Un PDF n'est pas une image figée : c'est un format documenté, qui conserve beaucoup plus d'informations sur son propre passé que ce que la page affiche. Voici ce qu'il garde, et ce qu'on peut en déduire.
Quand un logiciel enregistre une modification, il peut réécrire tout le fichier, ou bien ajouter les objets modifiés à la fin en laissant intact ce qui précède. Le second mode — la mise à jour incrémentale — est le mode par défaut de plusieurs éditeurs, et c'est une aubaine pour l'analyse : chaque révision est un instantané conservé.
Un fichier à trois révisions a donc été enregistré trois fois. On peut le tronquer à la fin de la première pour obtenir l'état d'origine, puis comparer.
Supprimer un élément dans un éditeur PDF le retire de l'affichage, pas nécessairement du fichier. L'objet devient orphelin : plus référencé, toujours présent. Retrouver dans les octets un ancien montant, une ancienne adresse ou un logo qui n'apparaît plus est un indice fort.
Un PDF peut porter ses métadonnées à deux endroits : le dictionnaire Info, historique, et un flux XMP en XML. Beaucoup d'outils mettent à jour l'un et oublient l'autre.
Une divergence entre les deux — dates différentes, producteurs différents — révèle un traitement par un outil qui n'a pas nettoyé derrière lui. XMP conserve parfois un DocumentID et un historique de versions plus bavards que le champ Producer.
Les champs de métadonnées sont du texte libre : n'importe qui peut écrire le producteur de son choix. Un fraudeur averti remet la bonne valeur après modification.
C'est pourquoi les indices structurels comptent davantage : l'ordre des objets, le style de compression, la façon dont la table de références croisées est écrite. Ces détails-là sont produits par le code de la bibliothèque qui a écrit le fichier, et un fraudeur ne les reproduit pas en changeant une chaîne de caractères. Un fichier qui annonce un producteur mais dont la structure correspond à un autre est un cas intéressant.
Il faut le dire clairement : la plupart des PDF modifiés le sont pour des raisons parfaitement banales — compression avant envoi, ajout d'une signature, fusion de plusieurs documents, aplatissement d'un formulaire, passage par un outil d'archivage.
Détecter une modification ne fait donc que déplacer la question : qu'est-ce qui a été modifié, et est-ce que cela porte sur une donnée qui compte ? C'est la conjonction de plusieurs signaux sur la même zone du document qui fait un dossier, pas un signal isolé.
Montant retouché, date modifiée, IBAN remplacé : les indices techniques qui trahissent une facture falsifiée dans un PDF, et comment les contrôler.
Facture d'énergie, de téléphonie ou d'accès Internet fournie en justificatif de domicile : les contrôles techniques qui révèlent un document retouché.
Le code 2D-Doc des avis d'imposition, bulletins de salaire et attestations : ce qu'il contient, ce qu'il prouve, et pourquoi il change la donne.
Faux bulletins de salaire dans les dossiers de location ou de crédit : logiciel de paie, calculs, code 2D-Doc — les contrôles qui révèlent une fiche retouchée.
La fraude au faux RIB détourne les virements vers le compte de l'escroc. Clé IBAN, cohérence bancaire, traces de retouche : comment vérifier un RIB reçu par e-mail.
Un fournisseur annonce de nouvelles coordonnées bancaires ? Le scénario de la fraude, les signaux d'alerte dans le message et le RIB, et la procédure à suivre avant de payer.
Confronter un Kbis au registre (SIREN, dirigeants, siège, état de la société), repérer les indices d'un faux dans le PDF, et savoir ce qu'un Kbis authentique ne prouve pas.
Propriétaire ou agence : vérifier l'avis d'imposition d'un candidat avec le service officiel des impôts (SVAIR), le code 2D-Doc signé et les autres pièces du dossier.
Vérifier l'attestation de vigilance d'un sous-traitant : code de sécurité à 15 caractères sur urssaf.fr, validité de six mois, et ce que la loi impose au donneur d'ordre.
Analyser un document gratuitement