Manipulation PDF vs modifications légitimes : Comprendre les faux positifs courants

Tous les PDFs modifiés ne sont pas des documents falsifiés. Comprendre la différence entre falsification et modifications légitimes est crucial pour une vérification précise des documents.

Le problème des faux positifs

L'analyse forensique PDF peut détecter qu'un document a été modifié, mais elle ne peut pas déterminer automatiquement l'intention. De nombreux flux de travail légitimes produisent les mêmes signaux que les tentatives de falsification.

Scénarios courants d'édition légitime

1. Remplissage de formulaires

Ce qui se passe : Les formulaires PDF sont conçus pour être remplis, créant des traces de modification.

Signaux forensiques :

• ModDate diffère de CreationDate
• Mises à jour incrémentielles des sauvegardes de formulaire
• Données utilisateur dans les métadonnées

Pourquoi c'est légitime : C'est l'utilisation prévue des formulaires PDF.

2. Signatures numériques

Ce qui se passe : Ajouter une signature modifie le PDF.

Signaux forensiques :

• Horodatage de modification lors de la signature
• Nouveaux objets ajoutés pour la signature
• Données de certificat intégrées

Pourquoi c'est légitime : Les signatures sont destinées à être ajoutées après la création du document.

3. Commentaires et annotations

Ce qui se passe : Les commentaires de révision sont ajoutés pendant la collaboration.

Signaux forensiques :

• Marqueurs de révision multiples
• Noms d'auteurs dans les données d'annotation
• Mises à jour incrémentielles pour chaque commentaire

Pourquoi c'est légitime : La révision de documents est un flux de travail standard.

4. Conversion de format

Ce qui se passe : Documents convertis depuis Word, Excel ou d'autres formats.

Signaux forensiques :

• Creator montre l'application originale
• Producer montre l'outil de conversion
• La date de création est le temps de conversion, pas la date du document original

Pourquoi c'est légitime : PDF est souvent un format de livraison, pas le format d'auteur.

5. Impression en PDF

Ce qui se passe : Documents "imprimés" en PDF plutôt qu'exportés.

Signaux forensiques :

• Pilote d'impression générique comme Producer
• Les métadonnées peuvent être supprimées ou altérées
• Structure différente des exportations natives

Pourquoi c'est légitime : De nombreux utilisateurs utilisent l'impression-en-PDF comme méthode de création PDF.

6. Rédaction (appropriée)

Ce qui se passe : Informations sensibles correctement supprimées avant le partage.

Signaux forensiques :

• Traces de modification de l'outil de rédaction
• Sauvegardes multiples possibles pendant le processus de rédaction
• Adobe Acrobat ou similaire comme Producer

Pourquoi c'est légitime : La rédaction est une pratique de sécurité nécessaire.

Indicateurs de falsification réelle

Bien que les signaux d'édition ne soient pas une preuve de falsification, certains modèles sont plus suspects :

Modèles préoccupants

1. Modification de contenu après dates de signature
   • Un contrat modifié après la date supposée de signature
   • Termes qui ont changé après l'accord
2. Logiciel non correspondant au type de document
   • Documents officiels créés dans des éditeurs photo grand public
   • États financiers d'outils PDF génériques
3. Incohérences de métadonnées
   • Dates qui ne correspondent pas à la chronologie revendiquée
   • Informations d'auteur qui ne correspondent pas à la source
4. Outils d'édition multiples
   • Document passé par de nombreuses applications différentes
   • Signes de plusieurs utilisateurs modifiant un document "officiel"
5. Caractéristiques de fichier inhabituelles
   • Taille de fichier excessive pour un contenu simple
   • Nombreux objets orphelins de contenu supprimé

Comment interpréter les découvertes

Questions à considérer

1. Ce type d'édition est-il attendu pour ce document ?
   • Les formulaires doivent être remplis
   • Les contrats doivent être signés
   • Les documents brouillon doivent avoir des révisions
2. La chronologie a-t-elle du sens ?
   • Modifications avant finalisation revendiquée = suspect
   • Modifications pendant flux de travail normal = attendu
3. Le logiciel est-il approprié ?
   • Documents officiels de systèmes officiels = attendu
   • Certificats d'éditeurs d'images = suspect
4. Qui avait accès pour éditer ?
   • Plusieurs parties autorisées = modifications légitimes possibles
   • Seul l'expéditeur avait accès = examen plus approfondi nécessaire

Cadre d'évaluation des risques

Risque faible (Probablement légitime) :

• Signaux de modification correspondent au flux de travail attendu
• Le logiciel est approprié pour le type de document
• La chronologie a un sens logique
• La source du document est fiable

Risque moyen (Enquêter davantage) :

• Certains signaux inattendus présents
• La chronologie a des incohérences mineures
• Le document est important mais pas critique

Risque élevé (Falsification potentielle) :

• Plusieurs indicateurs suspects
• La chronologie contredit les affirmations
• Logiciel inapproprié utilisé
• Document à enjeux élevés (légal, financier)

Exemples réels

Exemple 1 : Contrat d'emploi

Signaux trouvés :

• Créé il y a 6 mois, modifié hier
• Deux producteurs de logiciels différents
• Mise à jour incrémentielle présente

Contexte : Contrat re-signé pour renouvellement annuel

Verdict : Probablement légitime - re-signer crée de nouvelles modifications

Exemple 2 : Diplôme universitaire

Signaux trouvés :

• Creator : Adobe Photoshop
• Date de création récente pour ancienne année de diplôme
• Petite taille de fichier pour ce qui devrait être un document scanné

Verdict : Très suspect - les diplômes ne devraient pas être créés dans des éditeurs d'images

Exemple 3 : Facture

Signaux trouvés :

• Créé dans un logiciel de comptabilité
• Une modification (notation de paiement ajoutée)
• Chronologie cohérente avec le processus de facturation

Verdict : Probablement légitime - flux de travail de facturation standard

Meilleures pratiques

Pour les vérificateurs

1. Considérez le contexte avant les conclusions - Toutes les modifications ne sont pas mauvaises
2. Cherchez des modèles, pas des indicateurs uniques - Un signe n'est pas une preuve
3. Documentez votre raisonnement - Enregistrez pourquoi vous êtes arrivé à votre conclusion
4. Escaladez quand incertain - Impliquez des experts pour les documents importants

Pour les créateurs de documents

1. Utilisez des outils appropriés - Documents officiels de systèmes officiels
2. Maintenez des pistes d'audit - Documentez les modifications légitimes
3. Minimisez les modifications inutiles - Réduisez les signaux ambigus
4. Signez correctement - Utilisez des signatures numériques pour l'authenticité

Conclusion

La présence de signaux d'édition ne signifie pas automatiquement falsification. Le contexte est tout en forensique documentaire.

Principes clés :

• Les signaux d'édition indiquent modification, pas intention
• De nombreux flux de travail légitimes créent des traces forensiques
• Le contexte détermine si les modifications sont préoccupantes
• Plusieurs indicateurs comptent plus que des signaux uniques

La vérification efficace des documents nécessite de comprendre à la fois les signaux techniques et le contexte commercial dans lequel les documents sont créés et modifiés.

Examinez les traces PDF avec CleanPDF et interprétez les indices dans leur contexte. Le score ne certifie pas l’authenticité.