téléphonique comme une preuve

Le forensic informatique (ou informatique légale) désigne l'ensemble des méthodes scientifiques permettant de collecter, préserver, analyser et présenter des données numériques de manière recevable dans une procédure. Ce guide se concentre sur un cas concret et très répandu en Afrique centrale : l'exploitation d'un listing d'appels téléphoniques transmis par un opérateur.

Qu'est-ce que le forensic informatique ?

Les sciences forensiques appliquent une démarche scientifique à la recherche de la vérité judiciaire : une hypothèse est formulée, puis confrontée à des traces matérielles selon un protocole reproductible. Le volet informatique traite les traces numériques : disques, téléphones, journaux serveurs, et données de trafic des opérateurs.

Trois exigences structurent toute analyse : l'intégrité (la donnée analysée est identique à la donnée saisie), la traçabilité (chaîne de conservation documentée), et la reproductibilité (un tiers doit pouvoir refaire l'analyse et obtenir le même résultat).

Les branches des sciences forensiques numériques

• Disk forensics — récupération de fichiers supprimés, analyse de systèmes de fichiers et d'artefacts système.
• Mobile forensics — extraction logique ou physique du contenu d'un téléphone (messages, applications, positions enregistrées).
• Network forensics — analyse de flux réseau et de journaux de connexion.
• Analyse de données de trafic (CDR) — exploitation des enregistrements d'appels et SMS conservés par l'opérateur. C'est l'objet de ce guide.

Le listing téléphonique (CDR) comme source de preuve

Un CDR (Call Detail Record) n'est pas le contenu des communications : c'est une métadonnée. Chaque ligne décrit typiquement l'appelant, l'appelé, l'horodatage, la durée, le type (voix ou SMS), l'identifiant de cellule (Cell ID), parfois l'azimut, les coordonnées du site et l'IMEI du terminal utilisé.

Croisées entre elles, ces métadonnées révèlent des schémas très parlants : réseau relationnel, rythmes de vie, lieux de nuit et de journée, ruptures de comportement, changements de terminal ou de carte SIM.

Méthode en 6 étapes

1. Cadrer la question. Une analyse sans hypothèse produit du bruit. Formulez ce que vous cherchez à établir ou à réfuter, et sur quelle fenêtre temporelle.
2. Sceller la source. Conservez le PDF ou le fichier original tel que transmis et calculez son empreinte (SHA-256). Toute analyse porte ensuite sur une copie.
3. Normaliser les données. Formats de numéros, fuseau horaire, doublons, lignes incomplètes : la qualité de l'extraction conditionne toutes les conclusions.
4. Analyser. Statistiques de contacts, chronologie, cartographie des cellules, détection d'anomalies, graphe relationnel.
5. Corroborer. Une conclusion tirée d'une seule source reste fragile : recoupez avec un second listing, un témoignage, une vidéo, un relevé bancaire.
6. Restituer. Rapport écrit, annexes de données, méthode explicitée et limites assumées.

Outils et techniques d'analyse

Les techniques mobilisées sur un listing relèvent de l'analyse de graphes et de séries temporelles : centralité des nœuds pour repérer les intermédiaires, agrégats horaires pour distinguer un contact professionnel d'un contact intime, cartographie des Cell ID pour estimer les zones de présence, comparaison IMEI/IMSI pour détecter un changement d'appareil ou de SIM.

Gotham Analytique automatise cette chaîne : import du PDF opérateur, extraction structurée, contrôle qualité (taux de couverture GPS, IMEI, lignes rejetées), puis restitution en onglets — contacts, lieux, chronologie, anomalies, carte, graphe relationnel — et export d'un rapport PDF documentant la méthode.

Géolocalisation par antennes : ce qu'on peut affirmer

Un Cell ID n'est pas une position GPS. Il indique qu'un terminal était desservi par un secteur d'antenne au moment de l'événement, donc dans une zone dont le rayon varie de quelques centaines de mètres en milieu urbain dense à plusieurs kilomètres en zone rurale. L'azimut réduit cette zone à un secteur angulaire.

Formulation défendable : « le terminal était présent dans la zone de couverture du secteur X ». Formulation indéfendable : « la personne se trouvait à l'adresse Y ». La répétition d'un même secteur sur des plages horaires stables autorise en revanche une hypothèse de domicile ou de lieu de travail, à corroborer.

Erreurs fréquentes à éviter

• Confondre le titulaire de la ligne et l'utilisateur réel du terminal.
• Ignorer le décalage de fuseau horaire entre l'export opérateur et l'heure locale.
• Interpréter une absence d'activité comme une absence de la personne (batterie, réseau, second téléphone).
• Travailler sur un extrait partiel du listing sans le signaler dans le rapport.
• Modifier le fichier source au lieu de travailler sur une copie vérifiée par empreinte.

Rédiger un rapport recevable

Un rapport exploitable comporte : l'identification de la source et son empreinte, la période couverte, le volume d'événements traités et rejetés, la méthode et les outils employés, les constatations factuelles, les hypothèses distinguées des faits, et les limites de l'analyse. La transparence sur les limites renforce la crédibilité plutôt qu'elle ne l'affaiblit.

Questions fréquentes