I metadati come killer dell'opsec: EXIF, campi PDF e tracce documentali che hanno smascherato identità reali
I file ricordano più del loro contenuto. Una fotografia porta con sé il modello della fotocamera, una marcatura temporale e spesso le coordinate. Un PDF porta il nome dello strumento che l'ha prodotto e a volte quello della persona che l'ha scritto. Un documento per ufficio può portare un'intera storia redazionale. Continua a emergere nelle indagini perché le persone che ha identificato davano per scontato che fosse sparito. Il progetto Surveillance Self-Defense di EFF descrive i metadati come essenzialmente tutto tranne il contenuto di una comunicazione, e osserva che in molti paesi la polizia può ottenerli più facilmente del contenuto stesso.
Dove si nasconde la traccia
Nelle foto, il blocco EXIF può includere dati di fotocamera e obiettivo, impostazioni di esposizione, una marcatura temporale di scatto e, quando i servizi di localizzazione sono attivi, coordinate GPS precise fino a pochi metri. I telefoni le incorporano per impostazione predefinita in molte configurazioni, e le app della fotocamera lo segnalano con chiarezza diversa. I file PDF registrano tipicamente una stringa di produttore, marcature temporali e, quando esportati da elaboratori di testi, un campo autore che nomina la persona e l'applicazione dietro il documento. Gli elaboratori di testi aggiungono altro: contatori di revisioni, tempo totale di modifica, nomi dei modelli e un campo ultimo modificato da che si aggiorna a ogni salvataggio. Perfino uno screenshot, che scarta l'EXIF dell'immagine originale, reincorpora i propri artefatti: l'orologio nell'angolo, i titoli delle finestre, le anteprime delle notifiche, i nomi utente nell'inquadratura.Tre casi decisi dai metadati dei file
L'esempio meglio documentato resta l'arresto nel 2012 di Higinio O. Ochoa III, presunto membro del ramo di Anonymous noto come CabinCr3w, che pubblicava con lo pseudonimo AnonW0rmer. Twittò una foto della fidanzata con un cartello provocatorio accanto a dati rubati alle forze di polizia, apparentemente credendo che l'immagine non contenesse nulla di identificativo. Il blocco EXIF della foto conteneva ancora coordinate GPS: secondo il racconto di EFF sulla denuncia dell'FBI, i dati collocavano l'immagine in una casa a Wantirna South, un sobborgo di Melbourne, in Australia. Gli agenti ricondussero la donna alle stesse foto Facebook di Ochoa e lo arrestarono a marzo, come ricostruisce CSO Online.Il problema per chi cerca di coprire le proprie tracce è che le immagini arrivano con dati incorporati che diranno a un investigatore dove e quando sono state scattate.I metadati dei documenti sono decisivi da molto più tempo. Nel 2005, il killer BTK — Dennis Rader, che per tre decenni aveva sfidato polizia e media di Wichita — rispose a un annuncio sui giornali che chiedeva se un dischetto potesse essere tracciato, dicendo che non poteva, per poi inviarne uno alla televisione KAKE. Il dischetto conteneva file Word i cui metadati puntavano a un computer della Christ Lutheran Church, dove Rader era presidente del consiglio. Gli agenti arrivarono lì con un mandato e lo arrestarono il 25 febbraio 2005; confessò e sconta dieci ergastoli consecutivi. CBS News raccontò la traccia verso la chiesa pochi giorni dopo l'arresto. Lo stesso schema percorre l'applicazione della legge nel darknet. Quando il Wall Street Market cadde nel 2019, il comunicato del Dipartimento di Giustizia USA notava che gli amministratori usavano VPN per accedere ai computer del market, ma che una connessione VPN fallita espose l'indirizzo IP di un amministratore, e che un moderatore noto come Med3l1n fu collegato a una persona reale in parte tramite post e immagini di anni prima. Sono errori di infrastruttura e artefatti, non passi falsi EXIF, ma appartengono alla stessa famiglia: tracce che sopravvivono allo pseudonimo. Abbiamo coperto l'intera catena nel nostro pezzo su come piccoli errori di opsec hanno smascherato gli amministratori del Wall Street Market.