Je ne connais pas du tout MacOS. Par métadonnées j'entends les données stockées dans le contenu du PDF lui-même, par opposition aux données stockées par le filesystem dans l'inode du fichier. Ce que tu vois quand tu demandes les propriété du fichier dans un lecteur de PDF. Ce que tu vois aussi avec des outils comme exiftool. Chaque outil enregistre (ou pas) des métadonnées différentes, donc il est possible que ça permette de distinguer le PDF original (généré par le client mail) des PDF modifiés (générés par un outil d'édition).

Par métadonnées, veux-tu dire la date de création, de modification quand tu fais "click droit puis propriétés" ? Si oui, elles ont été vérifiées et sont toutes identiques.

Il n'a pas trouvé de traces d'un logiciel qui aurait pu servir à éditer le PDF. J'imagine que l'ado l'a surement désinstallé proprement ou a fait le coup en utilisant une clé usb (modifications sur son pc --> puis transfer via clé usb sur le pc du père). Impossible à dire...

Mon proche utilise un MacBook, je sais pas si c'est important à spécifier ?

Edit: Il n'utilise pas de Cloud en ligne

Est-ce que tu as regardé du côté des métadonnées du PDF ? Notamment le "Producer" (le logiciel qui l'a créé) et les dates (tu n'indique pas si tu as regardé les dates au niveau du filesystem ou des métadonnées), mais aussi tout le reste.

Edit : autre idée : si le ou les fichiers sont aussi dans le cloud (genre OneDrive), il est possible qu'un historique soit enregistré. Essais d'y accéder via le site web du cloud (genre https://onedrive.live.com/) et regarde si plusieurs versions du fichier sont disponibles (via "Historique des versions" sur OneDrive)

Voici, l'explication. J'ai décidé d'utiliser un format simple à lire au lieu d'écrire un pavé (en espérant que ce soit compréhensible) :

1. Mon proche a besoin du mail de Bienvenue orange qui date de 2018 pour prouver quelque chose (voici la partie personnelle que je ne peux pas détailler, désolée). Il l'avait exporté au format PDF (via un client de messagerie) mais l'a supprimé de sa boîte mail il y a longtemps (donc impossible de récupérer le mail sur le web et le client de messagerie).
2. Le mail de bienvenue était donc sur son pc au format PDF dans un dossier de documents importants. Il l'a toujours...
3. Sauf que voilà où commence le problème.
4. Par vengeance, son ado a décidé de faire plusieurs copies du "PDF du mail d'origine" et de modifier les copies PDF. Il y a une dizaine de copies dont il a modifié les intitulés. Il a aussi modifié d'autres PDF de mails (pas Orange) mais n'en ayant pas l'utilité pour le moment, pas de soucis...
5. Après plusieurs discussions, l'ado a avoué qu'il n'avait pas touché au mail d'origine mais fait plusieurs copies du PDF histoire "d'embrouiller"
6. Les modifications ne sont mêmes pas des trucs bidons mais des trucs convaincants (style "Orange"), donc impossible de deviner quel est le mail d'origine.
7. Bonne nouvelle que le mail d'origine soit intact mais c'est lequel parmi les 10 ?!
8. J'ai essayé d'aider mon proche en lui dictant mon mail de bienvenue mais certains éléments étaient différents de ceux dans les 10 mails (ça correspondait à aucun). On s'est rendu compte que l'ado avait juste modifié les premières parties du mail car mon proche a le reste du mail qui est identique au mien.
9. N'ayant pas rejoint Orange en 2018, je n'ai donc pas les intitulés/éléments qui correspondent à ceux parmis les 10 mails.
10. Ayant été cliente Orange plusieurs fois par le passé (avant que la fibre soit disponible dans ma rue), je sais que les mails de bienvenue diffèrent selon les années.
11. J'ai eu l'idée de lui demander de vérifier la date de création et modification de toutes les copies PDF. (edit: ça a la même date que l'original quand on regarde les propriétés)
12. Figurez-vous que l'ado n'a pas tout fait à moitié. Il a aussi modifié la date de création et de modification, donc les dates sont toutes identiques. Pitié...
13. Impossible de trouver le PDF du mail d'origine non modifié.
14. La seule solution est de comparer tous les mails de Bienvenue avec celui d'une personne qui a encore son mail de Bienvenue de 2018.
15. Il a vraiment besoin de mettre la main sur le PDF du mail d'origine.
16. Je lui ai demandé pourquoi il ne pouvait juste pas donner une copie au hasard, mais il a dit qu'ils avaient moyens de comparer à des personnes qui ont ce mail depuis 2018 (histoire de vérifier que ce soit pas un faux).
17. Il a expliqué ce qu'a fait son fils et demandé s'il n'y avait pas un autre moyen, et on lui a concrètement dit "non". Il a aussi proposé de fournir tous les PDF, mais toujours non.
18. Sans le mail d'origine, mon proche est cuit.
19. En réalité on ne sais même pas si c'est le PDF du mail d'origine ou une des copies modifiées par l'ado: "Orange votre service clients Bienvenue dans le Mail Orange. Corps du message : Le Mail Orange
Bonjour,
...
Le service clients Orange"
20. Du coup là, son PDF du mail de bienvenue (l'original) est noyé parmi des PDF édités.
21. On a comparé toutes les copies et aucune ne correspond à l'autre. Y a même pas un élément en commun... Et vu que les copies sont très réalistes, c'est impossible de retrouver l'original...


Comme vous devez vous en doûter, l'ado a fait tout cela pendant son absence. Et quant au mot de passe, c'était sa date de naissance (comme la grande majorité des utilisateurs qui utilisent un pc)...


Sur le tout premier forum où j'avais posté (j'en suis à mon troisième), personne n'avait compris. C'était formulé différemment mais l'histoire est-elle si incompréhensible ? 

Merci par avance pour votre aide ! Et n'hésitez pas à le dire si jamais vous n'avez rien compris.

https://frenchbreaches.com/alertes/sfr-mrp254s7k2z2s62yzqf

Dans cette fuite on constate qu'il y a quand même beaucoup plus de données que dans l'immense majorité des autres fuites, qui ne contiennent souvent que les informations de base (nom, email, numéro de téléphone...). Ici on a énormément d'informations techniques potentiellement exploitables par des gens compétents.