Metadatos en archivos: el error que expone tu privacidad

Metadatos en archivos: el error que expone tu privacidad

Esa percepción es un error de cálculo que puede salir caro: un análisis sobre 39.664 archivos PDF públicos, procedentes de 75 agencias de seguridad en 45 países, concluyó que el 65 % de los documentos que habían pasado por herramientas de limpieza seguían filtrando información confidencial. El PDF no es una caja fuerte: es un contenedor con etiquetas, y esas etiquetas —los metadatos— viajan con el archivo a donde quiera que vaya.

Un PDF puede contener metadatos o capas no visibles en el visor estándar, que conviene inspeccionar y limpiar. No todos los archivos incluyen la misma información ni todos los visores la muestran de la misma manera. Precisamente por eso, confiar únicamente en lo que aparece en pantalla es una mala práctica de seguridad.

Un PDF «limpio» no es un PDF seguro: es un PDF del que todavía no has leído la etiqueta.

El mito de la seguridad estática: por qué el PDF no es un formato cerrado

El formato PDF nació como un estándar de presentación visual, no como un protocolo de confidencialidad. Su promesa original era sencilla: garantizar que un documento se viera igual en cualquier sistema operativo y dispositivo. Para lograrlo, el archivo puede incorporar campos descriptivos —autoría, fechas de creación y modificación, software empleado, rutas internas, comentarios, versiones previas, plantillas y campos personalizados— que sobreviven a la exportación y al reenvío.

La palabra clave es «puede». Un PDF no contiene necesariamente todos esos elementos, y su presencia depende del programa que lo creó, de la configuración utilizada y de las operaciones realizadas antes de compartirlo. Algunos archivos solo conservan un título y una fecha; otros arrastran información de un documento de Word, una plantilla institucional o una cadena de revisiones. El riesgo aparece cuando se trata como equivalente lo que se ve y lo que el archivo contiene.

Cuando recibes un PDF, lo que ves en pantalla es la capa de presentación. Un PDF puede contener metadatos o capas no visibles en el visor estándar, que conviene inspeccionar y limpiar. Esa información adicional puede describir quién creó el archivo, con qué programa, cuándo se modificó o qué elementos se incorporaron durante la conversión. En otros casos, puede incluir texto reconocido por OCR, anotaciones, formularios, capas gráficas o enlaces que no resultan evidentes a simple vista.

La arquitectura responde a necesidades legítimas de auditoría, accesibilidad y trazabilidad documental. Una institución puede necesitar saber cuándo se generó un informe, qué versión está vigente o quién debe aprobarlo. El problema surge cuando el archivo cruza el umbral de la organización sin distinguir entre la información necesaria para el trabajo interno y la que puede exponer a personas, equipos o fuentes.

Tres grupos de campos concentran buena parte del riesgo:

• Metadatos de autoría y software: nombre del autor, organización, versión de Microsoft Word o LibreOffice, sistema operativo y plantilla institucional.
• Metadatos de producción: fecha de creación, fecha de última modificación y, en algunos casos, la ruta original del archivo, que puede incluir nombres de usuario, proyectos internos o clasificaciones de confidencialidad.
• Metadatos de proceso: comentarios, marcas de revisión, campos personalizados, información de formularios, capas OCR y otros restos de la edición.

En equipos nicaragüenses de periodismo independiente, defensoría y organizaciones cívicas que comparten documentos con aliados internacionales, esta última categoría merece especial cuidado. Un archivo puede revelar el nombre de una persona colaboradora, el programa utilizado para redactar el informe o la estructura de carpetas de un equipo sin que ninguna de esas referencias aparezca en el texto publicado.

El riesgo no se limita a quienes manejan información política o judicial. También afecta a una asociación que remite una lista de beneficiarios, a una clínica que digitaliza expedientes, a un medio que envía una investigación para revisión o a un equipo comunitario que comparte un formulario con datos de contacto. La privacidad de los datos en PDF depende tanto del contenido visible como de todo lo que el archivo conserva alrededor de ese contenido.

Historial de filtraciones: cuando los metadatos cambiaron el curso de la historia

Los metadatos no son una amenaza teórica. Llevan dos décadas dejando rastro en investigaciones académicas, informes diplomáticos y operaciones policiales. Los casos conocidos tienen un valor práctico porque muestran que no existe una única forma de fuga: a veces aparece una identidad; otras, una revisión eliminada, una ruta de archivo o una anotación que debía haber desaparecido.

