Så bevisar du vem som läckte en fil (och vad som räknas som bevis)

Varför „vem läckte den” är svårt

När en fil dyker upp där den inte ska vara, ser den oftast exakt ut som kopian alla andra fick. En skärmbild, en vidarebefordrad PDF eller en bild som laddats upp igen tar bort det mesta som kunde identifiera den: filnamnet, metadata och mejlet den kom från. Utan något unikt i varje kopia ser varje mottagare likadan ut.

Därför sker arbetet som betyder något före läckan: du skickar varje person en kopia du kan skilja åt senare, och du för anteckning om vem som fick vilken.

Vad du faktiskt kan fastställa

Tänk det som lager. Varje lager snävar in, och inget är avgörande för sig.

1. Vilken kopia som läckte. Om varje mottagare hade en unikt märkt kopia, säger detekteringen av markeringen vilken kopia den läckta filen kom från.
2. Vem som tog emot den kopian. Din egen privata lista med mottagarkoder knyter kopian till en person, ett team eller ett företag.
3. Hur den levererades. Skickade mejl, delningslänkar, nedladdningsloggar och åtkomstposter visar när och hur den kopian gick ut.
4. Vad som hände sedan. Vem mer som hade åtkomst till den personens inkorg, enhet eller delade mapp. Här slutar det vara tekniskt.

En träff täcker det första lagret. Dina poster täcker det andra och det tredje. Det fjärde behöver oftast ett samtal.

Poster som är värda att spara (innan något läcker)

• En privat mottagarlista: vilken kod som gick till vem, och när.
• De skickade kopiorna själva, eller ett sätt att återskapa dem, så att du kan jämföra senare.
• Leveransposter: det skickade mejlet, delningslänken och dess åtkomstlogg, eller uppladdningen till ett datarum.
• Sammanhanget: NDA:n eller villkoren de gick med på, om det finns några.

Spara listan där bara du eller ditt team kan se den. En mottagarkod som delas offentligt slutar vara användbar.

Så fungerar en markering per mottagare

Ett osynligt forensiskt vattenmärke ändrar pixlarna på små sätt som ingen märker i vanlig visningsstorlek, och varje kopia får ett annat mönster. Eftersom mönstret är spritt över hela bilden och upprepat kan en del överleva en skärmbild, en ny sparning eller en beskärning.

Med Markedfile bär varje fil som stöds också en HMAC-signerad metadatamarkering för den arbetsytan. Det hjälper när filen delas som den är, men skärmbilder och många plattformar tar bort metadata, så det visuella mönstret är ofta det som finns kvar. PNG-, JPEG- och WebP-bilder, PDF:er, textfiler och ZIP-baserade paket (inklusive Office-filer) kan märkas. Andra binära filer kommer tillbaka inuti en märkt ZIP. Markeringar i text och paket är sköra: de överlever varken skärmbilder eller utdrag av innehållet. Bilder och PDF:er bär det visuella mönstret.

När en träff hittas rapporterar Markedfile en tillförlitlighet: ungefär 99 % för den exakta filen, 95 % från metadatamarkeringen ensam och ungefär 81 % för en JPEG som sparats om eller en skärmbild. Det är rapporterade poäng, inte garanterad detektering. För video på Business och Enterprise stannar en träff bara på bilden på 85 % tillförlitlighet eller lägre. Att radera posten avslutar detekteringen.

Vad en träff visar och inte visar

En mottagare kan ha vidarebefordrat den till en kollega, tappat en bärbar dator eller haft ett komprometterat konto. Därför är en träff ett spår du följer upp, inte bevis på avsikt.

Vad som gör en markering svårare att detektera

• Beskärningar: Ungefär 256 px av ett detaljerat område är det ungefärliga minimet. Mindre eller plattare områden kan misslyckas. Det är en grov riktlinje, inte ett tak.
• Små bilder: Bilder och videobildrutor under 96×96 px avvisas; allt annat använder samma mönster.
• Tunga redigeringar: stark komprimering, oskärpa, filter eller retusch kan förstöra markeringen.
• Rotationer: De flesta rotationer på 90° går bra. En rotation tillsammans med stark, ojämn utsträckning kan förstöra den.
• PDF-skärmbilder: En PDF-skärmbild är efter bästa förmåga och garanteras inte. Ladda upp själva PDF:en när du kan. Den kan kontrolleras om den visar den övre halvan av en textsida med marginaler, ungefär 200 punkter i kvadrat på en biljett, ungefär 320 punkter i kvadrat på en diabild eller ungefär 160 punkter i kvadrat på ett fotografi. Tät text för sig detekteras inte.
• Omärkta filer: allt som skickades innan det var märkt kan inte spåras.

Detektering är aldrig 100 %.

Vad du gör när något läcker

1. Spara det du hittade, med var och när du hittade det. Få tag i originalfilen om du kan, inte bara en skärmbild.
2. Kör den genom Detektera och notera resultatet och tillförlitligheten.
3. Matcha koden mot din privata lista och hämta leveransposterna för den kopian.
4. Prata lugnt med personen. Fråga hur filen delades i den änden. Många läckor visar sig vara slarvig vidarebefordran.
5. Anklaga inte någon offentligt bara utifrån en träff.
6. Ta juridisk rådgivning före ett formellt steg, till exempel en uppsägning, ett krav enligt en NDA eller en begäran om nedtagning.
7. Strama åt det du skickar nästa gång: färre mottagare, känsliga delar skickade för sig, länkar med kortare livslängd.

Var den här metoden har gränser

• Den hindrar inte läckor. Den gör märkta kopior spårbara, inget mer.
• Den pekar ut en kopia, inte en person.
• Innehåll som skrivits om eller parafraserats spåras inte, och inte heller något som återskapats från början.
• Ett foto av en skärm är svårare än en skärmbild, eftersom det försämrar bilden mer.
• Om det räknas som bevis beror på var du är och vilken process som gäller. Det är en fråga för en jurist, inte för ett verktyg.
• Att radera posten avslutar detekteringen. Det finns ingen separat kontroll som stoppar detekteringen medan filen förblir aktiv.

FAQ

Kan jag bevisa vem som läckte en fil om jag skickade samma kopia till alla? Vanligtvis inte utifrån själva filen. Utan något unikt i varje kopia ser varje mottagare likadan ut. Leveransloggar kan ändå hjälpa till att snäva in det.

Räcker en vattenmärkesträff för att säga upp någon eller stämma? I sig ska den inte behandlas så. Den visar vilken kopia som läckte, inte vem som delade den eller varför. Prata med en jurist före ett formellt steg.

Fungerar det på skärmbilder? Ofta, inom gränser: markeringen är gjord för att överleva skärmbilder, men tunga redigeringar, små beskärningar och stark komprimering kan förstöra den. Ungefär 256 px av ett detaljerat område är det ungefärliga minimet. För PDF:er laddar du upp själva PDF:en när det går. En PDF-skärmbild är efter bästa förmåga och garanteras inte.

Kan jag spåra en fil jag skickade innan jag började märka? Nej. Bara kopior som märktes innan de skickades kan spåras.

Börja innan nästa fil går ut

Välj de filer som skulle göra mest ont om de läckte, ge varje mottagare en egen märkt kopia i Markedfile och håll listan privat. Filinnehåll behandlas i minnet och lagras inte. Läs också: så spårar du en läckt PDF och vad forensiskt vattenmärke är.