Analyse forensique mobile : manuelle ou automatisée, laquelle choisir et quand ?

La réponse en deux phrases

Les deux, car elles répondent à des besoins différents. L'analyse automatisée contrôle de nombreux téléphones en quelques minutes et peut se renouveler régulièrement, tandis que l'analyse manuelle va plus loin sur un téléphone donné et reste l'outil des investigations approfondies. Un dispositif solide s'appuie sur la première pour contrôler largement, et fait appel à la seconde quand des indicateurs ou un soupçon sérieux le justifient.

Le contexte

Un dirigeant rentre d'un déplacement dans un pays sensible. Un assistant de direction reçoit une notification de menace d'Apple. Un téléphone se met à se comporter de façon inhabituelle. À chaque fois, le directeur sûreté ou le RSSI se pose la même question : faut-il confier le téléphone à un spécialiste de l'analyse forensique, ou le contrôler avec un outil automatisé ?

Encore faut-il que la question se pose. Les compétences en cybersécurité manquent : l'ISC2 estimait en 2023 qu'il faudrait 4 millions de professionnels de plus dans le monde, et l'analyse forensique mobile est une spécialité plus étroite encore. Dans beaucoup d'organisations que nous rencontrons, le téléphone d'un dirigeant échappe ainsi aux contrôles appliqués à son ordinateur.

Au-delà de ces alertes, une deuxième question se pose : comment contrôler, régulièrement, les téléphones des personnes les plus exposées de l'organisation ?

Les deux approches y répondent de façon différente.

Deux approches pour une même question

Une analyse forensique mobile examine les traces présentes sur un téléphone. Elle recherche des indicateurs de compromission, c'est-à-dire des signes que le téléphone a pu être compromis. Elle peut se mener de deux façons.

L'analyse manuelle : la profondeur, avec des contraintes

Dans une analyse manuelle, un spécialiste collecte les données du téléphone et les examine. Il peut suivre une piste précise, croiser des traces et adapter son examen au cas. C'est ce qui en fait l'outil des investigations approfondies.

D'après les équipes de Shindan, qui réalisent aussi des analyses forensiques mobiles manuelles, cette profondeur s'accompagne de contraintes concrètes :

• le téléphone est immobilisé, souvent plusieurs heures, parfois plusieurs jours, et son utilisateur se retrouve privé de son principal outil de travail ;

• la collecte donne accès à tout le contenu du téléphone ;

• elle demande des compétences spécialisées que peu d'organisations ont en interne, et le téléphone est le plus souvent confié à une entreprise extérieure ;

• chaque analyse est facturée comme une prestation, et porte sur un seul téléphone, à un moment donné.

Ces contraintes expliquent qu'on la réserve le plus souvent aux cas où un soupçon sérieux existe déjà. Pour un dirigeant, se séparer de son téléphone pendant plusieurs jours peut suffire à faire repousser un contrôle.

L'analyse automatisée : l'échelle, dans certaines limites

Une analyse automatisée part des journaux que le système tient lui-même, et non d'une copie complète du téléphone. Sur iOS, l'utilisateur peut les rassembler à la demande dans un fichier appelé sysdiagnose, en maintenant environ une seconde les deux boutons de volume et le bouton latéral. Sur Android, l'équivalent est le bugreport, qui regroupe les journaux des services du système, les journaux d'erreurs et les messages système.

L'analyse de ces journaux prend quelques minutes et n'immobilise pas le téléphone. Elle peut donc couvrir tous les téléphones exposés, et se renouveler dans le temps.

Elle a aussi ses contraintes. Elle s'en tient à ce que le système a enregistré dans ses journaux. Elle donne une image du téléphone au moment de la collecte. Et elle ne remplace pas une investigation approfondie quand un soupçon sérieux existe.

Les deux approches côte à côte

Ce que cela change pour votre organisation

Les deux approches ne s'opposent pas. Elles forment deux niveaux.

1. Contrôler largement et régulièrement avec l'analyse automatisée : téléphones des dirigeants et de leur entourage proche, personnes qui se déplacent dans des pays sensibles, avant et après le voyage.

2. Contrôler après toute alerte : notification de menace d'Apple, comportement inhabituel, message suspect.

3. Faire appel à l'analyse manuelle quand elle se justifie : quand l'analyse automatisée fait apparaître des indicateurs, ou quand un soupçon sérieux demande de suivre une piste en profondeur.