Caso Merck (2000). La farmacéutica Merck envió al The New England Journal of Medicine un artículo sobre su fármaco Vioxx. Los metadatos del archivo fueron examinados en el contexto de la controversia sobre los datos y las revisiones del documento. El caso terminó formando parte de una disputa legal que dio lugar a miles de demandas contra la compañía. La lección no es que un campo de autoría contenga por sí solo toda la historia, sino que las propiedades y versiones de un archivo pueden aportar indicios sobre lo que se modificó, se retiró o se discutió durante su elaboración.

Informe sobre Irak (2003). Un documento del Gobierno británico contenía en sus propiedades el nombre de uno de sus autores, lo que permitió identificar a una persona vinculada al proceso de preparación. La lección es directa: sustituir un nombre por un cargo genérico en el texto visible no basta si la ficha técnica mantiene la identidad.

Informe de la ONU sobre Hariri (2005). El informe de la investigación sobre el asesinato del ex primer ministro libanés Rafik Hariri sustituyó los nombres de los sospechosos por cargos genéricos en el texto visible, pero los metadatos conservaron nombres reales. La lección vuelve a ser la misma: la anonimización del cuerpo del documento puede quedar anulada por una propiedad que nadie revisó.

Operación de la Policía Federal Australiana (2014). La AFP publicó documentos en línea que filtraron en sus metadatos el nombre, la dirección y detalles relacionados con la interceptación telefónica de un sujeto bajo vigilancia. La lección es incómoda, pero útil: las agencias con procedimientos formales tampoco son inmunes a las fugas. Cuanto más sensible es la información, más costoso resulta confiar en una revisión superficial.

El patrón se repite. Los responsables habían tomado alguna precaución —revisión, anonimización, publicación controlada—, pero no habían inspeccionado todas las capas del archivo. La pregunta no es si una organización puede permitirse limpiar metadatos; la pregunta es qué consecuencias tendría publicar un documento que revele la identidad de una fuente, el nombre de una persona protegida o la estructura interna de un equipo.

El proceso de conversión como vector de exposición de datos internos

Aquí está el punto ciego más frecuente en equipos que practican la redacción colaborativa: la conversión de Word a PDF no es una operación neutra. Cuando guardas un .docx como PDF desde Microsoft Word, LibreOffice o cualquier otra herramienta de ofimática, el conversor puede incorporar al nuevo archivo parte de los metadatos del documento de origen y añadir información del propio proceso de exportación.

¿Qué significa eso en la práctica? Que un documento redactado durante semanas, con varias rondas de revisión, puede conservar:

• Los nombres de los autores originales de cada cambio.
• Comentarios que se marcaron como «resueltos», pero no se eliminaron.
• La ruta del archivo de origen, que puede incluir nombres reales, proyectos internos o clasificaciones de confidencialidad.
• La configuración regional y la versión del software empleado.
• Propiedades heredadas de una plantilla, aunque la persona que exporta el archivo nunca haya trabajado con ella.

La conversión tampoco corrige automáticamente los errores de anonimización. Si una identidad se cubrió con un rectángulo negro en el documento editable, ese rectángulo puede ser un objeto superpuesto que permite recuperar o copiar el texto inferior. Si se utilizó la función de tachado, el contenido original puede seguir almacenado en la estructura de revisiones. Si se pegó una captura de pantalla sobre un dato, la imagen puede conservar información adicional en su propio archivo de origen.

Este problema se agrava cuando el equipo usa plantillas institucionales. Cuando una organización adopta una plantilla de Word diseñada por un consultor externo, un proveedor o un colaborador puntual, los campos de autor y organización de esa plantilla pueden quedar grabados en el archivo base. Los documentos nuevos creados a partir de ella pueden heredar esos campos sin que el equipo lo perciba.

Word no siempre muestra los metadatos heredados de forma evidente en la interfaz de edición. Es necesario inspeccionar las propiedades del documento y, después, comprobar el PDF resultante. Si la plantilla se utiliza durante meses o años sin saneamiento, todos los documentos generados durante ese período pueden compartir una huella: el nombre del autor original, la organización de procedencia o la ruta del equipo donde se diseñó.

