Les preuves CCTV peuvent-elles être truquées ? Oui — Comment et comment le détecter
Les images vidéosurveillance sont des preuves — et comme toutes preuves, elles peuvent être manipulées. Comprendre vecteurs d'attaque et méthodes vérification est essentiel pour enquêteurs, avocats, et propriétaires systèmes.
Méthodes truquage courantes
| Méthode | Comment ça marche | Détectabilité |
|---|---|---|
| Écrasement / Effacement boucle | Enregistrement continu écrase plus ancien. Fenêtre critique « perdue » si pas exportée. | Vérifiez logs NVR : gap timeline, index manquants. |
| Suppression sélective | Admin supprime fichiers/segments via UI NVR ou système fichiers. | Timestamps système fichiers, analyse MFT/Journal, gaps hash. |
| Suppression frames / Ré-encodage | Retire frames (personne entre), ré-encode pour masquer coupures. | Analyse frames : frames dupliquées, rupture structure GOP, ELA. |
| Manipulation horodatage | Change horloge système pré/post événement ; modifie OSD incrusté. | Logs NTP, enregistrements sync GPS, EXIF vs temps système fichiers. |
| Insertion/Retrait objet (Deepfake) | IA inpainting / generative fill pour ajouter/retirer personnes, plaques. | ELA, incohérence bruit, scintillement temporal, mismatch métadonnées. |
| Repositionnement caméra / Défocalisation | Déplace physiquement caméra, floute objectif, cache IR pendant événement. | Logs PTZ, logs moteur focus, logs statut LED IR. |
| Attaque Clone / Replay | Boucle enregistrée envoyée au NVR au lieu flux live. | Perte heartbeat NVR, mismatch hash flux, logs réseau. |
Protection intégrité (Proactif)
- Watermarking / Chaînage hash : Chaque frame signé (SHA-256) + chainé au précédent. Truquage casse chaîne. (Hikvision, Dahua, Axis supportent).
- Signatures numériques : Caméra signe flux avec certif device (PKI). Vérifiable bout-en-bout.
- Stockage WORM (Write Once Read Many) : S3 Object Lock, NAS immuable, M-DISC optique.
- Anchrage Blockchain : Racine Merkle périodique sur chaîne publique (Factom, Guardtime) — prouve existence à l'instant.
- Matériel inviolable : Boîtiers scellés, TPM 2.0, secure boot, firmware signé.
- Journal chaîne de custody : Qui a accédé, quand, quelle action (export, suppression, modif config).
Vérification forensique (Réactif)
- Acquisition forensique : Image disque write-blocked (FTK Imager, dd, Guymager). Hash (SHA-256) immédiat.
- Analyse système fichiers : $MFT (NTFS), journal (ext4), timestamps, espace slack, carving fichiers supprimés.
- Analyse flux : Conteneur (AVI/MP4/TS), codec, structure GOP, cohérence frames P/B, continuité timestamps.
- Forensique visuelle : ELA (FotoForensics), profilage bruit (PRNU), mapping artefacts compression, cohérence éclairage (ombres, reflets).
- Recoupement métadonnées : Horloge caméra vs serveur NTP vs GPS vs logs NVR vs système fichiers.
Standard légal
US FRE 901/902 : Demandeur doit authentifier — « suffisant pour soutenir conclusion que l'élément est ce que le demandeur prétend. » Log hash + chaîne custody + design intégrité système = généralement suffisant. Deepfake hausse barre — témoignage expert de plus en plus requis.
Ligne de fond
Le truquage est possible mais détectable sur systèmes correctement configurés. Meilleure défense : activez toute fonction intégrité supportée par votre matériel, maintenez logs audit, et traitez les images comme preuves dès la minute une.