Metadados como o assassino do opsec: EXIF, campos de PDF e rastros de documentos que desmascararam identidades reais
Arquivos lembram mais do que seu conteúdo. Uma fotografia carrega o modelo da câmera, um carimbo de tempo e, frequentemente, coordenadas. Um PDF carrega o nome da ferramenta que o produziu e às vezes o da pessoa que o escreveu. Um documento de escritório pode carregar toda uma história de autoria. Isso continua aparecendo em investigações porque as pessoas identificadas por esses rastros presumiam que eles já tinham sumido. O projeto Surveillance Self-Defense da EFF descreve metadados como essencialmente tudo, exceto o conteúdo de uma comunicação, e observa que a polícia em muitos países pode obtê-los mais facilmente do que o próprio conteúdo.
Onde o rastro se esconde
Em fotos, o bloco EXIF pode incluir dados de câmera e lente, configurações de exposição, um carimbo de tempo da captura e, quando os serviços de localização estão ativos, coordenadas GPS precisas até poucos metros. Os telefones as embutem por padrão em muitas configurações, e os aplicativos de câmera variam em quão claramente avisam. Arquivos PDF normalmente registram uma string de produtor, carimbos de tempo e, quando exportados de processadores de texto, um campo de autor que nomeia a pessoa e o aplicativo por trás do documento. Processadores de texto adicionam mais: contadores de revisões, tempo total de edição, nomes de modelos e um campo de última modificação por que se atualiza a cada salvamento. Até mesmo uma captura de tela, que descarta o EXIF da imagem original, volta a embutir seus próprios artefatos: o relógio no canto, títulos de janelas, prévias de notificações, nomes de usuário no enquadramento.Três casos que se decidiram por metadados de arquivos
O exemplo mais bem documentado continua sendo a prisão em 2012 de Higinio O. Ochoa III, suposto membro do ramo do Anonymous chamado CabinCr3w, que postava como AnonW0rmer. Ele tuitou uma foto da namorada segurando uma placa provocadora ao lado de dados policiais roubados, aparentemente acreditando que a imagem não carregava nada identificável. O bloco EXIF da foto ainda tinha coordenadas GPS: segundo o relato da EFF sobre a queixa do FBI, os dados situavam a imagem numa casa em Wantirna South, subúrbio de Melbourne, na Austrália. Os agentes casaram a mulher com as próprias fotos de Facebook de Ochoa e o prenderam em março, como reconta a reconstrução do CSO Online.O problema para quem tenta cobrir seus rastros é que as imagens vêm embutidas com dados que dirão a um investigador onde e quando foram tiradas.Metadados de documentos são decisivos desde bem antes. Em 2005, o assassino BTK — Dennis Rader, que provocara por três décadas a polícia e a mídia de Wichita — respondeu a um anúncio de jornal perguntando se um disquete podia ser rastreado, dizendo que não podia, e depois enviou um à emissora KAKE. O disquete continha arquivos do Word cujos metadados apontavam para um computador da Christ Lutheran Church, onde Rader era presidente do conselho. Os agentes chegaram lá com um mandado e o prenderam em 25 de fevereiro de 2005; ele confessou e cumpre dez penas perpétuas consecutivas. A CBS News noticiou o rastro até a igreja dias após a prisão. O mesmo padrão atravessa a aplicação da lei na darknet. Quando o Wall Street Market caiu em 2019, o comunicado do Departamento de Justiça dos EUA notou que os administradores usavam VPNs para acessar os computadores do mercado, mas uma conexão VPN malsucedida expôs o endereço IP de um administrador, e que um moderador conhecido como Med3l1n foi ligado a uma pessoa real em parte por meio de postagens e fotos antigas em fóruns. São erros de infraestrutura e artefatos, não deslizes de EXIF, mas pertencem à mesma família: rastros que sobrevivem ao pseudônimo. Cobrimos a cadeia completa em nossa matéria sobre como pequenos erros de opsec desmascararam os administradores do Wall Street Market.