Antes de publicar o compartir, conviene revisar el documento de origen:

1. Comprueba el historial de revisiones. Acepta o rechaza los cambios pendientes y desactiva el seguimiento cuando el proceso editorial haya terminado.

2. Elimina los comentarios. Marcar un comentario como resuelto no equivale necesariamente a borrarlo del archivo.

3. Revisa la autoría y las propiedades. Cambia o elimina los nombres, organizaciones, títulos y campos personalizados que no deban salir.

4. Inspecciona la plantilla. Si el documento procede de una plantilla reutilizada, comprueba qué información arrastra desde su creación.

5. Busca formas de ocultación inseguras. No tapes datos sensibles con rectángulos, colores o tachados sin confirmar que el contenido inferior ha sido eliminado.

6. Genera una copia de publicación. El archivo que se comparte no debería ser la misma versión de trabajo que conserva revisiones, comentarios y materiales internos.

La separación entre el original de trabajo y la copia destinada a circular es especialmente importante en organizaciones pequeñas. No hace falta un departamento de seguridad para aplicarla: basta con establecer quién prepara la versión pública, quién la revisa y en qué momento se elimina la documentación auxiliar.

Capas ocultas y OCR: la información que no ves pero que sigue ahí

La conversión Word → PDF es solo una fuente de fuga. Otra, más sutil y en muchos casos más peligrosa, aparece durante el procesamiento OCR, el reconocimiento óptico de caracteres.

Cuando escaneas un documento impreso y lo pasas por un OCR —ya sea Adobe, ABBYY, Tesseract o un servicio en línea—, el software puede generar una capa de texto asociada a la imagen. Esa capa permite buscar palabras, seleccionar fragmentos y mejorar la accesibilidad, pero también queda embebida en el PDF final. Un lector ve una página escaneada; el archivo puede llevar un texto paralelo que se extrae con herramientas básicas.

El OCR no entiende por sí mismo qué información es pública y cuál no. Puede reconocer una anotación manuscrita al margen, una dirección escrita a mano, un número parcialmente tachado o una marca que el equipo consideraba irrelevante. La calidad del reconocimiento varía, pero incluso un resultado incompleto puede revelar nombres, iniciales o fragmentos suficientes para identificar a una persona.

A esto se suman otros elementos que no siempre aparecen en la vista principal:

• Anotaciones y notas adhesivas.
• Marcas de revisión y comentarios.
• Hipervínculos a recursos internos.
• Campos de formulario con valores predeterminados.
• Capas gráficas activables o desactivables.
• Objetos recortados que continúan formando parte de la página.
• Fuentes incrustadas y archivos adjuntos.
• Miniaturas, marcadores y etiquetas de navegación.

Los visores integrados en navegadores suelen mostrar una representación simplificada. Que un elemento no aparezca en Chrome, Firefox o un lector móvil no demuestra que haya desaparecido del archivo. Del mismo modo, que una búsqueda visual no encuentre una palabra no significa que no pueda recuperarse desde una capa OCR o mediante una herramienta de extracción.

Un ejemplo cotidiano: un equipo de investigación escanea contratos impresos para digitalizarlos. El OCR identifica correctamente el texto principal, pero también captura las notas manuscritas que se añadieron durante la revisión. Esas notas —con números de contacto y referencias a personas concretas— viajan en el PDF distribuido a aliados internacionales. El problema no está en que el OCR «falle»; está en que se le pidió procesar una página sin separar antes el contenido público de las anotaciones privadas.

La comprobación debe hacerse sobre el archivo final, no solo sobre el documento original. Puedes:

• Abrir el PDF con una herramienta que permita examinar propiedades, anotaciones, capas y archivos adjuntos.
• Extraer el texto completo con una utilidad como pdftotext y compararlo con lo que aparece en pantalla.
• Buscar nombres, direcciones, números de teléfono, rutas de carpetas y términos internos que no deberían formar parte de la versión pública.
• Revisar si existen formularios, comentarios, marcadores o enlaces que no sean necesarios.
• Abrir el documento en más de un visor, porque cada aplicación interpreta y muestra de forma distinta algunos elementos.

