Slik beviser du hvem som lekket en fil (og hva som teller som bevis)

Hvorfor «hvem lekket den» er vanskelig

Når en fil dukker opp et sted den ikke skulle, ser den vanligvis helt lik ut som kopien alle andre fikk. Et skjermbilde, en videresendt PDF eller et bilde som er lastet opp på nytt, fjerner det meste av det som kunne identifisere den: filnavnet, metadataene, e-posten den kom fra. Uten noe unikt i hver kopi ser hver mottaker lik ut.

Derfor skjer arbeidet som betyr noe før lekkasjen: Du sender hver person en kopi du kan skille senere, og du fører oversikt over hvem som fikk hvilken.

Hva du faktisk kan fastslå

Tenk på det som lag. Hvert lag snevrer inn, og ingen er avgjørende alene.

1. Hvilken kopi som lekket. Hvis hver mottaker hadde en unikt merket kopi, forteller detekteringen av merket deg hvilken kopi den lekkede filen kom fra.
2. Hvem som mottok den kopien. Din egen private liste over mottakerkoder knytter kopien til en person, et team eller et selskap.
3. Hvordan den ble levert. Sendte e-poster, delingslenker, nedlastingslogger og tilgangsregistreringer viser når og hvordan den kopien gikk ut.
4. Hva som skjedde etterpå. Hvem andre som hadde tilgang til den personens innboks, enhet eller delte mappe. Her slutter det å være teknisk.

Et treff dekker det første laget. Registreringene dine dekker det andre og det tredje. Det fjerde trenger vanligvis en samtale.

Registreringer som er verdt å ta vare på (før noe lekker)

• En privat mottakerliste: hvilken kode som gikk til hvem, og når.
• De sendte kopiene selv, eller en måte å lage dem på nytt, så du kan sammenligne senere.
• Leveringsregistreringer: den sendte e-posten, delingslenken og tilgangsloggen, eller opplastingen til et datarom.
• Konteksten: NDA-en eller vilkårene de godtok, hvis det finnes noen.

Oppbevar listen et sted der bare du eller teamet ditt kan se den. En mottakerkode som deles offentlig, slutter å være nyttig.

Slik virker et merke per mottaker

Et usynlig forensisk vannmerke endrer pikslene på små måter ingen legger merke til i vanlig visningsstørrelse, og hver kopi får et annet mønster. Fordi mønsteret er spredt over hele bildet og gjentatt, kan en del overleve et skjermbilde, en ny lagring eller et utsnitt.

Med Markedfile bærer hver støttet fil også et HMAC-signert metadatamerke for det arbeidsområdet. Det hjelper når filen deles som den er, men skjermbilder og mange plattformer fjerner metadata, så det visuelle mønsteret ofte er det som er igjen. PNG-, JPEG- og WebP-bilder, PDF-er, tekstfiler og ZIP-baserte pakker (inkludert Office-filer) kan merkes. Andre binærfiler kommer tilbake inni en merket ZIP. Merker i tekst og pakker er skjøre: De overlever verken skjermbilder eller uttrekk av innholdet. Bilder og PDF-er bærer det visuelle mønsteret.

Når et treff blir funnet, rapporterer Markedfile en tillitsscore: omtrent 99 % for den nøyaktige filen, 95 % fra metadatamerket alene, og omtrent 81 % for en JPEG som er lagret på nytt, eller et skjermbilde. Dette er rapporterte scorer, ikke garanteret deteksjon. For video på Business og Enterprise blir et treff bare på bildet på 85 % tillit eller lavere. Sletting av posten avslutter deteksjonen.

Hva et treff viser, og hva det ikke viser

En mottaker kan ha videresendt den til en kollega, mistet en bærbar eller hatt en kompromittert konto. Derfor er et treff et spor du følger opp, ikke bevis på hensikt.

