En el ámbito de la ciberseguridad y la informática forense, los metadatos juegan un papel crucial en la validación de la autenticidad de documentos, imágenes, vídeos y otros archivos digitales. Sin embargo, la manipulación o eliminación de metadatos con el fin de ocultar información es una práctica común en ataques de ingeniería social, falsificación de documentos y evasión de auditorías digitales.
A raíz de las dudas de algunos alumnos y de las generadas en comentarios sobre el artículo de peritaje de fotografías sobre concursos, en este artículo vamos a repasar los métodos para detectar metadatos falsificados o eliminados y destacar por qué la eliminación completa de metadatos no siempre es factible.
La importancia de los metadatos en la integridad digital
Los metadatos son descripciones estructuradas dentro de un archivo digital que proporcionan información sobre su creación, modificación, formato y uso. Se pueden clasificar en diferentes categorías:
Metadatos técnicos
- Fecha y hora de creación/modificación
- Software y versión utilizada
- Formato y estructura del archivo
- Parámetros de compresión (en imágenes y vídeos)
Metadatos de autenticación
- Autor y organización
- Propietario del documento
- Certificados digitales asociados
Metadatos de contenido
- Títulos, etiquetas y descripciones
- Palabras clave
- Información de geolocalización (en imágenes y vídeos)
En análisis forenses, estos metadatos son fundamentales para la trazabilidad y la validación de la autenticidad de un archivo.
Eliminación y falsificación de metadatos
Existen múltiples herramientas para modificar o eliminar metadatos, como ExifTool, MAT (Metadata Anonymisation Toolkit) y Adobe Acrobat Pro (para PDFs). Pero no lo hacen al 100% como cree mucha gente, estas manipulaciones pueden dejar rastros que permiten detectar alteraciones.
Eliminación de metadatos
El borrado de metadatos no siempre es total. Algunos formatos de archivo contienen múltiples capas de metadatos distribuidos en diferentes secciones. Por ejemplo:
- En imágenes JPEG, la información EXIF puede eliminarse, pero pueden quedar rastros en los segmentos APP1 y APP2.
- En archivos PDF, los metadatos pueden eliminarse de las propiedades del documento, pero aún pueden persistir dentro de objetos incrustados.
- Los archivos de Microsoft Office mantienen un historial de cambios incluso después de borrar los metadatos visibles.
Falsificación de metadatos
Modificar los metadatos para aparentar una fecha de creación distinta o una autoría falsa es posible, pero suele generar inconsistencias detectables mediante análisis comparativos:
- Incompatibilidad entre fechas: Un documento que afirma haber sido creado en 2018 pero usa una versión de software lanzada en 2020 es inconsistente.
- Discordancias en la firma digital: Si un archivo está firmado digitalmente, cualquier alteración en su contenido o metadatos invalidará la firma.
- Disparidad en los hashes: Si se sospecha que un archivo ha sido alterado, comparar su hash con una copia original puede evidenciar modificaciones.
Métodos forenses para detectar manipulación de metadatos
Los especialistas en análisis forense digital empleamos diversas técnicas para identificar archivos con metadatos falsificados o eliminados como, por ejemplo:
Análisis de consistencia de timestamps
Cada sistema de archivos gestiona múltiples marcas de tiempo que pueden compararse para detectar inconsistencias:
- MAC times (Modified, Accessed, Created) en NTFS y EXT4 pueden mostrar discrepancias con los metadatos internos del archivo.
- Si un archivo tiene una fecha de creación posterior a su fecha de modificación, podría haber sido alterado manualmente.
- Comparar timestamps en diferentes niveles del sistema (metadatos del archivo vs. registros en logs del sistema) puede revelar modificaciones sospechosas.
Evaluación de la integridad de la estructura del archivo
Cada tipo de archivo tiene una estructura específica definida en su estándar. Las herramientas forenses pueden identificar alteraciones en esta estructura:
- ExifTool puede mostrar datos eliminados parcialmente en imágenes o documentos.
- PDFStreamDumper permite analizar objetos ocultos en archivos PDF que pueden contener metadatos residuales.
- Binwalk analiza archivos binarios en busca de cabeceras inconsistentes que podrían indicar manipulación.
Análisis de firmas digitales y hashes
- Los archivos firmados digitalmente pueden ser verificados para detectar cambios en los metadatos.
- Comparar el hash de un archivo con una versión conocida permite determinar si ha sido modificado.
Examen de versiones previas y caché del sistema
Incluso si los metadatos han sido eliminados, pueden quedar rastros en:
- Versiones previas de archivos en sistemas de almacenamiento en la nube (Google Drive, OneDrive, Dropbox).
- Registros del sistema en Windows y macOS, como la caché de metadatos de archivos recientes.
- Metadatos en bases de datos de control de versiones, como Git o sistemas de gestión documental.
Análisis de registros del sistema y metadatos de almacenamiento
Los sistemas de archivos modernos registran detalles adicionales sobre la manipulación de archivos:
- NTFS mantiene metadatos en MFT (Master File Table), lo que permite recuperar información sobre versiones previas de archivos.
- EXT4 en Linux almacena journaling que puede revelar metadatos previos de archivos modificados o eliminados.
Hay otras técnicas muy fiables, pero como buena cocinera no voy a revelar todos los ingredientes de la receta 😉.
La manipulación de metadatos no es tan sencilla
Si bien es posible modificar o eliminar metadatos, un análisis forense bien ejecutado puede detectar inconsistencias y recuperar información oculta. La trazabilidad digital de un archivo no depende únicamente de sus metadatos, sino de una combinación de factores que incluyen:
- Timestamps del sistema de archivos
- Estructura interna del formato del archivo
- Firmas digitales y registros de almacenamiento
- Metadatos residuales en caché y versiones previas
Por ello, en investigaciones forenses, auditorías de seguridad y peritajes digitales, la verificación de la autenticidad de archivos va más allá de una simple inspección de metadatos.
Además, con la inclusión de técnicas de IA dentro de estas técnicas, el análisis forense digital sigue evolucionando para enfrentar los desafíos de manipulación de archivos y garantizar la integridad de la información en entornos digitales.
¿Te interesaría saber más sobre el tema? Explícamelo en un comentario y quizás da para un segundo artículo.