La información que no ves también necesita una decisión: conservarla, eliminarla o convertirla en una versión verdaderamente pública.

Estrategias de desinfección: cómo limpiar archivos sin comprometer la privacidad

La desinfección de archivos es un proceso replicable, pero no existe una herramienta única que cubra todos los casos. El resultado depende del tipo de documento, del programa que lo creó y de los elementos que contiene. El objetivo no es pulsar un botón y asumir que todo ha desaparecido: es reducir la información innecesaria y verificar después que la copia compartida contiene únicamente lo que debe contener.

Saneamiento del archivo de origen

Antes de tocar el PDF, limpia el documento desde el que se genera. En Word, utiliza la función de inspección del documento para revisar comentarios, revisiones, propiedades e información personal. En LibreOffice, revisa las opciones de seguridad y la información personal asociada al archivo. Las rutas exactas pueden cambiar según la versión, por lo que conviene no depender de una única secuencia de menús.

Si trabajas con plataformas de edición en la nube, descarga una copia editable, ábrela en una aplicación de escritorio y revisa sus propiedades antes de exportarla. La conversión directa desde el navegador puede ser válida para documentos ordinarios, pero no debería considerarse un proceso de limpieza. Además, el servicio utilizado puede conservar copias, historiales o registros de actividad que no forman parte del PDF, pero sí afectan al modelo de amenaza de la organización.

Para documentos especialmente sensibles, crea una copia nueva y traslada únicamente el contenido que deba publicarse. Es más lento que limpiar un archivo de trabajo, pero evita que una revisión antigua, una pestaña oculta o una tabla auxiliar sobreviva por accidente. En textos breves, volver a copiar el contenido en un documento nuevo puede ser una medida razonable. En expedientes complejos, hay que combinar esa operación con una inspección técnica.

Saneamiento del PDF final

Una vez generado el PDF, comprueba sus propiedades y elimina los campos que no tengan una función pública. No todos los programas ofrecen el mismo nivel de control: algunas herramientas permiten limpiar metadatos básicos, pero no eliminan capas OCR, comentarios, archivos adjuntos o contenido superpuesto.

La redacción de datos sensibles exige un procedimiento distinto. No basta con dibujar una caja negra sobre un nombre o colorear el texto de blanco. La información debe eliminarse mediante una función de redacción que sustituya o retire el contenido subyacente. Después, guarda una nueva copia y verifica que no se puede seleccionar, buscar, copiar o extraer el dato original.

También es importante distinguir entre limpiar y aplanar. Aplanar un PDF puede convertir determinados elementos interactivos en una apariencia más fija, pero no garantiza por sí solo que hayan desaparecido los metadatos, las capas, los adjuntos o el texto oculto. Una operación de aplanado puede ser útil dentro del proceso, nunca como única garantía.

Una secuencia razonable para la copia de publicación sería la siguiente:

1. Eliminar comentarios, revisiones, formularios y archivos adjuntos no necesarios.

2. Aplicar una redacción segura a los datos que deban ocultarse.

3. Limpiar las propiedades del documento y los metadatos del PDF.

4. Revisar capas, anotaciones, marcadores, enlaces y texto OCR.

5. Exportar o guardar una nueva copia con un nombre que no revele información interna.

6. Extraer el texto y realizar búsquedas de control.

7. Abrir la copia en varios visores y comprobar que el resultado coincide con la versión autorizada.

8. Conservar el original únicamente en el entorno interno previsto, con permisos adecuados.

Herramientas y límites

Las herramientas de escritorio suelen ofrecer más control que un conversor web, especialmente cuando el archivo contiene información personal o material sujeto a confidencialidad. Un servicio en línea puede registrar el documento, conservarlo temporalmente o transferirlo a una jurisdicción que la organización no ha evaluado. La comodidad de «convertir y descargar» no elimina ese riesgo.

En sistemas GNU/Linux existen utilidades de línea de comandos para inspeccionar propiedades, extraer texto y analizar la estructura del PDF. En Windows y macOS, las aplicaciones de edición y gestión documental permiten realizar parte de estas tareas mediante interfaces gráficas. Lo importante no es la marca concreta, sino que el equipo sepa qué comprueba cada herramienta y qué queda fuera de su alcance.

