Le Nederlands Forensisch Instituut (NFI) est parvenu à accéder au contenu d’un Google Pixel appartenant à l’une des personnes mises en cause dans une affaire de triple homicide à Oosterhout, aux Pays-Bas. Des images d’armes, des liasses de billets, et surtout des conversations désormais lisibles. Le parquet espère que les deux autres Google Pixel saisis seront déverrouillés.
Des résultats, aucun détail technique
L’annonce a été faite jeudi 20 août 2026 par un magistrat du parquet néerlandais, lors d’une cinquième audience préliminaire au tribunal de Schiphol. Le Nederlands Forensisch Instituut (NFI) est parvenu à déverrouiller le smartphone d’un suspect : un Google Pixel. L’affaire est sérieuse, car il s’agit de l’appareil de l’une des trois personnes poursuivies dans une affaire de triple homicide survenue à Oosterhout. Les faits remontent au 28 mars 2025 et sont présentés plus en détail dans l’article d’Omroep Brabant, le média régional présent sur place.
Le contenu, décrit à l’audience par le magistrat : “De très nombreuses images d’armes et de liasses de billets ont été retrouvées sur son téléphone. Il y a aussi de très nombreuses conversations qui peuvent désormais être lues.” – Par la suite, les deux autres Google Pixels devraient être déverrouillés.
Là où c’est frustrant, c’est qu’il n’y a pas de détails techniques. Nous ne connaissons pas :
Le modèle exact. Les générations de Pixel ne se valent pas face aux différents outils d’extraction de données.
La version d’Android et son niveau de mise à jour au moment de la saisie. Il pourrait même s’agir de modèles équipés de GrapheneOS, même si j’y crois moins.
L’état de l’appareil lorsqu’il est tombé entre les mains des enquêteurs (on en parlera après).
Rien ne permet donc de dire si le NFI a exploité une faille ou contourné l’authentification de l’appareil. D’un côté, c’est normal : détailler une méthode d’accès mâche le travail pour ceux qui voudraient s’en prémunir.
Le NFI connaissait bien les Google Pixel
L’institut, rattaché au ministère néerlandais de la Justice et de la Sécurité, est un habitué de cet exercice. En effet, le NFI a notamment participé à EXFILES, un projet européen financé dans le cadre d’Horizon 2020, qui réunissait services d’enquête et entreprises privées autour de l’accès aux téléphones chiffrés.
Dans une publication où elle dressait son bilan du projet, le NFI indiquait qu’EXFILES avait contribué à donner accès à des centaines d’appareils, principalement dans des enquêtes sur la criminalité organisée. Et puis, le NFI ne travaille pas sur n’importe quels smartphones : les modèles sont soigneusement sélectionnés, notamment en fonction des tendances dans le milieu criminel.
BFU ou AFU : l’état de l’appareil est déterminant
En analyse forensique mobile, il y a une variable déterminante, c’est l’état de l’appareil au moment de la saisie. Il y a deux états principaux :
BFU (Before First Unlock) : l’appareil n’a pas été déverrouillé depuis son dernier démarrage. Les clés de chiffrement ne sont pas chargées en mémoire, la biométrie est inactive, et l’essentiel des données utilisateur reste inaccessible.
AFU (After First Unlock) : l’appareil a été déverrouillé au moins une fois depuis le démarrage. Une partie des clés réside en RAM, ce qui ouvre la porte à des techniques d’extraction que l’état BFU empêche.
En pratique, un téléphone saisi ou volé se trouve presque toujours en AFU : l’écran est verrouillé, mais les clés sont en mémoire. Si un appareil reste verrouillé trop longtemps tout en étant inactif, sachez qu’il est possible que le smartphone redémarre de lui-même. Il s’agit d’une nouveauté que Google avait commencé à mentionner dès avril 2025 (version 25.14 des services Google Play). L’idée : redémarrer automatiquement le smartphone après 72 heures consécutives de verrouillage, si l’appareil reste inactif. Il est à noter que l’utilisateur ne peut pas modifier ce délai. Une protection déjà proposée par GrapheneOS, avec un déclenchement au bout de 18 heures.
En regardant sur mon smartphone Samsung Galaxy, j’ai pu constater la présence de cette option : Paramètres > Sécurité et confidentialité > Autres paramètres de sécurité > Redémarrage après inactivité.
Concernant la résistance des Google Pixel, il est difficile de tirer des conclusions sans savoir exactement quels sont les modèles utilisés par les personnes inculpées. En octobre 2025, un utilisateur surnommé rogueFed a diffusé sur le forum de GrapheneOS des captures d’une matrice de support interne de Cellebrite, obtenues en s’invitant dans une réunion privée (pour autant Cellebrite n’a jamais authentifié ces documents).
D’après 404 Media, les outils de l’éditeur israélien seraient capables d’extraire des données des Pixel 6 à 9 sous firmware Google d’origine dans les trois états (BFU, AFU et déverrouillé). À l’inverse, les mêmes appareils sous GrapheneOS résisteraient à partir des versions de fin 2022.
Même si cela ne prouve rien à propos de ce dossier, cela montre que certaines organisations ont les moyens de faire sauter les verrous…
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.