Xornalistas e fontes: o que delata un documento antes de publicalo

Cando un documento sae dunha organización, o que se le na páxina é só unha parte. Dentro pode ir o nome de quen o escribiu, o da súa empresa, quen o tocou despois e durante canto tempo, e nun papel escaneado, marcas que non se ven a simple vista. Para unha fonte, iso pode ser a diferenza entre o anonimato e non telo.

O que leva un documento de Office ou un PDF

Nun Word, un Excel ou un PowerPoint: o autor, quen o modificou por última vez, a empresa, o número de revisións, o tempo total de edición, o modelo de documento e as datas. Éncheo o propio programa cos datos da conta de quen o usa.
Nun PDF: o autor, o título, o programa co que se creou e o que o converteu, as datas e, a miúdo, un bloque XMP que repite todo iso e ás veces engade o historial.
Nas imaxes que leva dentro: unha foto pegada nun documento pode conservar os seus propios metadatos, co seu GPS.

Un caso: o dossier de Iraq

En 2003, o Goberno británico publicou na súa web, en formato Word, un informe sobre Iraq que despois se soubo copiado en parte dun traballo académico. O investigador Richard M. Smith sacou de dentro do ficheiro o seu rexistro de revisións, invisible na páxina, cos nomes de usuario das persoas que o tocaran; un xornalista identificounos como funcionarios de Downing Street e do Foreign Office. Smith publicouno o 30 de xuño de 2003.

Non todo son metadatos: os escaneos

Escanear ou fotografar un papel non quita os rastros: cámbiaos. Moitas impresoras láser en cor engaden a cada páxina uns puntos amarelos case invisibles que codifican datos da impresora e da impresión.

En 2017, The Intercept publicou un documento da NSA escaneado. Xornalistas e expertos en seguridade sinalaron despois que na imaxe publicada se vían eses puntos. A acusación contra Reality Winner, a analista que o filtrara, apoiouse noutras probas —quen imprimira o documento, o seu contacto co medio e os pregues do papel—, e detivérona dous días antes de que saíse o artigo. Pero o caso deixou unha lección: o que se publica dunha fonte pode dicir dela máis do que parece.

Antes de publicar ou de enviar un documento

Mira que leva. Arrastra o Word, o Excel, o PowerPoint ou o PDF a KillEXIF: verás o autor, a empresa, as datas e o resto. A análise faise no teu navegador e o documento non sae do teu equipo, que é xusto o que importa cun documento sensible.
Limpa o ficheiro, non unha captura de pantalla. KillEXIF quita as propiedades do documento sen tocar o seu contido, e comproba despois que non queda nada.
Tapar un texto non é borralo. Unha caixa negra enriba dun texto nun PDF pode tapalo só á vista: o texto segue debaixo e pódese copiar. Iso non son metadatos, e ningunha ferramenta de metadatos o arranxa; hai que quitar o texto de verdade.
Se é un papel, publícao transcrito ou reproducido, non a imaxe do orixinal, e pensa no que revela o propio contido: quen tiña acceso a ese documento concreto.