Los metadatos como asesino del opsec: EXIF, campos PDF y rastros de documentos que desenmascararon identidades reales
Los archivos recuerdan más que su contenido. Una fotografía lleva el modelo de cámara, una marca de tiempo y, a menudo, coordenadas. Un PDF lleva el nombre de la herramienta que lo produjo y a veces el de la persona que lo escribió. Un documento ofimático puede llevar toda una historia de autoría. Que esto siga apareciendo en investigaciones se debe a que las personas que identificó asumían que ya no estaba. El proyecto Surveillance Self-Defense de EFF describe los metadatos como esencialmente todo excepto el contenido de una comunicación, y señala que la policía en muchos países puede obtenerlos más fácilmente que el propio contenido.
Dónde se esconde el rastro
En las fotos, el bloque EXIF puede incluir datos de cámara y objetivo, ajustes de exposición, una marca de tiempo de captura y, cuando los servicios de ubicación están activados, coordenadas GPS precisas hasta unos pocos metros. Los teléfonos las incrustan por defecto en muchas configuraciones, y las apps de cámara difieren en lo claro que lo indican. Los archivos PDF suelen registrar una cadena de productor, marcas de tiempo y, cuando se exportan desde procesadores de texto, un campo de autor que nombra a la persona y la aplicación tras el documento. Los procesadores de texto añaden más: contadores de revisiones, tiempo total de edición, nombres de plantillas y un campo de modificado por última vez por que se actualiza en cada guardado. Incluso una captura de pantalla, que descarta el EXIF de la imagen original, vuelve a incrustar sus propios artefactos: el reloj de la esquina, los títulos de las ventanas, las vistas previas de notificaciones, los nombres de usuario en el encuadre.Tres casos que dependieron de los metadatos de archivos
El ejemplo mejor documentado sigue siendo el arresto en 2012 de Higinio O. Ochoa III, presunto miembro del ramificado de Anonymous CabinCr3w que publicaba con el apodo AnonW0rmer. Tuiteó una foto de su novia con un cartel provocador junto a datos policiales robados, aparentemente creyendo que la imagen no llevaba nada identificativo. El bloque EXIF de la foto seguía teniendo coordenadas GPS: según el relato de EFF sobre la denuncia del FBI, los datos situaban la imagen en una casa de Wantirna South, un suburbio de Melbourne, Australia. Los agentes emparejaron a la mujer con las propias fotos de Facebook de Ochoa y lo arrestaron en marzo, como relata la reconstrucción de CSO Online.El problema para alguien que intenta cubrir sus rastros es que las imágenes están incrustadas con datos que le dirán a un investigador dónde y cuándo fueron tomadas.Los metadatos de documentos han sido decisivos desde mucho antes. En 2005, el asesino BTK —Dennis Rader, que había burlado a la policía y los medios de Wichita durante tres décadas— respondió a un anuncio de periódico que preguntaba si un disquete podía rastrearse, diciendo que no podía, y luego envió uno a la televisora KAKE. El disquete contenía archivos de Word cuyos metadatos incrustados apuntaban a un ordenador de la Christ Lutheran Church, donde Rader era presidente del consejo. Los agentes llegaron allí con una orden y lo arrestaron el 25 de febrero de 2005; confesó y cumple diez cadenas perpetuas consecutivas. CBS News informó del rastro hacia la iglesia a los pocos días del arresto. El mismo patrón recorre la aplicación de la ley en la darknet. Cuando Wall Street Market cayó en 2019, el comunicado del Departamento de Justicia de EE. UU. señaló que los administradores usaban VPN para acceder a los ordenadores del mercado, pero que una conexión VPN fallida expuso la dirección IP de un administrador, y que un moderador conocido como Med3l1n fue vinculado a una persona real en parte mediante publicaciones y fotos de foros de años anteriores. Esos son errores de infraestructura y artefactos, no deslices de EXIF, pero pertenecen a la misma familia: rastros que sobreviven al seudónimo. Cubrimos la cadena completa en nuestra pieza sobre cómo pequeños errores de opsec desenmascararon a los administradores de Wall Street Market.