Resumen
Un documento filtrado es una escena con poca memoria. El objetivo no es adivinar quién fue, sino preservar la copia, decodificar lo que lleva y conectarla con una sesión antes de que el rastro se enfríe.
La primera hora: preservar, no investigar
Una filtración suele llegar como captura de pantalla, PDF reenviado o enlace en un chat. El instinto es preguntar quién fue; el primer trabajo es evitar que la copia cambie. La primera versión que recibes suele ser una copia de una copia, y cada transferencia pierde contexto.
Preserva el archivo o la imagen original, registra quién la encontró y dónde, calcula un hash y guárdala con la misma disciplina de cadena de custodia que cualquier otra evidencia. Guarda la evidencia en un lugar con acceso restringido y registro; el expediente de investigación también es sensible.
Después identifica el documento, la versión y las páginas. Una marca de agua solo sirve si sabes a qué página, qué sesión y qué versión pertenece.
- Preserva la copia — sin recortes, recompresión ni reenvíos.
- Calcula el hash y registra el contexto del hallazgo.
- Registra cada entrega, incluidas las internas.
Qué puede probar una marca de agua forense
Las marcas visibles identifican al espectador a simple vista; los payloads invisibles codifican identificadores que sobreviven a la compresión o a una fotografía de la pantalla. El payload útil incluye usuario, sesión, marca de tiempo y referencia del documento. Si el proveedor no puede decirte qué contiene el payload, el resto de la evaluación es conjetura.
La decodificación requiere la herramienta o la clave del proveedor. Pide el nivel de confianza y el tiempo que tarda; una marca que necesita una semana y el archivo original no es útil durante una investigación. Un decodificador que solo funciona con el archivo original sin modificar sirve para un laboratorio, no para un caso vivo.
La marca es solo la mitad de la evidencia. Correlaciónala con el registro de acceso: si la sesión decodificada coincide con un usuario nominal, un dispositivo y una ventana de tiempo, la historia se vuelve defendible. Las cuentas compartidas convierten la atribución en probabilidad, no en hecho. Si los logs están incompletos, dilo en el informe; los huecos también son hallazgos.
El flujo de investigación
Una secuencia práctica: intake, preservación, extracción, correlación e informe. Seguridad es dueña de la cadena técnica, legal del privilegio, RRHH de las preguntas laborales y el proveedor apoya la extracción. Nadie se salta la preservación. Anota quién tocó la copia antes que tú; la defensa lo va a preguntar.
Construye una línea de tiempo con la versión del documento, las páginas encontradas, las sesiones que las tocaron y cada ubicación de copia. Si la filtración aparece en más de un lugar, trata cada copia como una rama separada del mismo árbol. Mantén el paquete de evidencia original inmutable y trabaja sobre copias.
- Un dueño del caso — un solo hilo para evidencia y decisiones.
- Páginas de muestra — decodifica lo suficiente para establecer patrón, no todas.
- Correlación con logs — IDs de sesión, identidad, dispositivo, hora.
- Declaración de confianza — qué prueba la marca y qué no.
Escribir un informe que se sostenga
Un informe útil declara los hechos, el método, las herramientas, las limitaciones y la cadena de custodia. Adjunta el hash, el payload extraído, las entradas de log que coinciden y las capturas del proceso. Un informe sin sección de método es una opinión con logo.
Mantén el hallazgo técnico separado de la conclusión legal. Una marca puede probar que una sesión renderizó una página; no puede, por sí sola, probar intención ni identidad más allá de la cuenta.
Cierra con remediación: revocar acceso, preservar logs relacionados, notificar a las personas correctas y corregir el control que permitió la copia. Un informe que solo nombra a un sospechoso es medio informe. La corrección del control importa tanto como el hallazgo; si no, la próxima filtración sigue el mismo camino. La guía del NIST para integrar técnicas forenses ayuda a estructurar el paquete de evidencia.
- Hechos antes que conclusiones — método y limitaciones incluidos.
- Paquete de evidencia — hash, payload, logs, capturas, línea de tiempo.
- Revisión legal — privilegio y derecho laboral antes de distribuir.
- Remediación — revocación, notificación, corrección del control.
Prepararse antes de la filtración
Haz un ejercicio con una filtración falsa: toma una captura de una página marcada, entrégala al equipo y cronometra cuánto tarda en identificar la sesión y producir un informe. Las brechas que encuentres ahora son más baratas. Pon el resultado por escrito: minutos, responsables y fechas.
- Prueba el decodificador con imágenes degradadas, no con capturas perfectas.
- Verifica la retención de logs — ¿puedes correlacionar una sesión del trimestre pasado?
- Escribe el playbook — roles, contactos y escalamiento.
- Ensaya el informe — entrégalo a legal antes de un caso real.
Rastrear una filtración es una disciplina de hechos pequeños y preservados: la copia, el hash, el payload, la sesión, la línea de tiempo. Las organizaciones que lo hacen bien no son las que tienen más herramientas forenses, sino las que decidieron el flujo antes de la filtración. Si el watermarking y la investigación de filtraciones son parte de tu programa de seguridad documental, solicita una demo y trae una captura. Empieza por cómo funcionan las marcas de agua forenses y cómo evaluar una solución. El objetivo no es una atribución perfecta; es una defendible.