Una herramienta que elimina el título y el nombre del autor no necesariamente borra una capa OCR. Un programa que exporta una imagen nueva puede eliminar texto seleccionable, pero también degradar la calidad, romper la accesibilidad o conservar información en los metadatos de la imagen. Un servicio que promete «limpieza automática» puede funcionar bien para un caso sencillo y fallar ante comentarios, archivos adjuntos o campos personalizados.

Por eso, la seguridad de la información en los metadatos no se resuelve con una aplicación aislada. Se resuelve con una combinación de procedimiento, conocimiento del flujo de trabajo y verificación independiente.

El factor humano: compartir menos también es una medida técnica

La limpieza debe ir acompañada de una política mínima de circulación. En muchas organizaciones, el PDF se revisa una vez y después se envía por correo, mensajería instantánea, almacenamiento compartido y enlaces de descarga. Cada copia añade posibilidades de pérdida de control. Si el archivo contiene más información de la necesaria, cada reenvío amplía la superficie de exposición.

Antes de compartirlo, pregunta qué necesita realmente la persona destinataria. Tal vez no necesite el expediente completo, sino una página concreta. Puede que un documento editable deba sustituirse por una versión en PDF sin comentarios. O quizá sea suficiente enviar una transcripción sin nombres, direcciones y referencias que no afectan al objetivo de la comunicación.

El nombre del archivo también importa. «Informe_final_Juan_Pérez_dirección_nueva.pdf» ya revela información antes de abrirlo. Una denominación neutra y un sistema de carpetas con permisos limitados reducen la exposición accidental. No son sustitutos de la limpieza, pero forman parte del mismo criterio: no compartir más datos de los necesarios.

En equipos con rotación de personas o trabajo voluntario, el procedimiento debe poder explicarse en pocos minutos. Una guía interna puede indicar:

• Qué tipos de documentos deben pasar por revisión.
• Quién tiene autorización para preparar la copia pública.
• Qué datos nunca deben enviarse en un archivo sin protección.
• Qué herramientas están permitidas y cuáles no deben utilizarse con información sensible.
• Cómo se conserva y elimina el original de trabajo.
• Qué hacer si se descubre una versión con datos expuestos.

Si un archivo ya se ha enviado, no conviene confiar en que borrar el mensaje resuelva el problema. Hay que identificar qué información se expuso, a quién llegó, si existían otras copias y qué medidas deben tomarse. En determinados contextos, la prioridad será proteger a las personas afectadas, revocar enlaces, solicitar la eliminación de copias y documentar el incidente sin volver a distribuir el material sensible.

El PDF como documento público, no como archivo de trabajo

El PDF es útil porque estabiliza la presentación y facilita la lectura en dispositivos distintos. Esa utilidad no lo convierte en un formato hermético. Su comportamiento depende de cómo se creó, de qué se incorporó durante la edición y de qué herramientas se utilizaron después. Un archivo que parece idéntico en dos pantallas puede contener información diferente en sus propiedades, capas y objetos internos.

La buena práctica consiste en tratar cada documento que sale de una organización como una publicación, aunque solo vaya dirigido a una persona. Eso implica separar el borrador de la copia de circulación, revisar el contenido visible y el no visible, limpiar los metadatos y comprobar el resultado desde fuera del flujo de trabajo original.

Las fugas de metadatos en documentos PDF no son un problema reservado a grandes empresas o agencias de seguridad. En Nicaragua, donde periodistas, organizaciones comunitarias y defensorías manejan con frecuencia información sobre personas y redes de colaboración, un dato aparentemente menor puede tener consecuencias desproporcionadas. El nombre de una carpeta puede identificar un proyecto; una plantilla puede revelar quién participó; una anotación OCR puede exponer un número de contacto; una revisión antigua puede contradecir la anonimización del texto.

La privacidad no se pierde únicamente cuando alguien publica el contenido equivocado. También se pierde cuando un archivo cuenta, sin que nadie lo haya decidido, cómo fue creado, quién lo revisó y qué quedó fuera de la versión final. Limpiar metadatos no es un gesto cosmético ni una promesa absoluta de anonimato. Es una forma concreta de recuperar control sobre la información que acompaña a un documento.

El PDF debe salir de la organización con una sola historia: la que el equipo ha decidido hacer pública. Todo lo demás merece una inspección antes de pulsar «enviar».