Hva som gjør et merke vanskeligere å detektere

• Utsnitt: Omtrent 256 px av et detaljert område er det omtrentlige minimumet. Mindre eller flatere områder kan feile. Det er en grov rettesnor, ikke et tak.
• Små bilder: Bilder og videorammer under 96×96 px avvises; alt annet bruker det samme mønsteret.
• Tunge redigeringer: sterk komprimering, uskarphet, filtre eller retusjering kan ødelegge merket.
• Rotasjoner: De fleste rotasjoner på 90° går fint. En rotasjon kombinert med sterk, ujevn strekking kan ødelegge det.
• PDF-skjermbilder: Et PDF-skjermbilde er etter beste evne og er ikke garantert. Last opp selve PDF-en når du kan. Det kan sjekkes hvis det viser den øvre halvdelen av en tekstside med marger, omtrent 200 punkter i kvadrat på en billett, omtrent 320 punkter i kvadrat på et lysbilde, eller omtrent 160 punkter i kvadrat på et fotografi. Tett tekst alene blir ikke detektert.
• Umerkede filer: alt som ble sendt før det var merket, kan ikke spores.

Deteksjon er aldri 100 %.

Hva du gjør når noe lekker

1. Lagre det du fant, med hvor og når du fant det. Få tak i originalfilen hvis du kan, ikke bare et skjermbilde.
2. Kjør den gjennom Detekter, og noter resultatet og tillitsscoren.
3. Koble koden til den private listen din, og hent leveringsregistreringene for den kopien.
4. Snakk rolig med personen. Spør hvordan filen ble delt i den enden. Mange lekkasjer viser seg å være uforsiktig videresending.
5. Ikke anklag noen offentlig bare ut fra et treff.
6. Få juridisk råd før et formelt steg, for eksempel en oppsigelse, et krav under en NDA eller en forespørsel om nedtaking.
7. Stram inn det du sender neste gang: færre mottakere, sensitive deler sendt for seg, lenker med kortere levetid.

Hvor denne tilnærmingen har grenser

• Den hindrer ikke lekkasjer. Den gjør merkede kopier sporbare, ikke mer.
• Den peker ut en kopi, ikke en person.
• Innhold som er skrevet på nytt eller omskrevet, spores ikke, og det gjør heller ikke noe som er laget på nytt fra bunnen.
• Et foto av en skjerm er vanskeligere enn et skjermbilde, fordi det forringer bildet mer.
• Om det teller som bevis avhenger av hvor du er, og hvilken prosess som gjelder. Det er et spørsmål til en advokat, ikke til et verktøy.
• Sletting av posten avslutter deteksjonen. Det finnes ingen egen kontroll som stopper deteksjonen mens filen forblir aktiv.

FAQ

Kan jeg bevise hvem som lekket en fil hvis jeg sendte den samme kopien til alle? Vanligvis ikke ut fra selve filen. Uten noe unikt i hver kopi ser hver mottaker lik ut. Leveringslogger kan likevel hjelpe med å snevre det inn.

Er et vannmerketreff nok til å si opp noen eller saksøke? I seg selv bør det ikke behandles slik. Det viser hvilken kopi som lekket, ikke hvem som delte den, eller hvorfor. Snakk med en advokat før et formelt steg.

Virker det på skjermbilder? Ofte, innenfor grenser: Merket er laget for å overleve skjermbilder, men tunge redigeringer, små utsnitt og sterk komprimering kan ødelegge det. Omtrent 256 px av et detaljert område er det omtrentlige minimumet. For PDF-er laster du opp selve PDF-en når det er mulig. Et PDF-skjermbilde er etter beste evne og er ikke garantert.

Kan jeg spore en fil jeg sendte før jeg begynte å merke? Nei. Bare kopier som ble merket før de ble sendt, kan spores.

Start før neste fil går ut

Velg filene som ville gjort mest vondt hvis de lekket, gi hver mottaker sin egen merkede kopi i Markedfile, og hold listen privat. Filinnhold behandles i minnet og lagres ikke. Les også: slik sporer du en lekket PDF og hva forensisk vannmerking er.