Metadatos ocultos en PDFs y fotos: qué revela un archivo antes de publicarlo (EXIF, XMP, ExifTool) y cómo limpiarlo

Cuando compartes un documento PDF o subes una fotografía a internet, es fácil pensar que los demás únicamente ven la imagen o el texto impreso en la página. Sin embargo, los archivos digitales modernos contienen una estructura interna invisible para el lector casual: los metadatos. Sin una higiene documental adecuada, un solo archivo público puede revelar nombres de usuarios internos, rutas de carpetas de tu computadora, versiones exactas de software y coordenadas GPS.

En esta entrega de nuestra serie Knowledge is free explicamos cómo funcionan los estándares EXIF y XMP, cómo se analizan los metadatos en investigaciones de fuentes abiertas (OSINT) y qué pasos debes seguir para limpiar tus archivos antes de compartirlos.

1. Qué son las cabeceras EXIF, XMP y el diccionario Info de un PDF

Las cámaras digitales, teléfonos inteligentes y paquetes de oficina insertan información técnica de forma automática en las cabeceras binarias de cada archivo bajo estándares internacionales:

• EXIF (Exchangeable Image File Format, CIPA DC-008): utilizado en fotografías JPEG, TIFF y formatos RAW. Almacena fabricante y modelo del dispositivo, parámetros ópticos, fecha y hora exacta con zona horaria, una imagen en miniatura incrustada (ThumbnailImage) y etiquetas de geolocalización GPS (latitud, longitud y altitud).
• XMP (Extensible Metadata Platform, ISO 16684-1) y diccionario Info en PDF: utilizados en documentos corporativos, diseños y reportes. Registran el campo Author (que suele tomar por defecto el nombre de cuenta del sistema operativo o dominio Active Directory), la aplicación creadora (CreatorTool), las rutas locales del disco duro y el historial de revisiones.

2. Cómo se utilizan los metadatos en OSINT y auditorías de seguridad

En una evaluación de seguridad informática o reconocimiento pasivo (OSINT), los documentos públicos alojados en el portal web de una empresa (como comunicados, convocatorias o manuales en PDF) representan una fuente crítica de inteligencia técnica. Al inspeccionar sus cabeceras con herramientas como ExifTool:

exiftool -a -G1 documento_publico.pdf

un analista puede identificar el formato de nombres de usuario internos de la organización, el sistema operativo de las estaciones de trabajo, rutas de servidores compartidos y versiones específicas de bibliotecas de generación de PDF o suites ofimáticas que podrían presentar vulnerabilidades conocidas.

3. Dos errores críticos: miniaturas ocultas y falso tachado en PDF

Incluso quienes intentan ocultar información sensible suelen cometer dos errores técnicos documentados por agencias como NSA y CISA:

• Recortar una foto sin borrar el EXIF: algunos programas de edición recortan la imagen principal pero conservan intacta la miniatura original (ThumbnailImage) dentro del encabezado EXIF, permitiendo reconstruir lo que había fuera del recorte.
• Tachar texto con un rectángulo negro en un PDF: dibujar una figura negra encima de un nombre o cifra en un editor de PDF solo cubre visualmente la página; la capa de texto subyacente sigue ahí y cualquiera puede seleccionarla, copiarla y pegarla en un bloc de notas.

4. Tres pasos para limpiar y verificar tus archivos antes de publicarlos

• 1. Desactiva el guardado de ubicación en fotos públicas: apaga las etiquetas de ubicación en la aplicación de cámara cuando tomes fotografías destinadas a redes o portales públicos, y recuerda que enviar una foto como «Documento» o archivo adjunto conserva el EXIF completo.
• 2. Sanitiza las propiedades del archivo: utiliza el inspector de documentos de tu suite ofimática o ejecuta exiftool -all= archivo.jpg para eliminar cabeceras no esenciales antes de publicar.
• 3. Aplana o rasteriza los documentos censurados: si necesitas eliminar datos confidenciales de un PDF, utiliza una función real de redacción que destruya el texto subyacente o convierte las páginas a imagen plana antes de volver a exportar.

En ViciousByte realizamos auditorías de exposición documental, peritaje informático sobre integridad de metadatos e implementación de pipelines automatizados que limpian cada archivo antes de que salga a internet.