Giornalisti e fonti: che cosa tradisce un documento prima di pubblicarlo
Quando un documento esce da un'organizzazione, quello che si legge sulla pagina è solo una parte. Dentro può esserci il nome di chi l'ha scritto, quello della sua azienda, chi ci ha messo mano dopo e per quanto tempo, e in un foglio scansionato, segni che a occhio nudo non si vedono. Per una fonte, questo può fare la differenza tra l'anonimato e il non averlo.
Che cosa contiene un documento di Office o un PDF
- In un Word, un Excel o un PowerPoint: l'autore, chi l'ha modificato per ultimo, l'azienda, il numero di revisioni, il tempo totale di modifica, il modello e le date. Li compila il programma stesso con i dati dell'account di chi lo usa.
- In un PDF: l'autore, il titolo, il programma con cui è stato creato e quello che l'ha convertito, le date e, spesso, un blocco XMP che ripete tutto questo e a volte aggiunge la cronologia.
- Nelle immagini che contiene: una foto incollata in un documento può conservare i propri metadati, con il suo GPS.
Un caso: il dossier sull'Iraq
Nel 2003 il governo britannico pubblicò sul suo sito, in formato Word, un rapporto sull'Iraq che poi si scoprì copiato in parte da un lavoro accademico. Il ricercatore Richard M. Smith estrasse dal file il suo registro delle revisioni, invisibile sulla pagina, con i nomi utente delle persone che ci avevano lavorato; un giornalista li identificò come funzionari di Downing Street e del Foreign Office. Smith lo pubblicò il 30 giugno 2003.
Non sono solo metadati: le scansioni
Scansionare o fotografare un foglio non elimina le tracce: le cambia. Molte stampanti laser a colori aggiungono a ogni pagina dei puntini gialli quasi invisibili che codificano dati della stampante e della stampa.
Nel 2017 The Intercept pubblicò un documento della NSA scansionato. Giornalisti ed esperti di sicurezza fecero notare poi che nell'immagine pubblicata si vedevano quei puntini. L'accusa contro Reality Winner, l'analista che l'aveva fatto trapelare, si basò su altre prove —chi aveva stampato il documento, il suo contatto con la testata e le pieghe del foglio—, e fu arrestata due giorni prima che uscisse l'articolo. Ma il caso lasciò una lezione: quello che si pubblica di una fonte può dire di lei più di quanto sembri.
Prima di pubblicare o di inviare un documento
- Guarda che cosa contiene. Trascina il Word, l'Excel, il PowerPoint o il PDF su KillEXIF: vedrai l'autore, l'azienda, le date e il resto. L'analisi si fa nel tuo browser e il documento non esce dal tuo computer, che è proprio quello che conta con un documento sensibile.
- Pulisci il file, non uno screenshot. KillEXIF toglie le proprietà del documento senza toccarne il contenuto, e verifica poi che non resti nulla.
- Un annerimento non è un annerimento. Un riquadro nero sopra un testo in un PDF può coprirlo solo alla vista: il testo resta sotto e si può copiare. Questi non sono metadati, e nessuno strumento per i metadati lo risolve; bisogna togliere il testo davvero.
- Se è un foglio, pubblicalo trascritto o riprodotto, non l'immagine dell'originale, e pensa a quello che rivela il contenuto stesso: chi aveva accesso a quel documento specifico.