8 avril 2025
Introduction
Une signature qui « paraît fausse » ne peut pas être jugée à partir de son dessin. Pour détecter une falsification ou une manipulation, il faut examiner le fichier électronique original, l’intégrité cryptographique, le certificat, les événements et le contexte du signataire.
L’objectif de la première analyse n’est pas d’accuser une personne, mais de préserver les éléments, distinguer les constats des hypothèses et orienter le dossier vers la bonne décision.
Préserver le document suspect
Conservez le fichier reçu sans l’ouvrir dans un éditeur susceptible de le modifier. Notez la provenance, le canal, la date, l’expéditeur apparent et le dossier métier.
Calculez une empreinte si la procédure d’incident le prévoit, puis travaillez sur une copie. Ne convertissez pas le PDF, ne l’imprimez pas pour le numériser et n’enregistrez pas une nouvelle version : ces opérations peuvent supprimer ou altérer les données utiles à l’analyse.
Protégez les accès et consignez toute transmission du fichier pendant l’enquête.
Examiner l’intégrité et les révisions
Utilisez l’outil de validation défini par l’organisation. Vérifiez quelles données sont couvertes par la signature, si l’intégrité est confirmée et quelles modifications postérieures sont détectées.
Une modification n’est pas automatiquement frauduleuse. Un PDF peut recevoir plusieurs signatures ou des annotations autorisées. L’outil doit aider à identifier la nature et le moment de la révision ; la politique du dossier détermine si elle est acceptable.
Une rupture d’intégrité portant sur le contenu signé est un signal fort qui nécessite une escalade, mais elle doit être décrite précisément.
Contrôler le certificat et l’identité
Relevez le titulaire, l’émetteur, la chaîne, la période de validité et le statut disponible. Comparez l’identité du certificat à celle de la personne attendue.
Un certificat valide n’établit pas automatiquement que son titulaire a autorisé l’opération, ni qu’il disposait du pouvoir de représenter l’entreprise. Examinez également la méthode d’accès, les événements du parcours et les délégations pertinentes.
Une chaîne non reconnue et une signature mathématiquement incorrecte sont deux constats différents. Le rapport doit les séparer.
Reconstituer la chronologie
Rapprochez les dates de réception, de signature, d’horodatage éventuel et de validation. Consultez les événements du parcours : invitation, accès, confirmation, refus, remplacement ou téléchargement.
Recherchez les écarts avec le scénario attendu : adresse inconnue, action depuis un compte compromis, version différente, ordre de signature incohérent ou certificat inattendu. Aucun indicateur isolé ne prouve nécessairement la fraude ; la chronologie complète donne le contexte.
Nota Sign peut relier document, participants et événements dans un parcours AES ou QES. Ces données facilitent l’analyse, mais l’enquête reste une responsabilité de l’organisation et peut nécessiter des spécialistes sécurité, juridiques ou forensiques.
Qualifier le résultat et escalader
Classez les constats : intégrité confirmée ou rompue, chaîne reconnue ou non, identité concordante ou non, modification expliquée ou non. Distinguez clairement faits, hypothèses et informations manquantes.
En cas de suspicion sérieuse, suspendez l’utilisation du document et appliquez le processus d’incident. Ne contactez pas de manière improvisée un signataire présumé si cela risque de compromettre l’enquête.
La décision peut être : accepter après clarification, poursuivre l’investigation, révoquer ou sécuriser des accès, ou produire une nouvelle version à signer. Conservez le motif et le responsable.
Conclusion
Détecter une signature manipulée exige une méthode, pas une intuition graphique. La préservation du fichier et la séparation entre intégrité, certificat, identité et chronologie donnent à l’équipe une base fiable pour enquêter et décider.