Ce mode de fonctionnement limite le coût et l'immobilisation de l'analyse manuelle aux cas qui le demandent.

Ce que Shindan apporte

Shindan automatise cette analyse. Il s'appuie sur les journaux du système, le sysdiagnose sur iOS et le bugreport sur Android, pour rechercher en quelques minutes des indicateurs de compromission et des indicateurs de vulnérabilité, c'est-à-dire des réglages ou des pratiques qui exposent le téléphone. Il couvre les appareils iOS, iPadOS et Android, et s'utilise en SaaS, en application de bureau ou en application mobile.

L'analyse n'accède ni au contenu des messages et des e-mails, ni aux photos et vidéos, ni aux données des applications. L'utilisateur peut générer lui-même les journaux, une fois la manipulation apprise. Sinon, l'équipe support s'en charge : pour les dirigeants, chez certains de nos clients, elle emprunte le téléphone quelques minutes, le temps d'une réunion ou d'un déjeuner d'affaires, génère les journaux et lance l'analyse, puis le rend. Le résultat se présente d'abord sous la forme d'un rapport de synthèse, lisible par tous, puis d'un rapport détaillé destiné aux analystes.

Il devient ainsi possible de contrôler tous les téléphones exposés, aussi souvent que nécessaire.

Quand Shindan relève un indicateur de compromission, une analyse manuelle est recommandée : c'est souvent ce qui la déclenche. Si vos équipes en ont les compétences, elles peuvent la mener en interne. Sinon, les équipes de Shindan peuvent réaliser cette investigation.

Comme tout outil, Shindan ne peut pas garantir qu'un téléphone est sain : il vous indique quels indicateurs ont été trouvés, pour que vous puissiez décider de la suite.

Ce qu'il faut retenir

• L'analyse manuelle va plus loin sur un téléphone, mais l'immobilise, donne accès à tout son contenu et demande un spécialiste.

• L'analyse automatisée part des journaux du système, prend quelques minutes et peut se répéter sur tous les téléphones exposés.

• L'analyse automatisée s'en tient à ce que le système enregistre, et ne remplace pas une investigation approfondie.

• Les deux forment deux niveaux : des contrôles automatisés réguliers, puis une analyse manuelle quand des indicateurs ou un soupçon sérieux le justifient.

• Aucun outil ne garantit qu'un téléphone est sain.

Questions fréquentes

Quelle approche va le plus loin ? L'analyse manuelle va plus loin sur un téléphone donné, parce que le spécialiste peut suivre une piste et adapter son examen. L'analyse automatisée couvre plus de téléphones, plus souvent.

L'analyse automatisée remplace-t-elle l'analyse manuelle ? Non. Elle rend possibles des contrôles réguliers à grande échelle, et aide à décider quand une investigation approfondie est nécessaire.

Combien de temps un téléphone est-il indisponible pendant une analyse manuelle ? En pratique, souvent plusieurs heures, parfois plusieurs jours, selon le cas.

Shindan accède-t-il au contenu du téléphone ? Non. L'analyse n'accède ni au contenu des messages et des e-mails, ni aux photos et vidéos, ni aux données des applications.

Quand passer à une analyse manuelle ? Quand l'analyse automatisée fait apparaître des indicateurs, après un incident grave, ou quand un soupçon doit être examiné en profondeur.

Pour aller plus loin

• Demander une démonstration ou une investigation aux équipes de Shindan

• Découvrir ce que contient un sysdiagnose dans notre base de connaissances (en anglais) : https://kb.shindan.io/kb/ios/sysdiagnose/

Sources

• Retours d'expérience des équipes de Shindan, qui réalisent aussi des analyses forensiques mobiles manuelles (contraintes de l'analyse manuelle).

• ISC2, Cybersecurity Workforce Study, octobre 2023. https://www.isc2.org/Insights/2023/10/ISC2-Reveals-Workforce-Growth-But-Record-Breaking-Gap-4-Million-Cybersecurity-Professionals

• Apple, Apple Platform Deployment, « Use diagnostics to research device issues ». https://support.apple.com/guide/platform-support/supd3f43814e/web

• Android Developers, « Capture and read bug reports ». https://developer.android.com/studio/debug/bug-report

Dernière mise à jour : 27 octobre 2026.