Un téléphone est l'objet le plus riche en informations sur la plupart des scènes modernes et le plus facile à détruire en le manipulant. Presque chaque erreur commise avec un téléphone l'est par quelqu'un qui essaie de bien faire.
Consignez l'état dans lequel vous l'avez trouvé, avant toute autre chose. Allumé ou éteint. Verrouillé ou déverrouillé. Ce qui est affiché à l'écran. Le niveau de la batterie. S'il est branché. S'il est connecté à un réseau. Ces faits cessent d'être connaissables dès que quelqu'un le touche.
Ne le consultez pas. Ouvrir un message le marque comme lu, le déplace et modifie des horodatages dont un examinateur se serait autrement servi. La photographie d'un écran que vous avez fait défiler est la photographie d'une pièce à conviction que vous avez modifiée — et l'on vous demandera, sous serment, ce que vous avez regardé d'autre.
Ne l'allumez pas pour « vérifier quelque chose ». La mise sous tension d'un appareil peut exécuter des tâches planifiées, effectuer une synchronisation et appliquer une instruction à distance.
Isolez-le du réseau. Un appareil qui reste connecté peut être effacé à distance alors qu'il se trouve dans un sachet destiné aux éléments de preuve. Le mode avion lorsque l'appareil est déjà déverrouillé et que les règles l'autorisent, ou un sachet blindé ; notez laquelle de ces mesures a été prise et à quel moment.
Maintenez-le sous tension s'il l'était. La mémoire volatile est perdue à l'arrêt, et un appareil dont la batterie est complètement déchargée peut se rechiffrer au prochain démarrage. La batterie et le câble doivent rester avec lui.
Les codes d'accès ne se devinent pas. Les tentatives sont comptabilisées en vue d'un effacement sur de nombreux appareils. Si quelqu'un fournit un code, consignez qui l'a fourni et à quel moment.
Source. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Ce que ceci n'est pas. Un examen criminalistique, effectué par des examinateurs qualifiés sur des copies image avec des outils qui laissent l'original inchangé. Cette page porte sur les dix premières minutes, avant que quoi que ce soit de tout cela soit possible.