La meilleure preuve que vous puissiez obtenir est d'inspecter la heure du dernier accès des fichiers en question, ou peut-être l'heure du dernier accès du répertoire de niveau supérieur sur le système de fichiers.
Mais d'abord, un peu de contexte. Un lecteur flash USB serait traité par l'ordinateur comme un disque. Le lecteur (ou, plus précisément, la partition principale dans le lecteur) serait formaté comme un système de fichiers. La plupart des supports flash sont formatés avec un système de fichiers VFAT, qui est une solution au plus petit dénominateur commun qui fonctionne avec presque tous les appareils, y compris OS X, Windows, Linux et les appareils photo numériques. Les alternatives suivantes les plus probables à VFAT seraient HFS + (le système de fichiers natif d'OS X, que Windows ne prend pas du tout en charge) ou NTFS (le système de fichiers natif de Windows, pris en charge par toutes les versions de Windows publiées ce siècle, mais qui a juste un support en lecture seule dans OS X, et est rarement pris en charge sur les appareils photo numériques).
Cet arrière-plan est pertinent car différents systèmes de fichiers stockent le dernier temps d'accès différemment. Je vais travailler avec l'hypothèse que votre clé USB est formatée avec VFAT. Ceci est important car les systèmes de fichiers VFAT ne stockent que la date du dernier accès, pas l'heure de la journée. Ce serait la meilleure preuve que vous pourriez espérer recueillir, en supposant que tout le reste se passe bien.
Pour voir les dates de dernier accès dans le Finder,
- Passer à la vue Liste (Afficher → sous forme de liste (⌘2))
- Afficher la boîte de dialogue Options d'affichage (Afficher → Afficher les options d'affichage (⌘J))
- Sélectionnez "Date du dernier Ouvert "
Sinon, au lieu d'utiliser le Finder, vous pouvez utiliser le Terminal pour exécuter
stat -x / Volumes / USB-Stick-Name / Chemin / Vers / Fichier
pour voir le temps d'accès d'un fichier particulier.
Il y a cependant quelques mises en garde importantes!
Premièrement, le fait de brancher le média sur votre Mac entraînera son montage automatique, modifiant ainsi l'heure du dernier accès au répertoire de niveau supérieur (et peut-être détruisant encore plus de preuves que cela). Une analyse médico-légale doit nécessiter des précautions telles que le montage du support en mode lecture seule. Par conséquent, vous devrez supprimer le comportement de montage automatique d'OS X, ce qui n'est pas si simple.
Deuxièmement, votre collègue / espion présumé aurait pu prendre une contre-mesure similaire monter le support en lecture seule, ne laissant ainsi aucun horodatage comme preuve. (Il n'y a pas non plus de garantie que l'ordinateur utilisé par l'espion avait son horloge réglée avec précision, ce qui jetterait le doute sur la validité de tout horodatage.)
La morale de l'histoire est, si vous avez des informations sensibles informations à stocker sur un support amovible, cryptez-les! La solution la plus simple serait d'utiliser FileVault 2. Notez cependant qu'un tel cryptage rendrait la clé USB illisible sur n'importe quelle machine autre qu'un Mac.