Periodistas y fuentes: lo que delata un documento antes de publicarlo
Cuando un documento sale de una organización, lo que se lee en la página es solo una parte. Dentro puede ir el nombre de quien lo escribió, el de su empresa, quién lo tocó después y cuánto tiempo, y en un papel escaneado, marcas que no se ven a simple vista. Para una fuente, eso puede ser la diferencia entre el anonimato y no tenerlo.
Lo que lleva un documento de Office o un PDF
- En un Word, un Excel o un PowerPoint: el autor, quien lo modificó por última vez, la empresa, el número de revisiones, el tiempo total de edición, la plantilla y las fechas. Lo rellena el propio programa con los datos de la cuenta de quien lo usa.
- En un PDF: el autor, el título, el programa con que se creó y el que lo convirtió, las fechas y, a menudo, un bloque XMP que repite todo eso y a veces añade el historial.
- En las imágenes que lleva dentro: una foto pegada en un documento puede conservar sus propios metadatos, con su GPS.
Un caso: el dossier de Irak
En 2003, el Gobierno británico publicó en su web, en formato Word, un informe sobre Irak que después se supo copiado en parte de un trabajo académico. El investigador Richard M. Smith sacó de dentro del archivo su registro de revisiones, invisible en la página, con los nombres de usuario de las personas que lo habían tocado; un periodista los identificó como funcionarios de Downing Street y del Foreign Office. Smith lo publicó el 30 de junio de 2003.
No todo son metadatos: los escaneos
Escanear o fotografiar un papel no quita los rastros: los cambia. Muchas impresoras láser en color añaden a cada página unos puntos amarillos casi invisibles que codifican datos de la impresora y de la impresión.
En 2017, The Intercept publicó un documento del NSA escaneado. Periodistas y expertos en seguridad señalaron después que en la imagen publicada se veían esos puntos. La acusación contra Reality Winner, la analista que lo había filtrado, se apoyó en otras pruebas —quién había impreso el documento, su contacto con el medio y los pliegues del papel—, y la detuvieron dos días antes de que saliera el artículo. Pero el caso dejó una lección: lo que se publica de una fuente puede decir de ella más de lo que parece.
Antes de publicar o de enviar un documento
- Mira qué lleva. Arrastra el Word, el Excel, el PowerPoint o el PDF a KillEXIF: verás el autor, la empresa, las fechas y el resto. El análisis se hace en tu navegador y el documento no sale de tu equipo, que es justo lo que importa con un documento sensible.
- Limpia el archivo, no una copia de pantalla. KillEXIF quita las propiedades del documento sin tocar su contenido, y comprueba después que no queda nada.
- Un tachado no es un tachado. Una caja negra encima de un texto en un PDF puede taparlo solo a la vista: el texto sigue debajo y se puede copiar. Eso no son metadatos, y ninguna herramienta de metadatos lo arregla; hay que quitar el texto de verdad.
- Si es un papel, publícalo transcrito o reproducido, no la imagen del original, y piensa en lo que el propio contenido revela: quién tenía acceso a ese documento concreto.