Come dimostrare chi ha diffuso un file (e cosa conta come prova)

Perché «chi l'ha diffuso» è difficile

Quando un file compare dove non dovrebbe, di solito sembra identico alla copia che hanno ricevuto tutti. Uno screenshot, un PDF inoltrato o un'immagine ricaricata toglie quasi tutto ciò che potrebbe identificarlo: il nome del file, i metadati, l'e-mail da cui è arrivato. Senza qualcosa di unico in ogni copia, ogni destinatario sembra uguale.

Per questo il lavoro che conta avviene prima della fuga: mandare a ogni persona una copia che poi riesci a distinguere, e tenere traccia di chi ha ricevuto quale.

Cosa puoi stabilire davvero

Pensalo a strati. Ognuno restringe il campo, e nessuno è conclusivo da solo.

1. Quale copia è trapelata. Se ogni destinatario aveva una copia marcata in modo unico, rilevare la marca ti dice da quale copia arriva il file trapelato.
2. Chi ha ricevuto quella copia. La tua lista privata di codici destinatario collega la copia a una persona, a un team o a un'azienda.
3. Come è stata consegnata. Le e-mail inviate, i link di condivisione, i registri di download e di accesso mostrano quando e come quella copia è uscita.
4. Cosa è successo dopo. Chi altro aveva accesso alla posta, al dispositivo o alla cartella condivisa di quella persona. Qui smette di essere una questione tecnica.

Una corrispondenza copre il primo strato. I tuoi registri coprono il secondo e il terzo. Il quarto di solito ha bisogno di una conversazione.

Registri che vale la pena tenere (prima che qualcosa trapeli)

• Una lista privata di destinatari: quale codice è andato a chi, e quando.
• Le copie inviate, o un modo per rigenerarle, così puoi confrontarle dopo.
• Registri di consegna: l'e-mail inviata, il link di condivisione e il suo registro di accesso, o il caricamento in una data room.
• Il contesto: l'NDA o le condizioni che hanno accettato, se ci sono.

Tieni la lista in un posto visibile solo a te o al tuo team. Un codice destinatario condiviso in pubblico smette di essere utile.

Come funziona una marca per destinatario

Una filigrana forense invisibile cambia i pixel in modi minuscoli che nessuno nota alla dimensione normale di lettura, e ogni copia riceve un motivo diverso. Poiché il motivo è distribuito su tutta l'immagine e ripetuto, una parte può sopravvivere a uno screenshot, a un nuovo salvataggio o a un ritaglio.

Con Markedfile, ogni file supportato porta anche una marca di metadati firmata con HMAC per quello spazio di lavoro. Aiuta quando il file viene condiviso così com'è, ma gli screenshot e molte piattaforme tolgono i metadati, quindi spesso resta il motivo visivo. Si possono marcare immagini PNG, JPEG e WebP, PDF, file di testo e pacchetti basati su ZIP (inclusi i file Office). Gli altri file binari tornano dentro uno ZIP marcato. Le marche di testo e di pacchetto sono fragili: non sopravvivono agli screenshot né all'estrazione del contenuto. Immagini e PDF portano il motivo visivo.

Quando trova una corrispondenza, Markedfile riporta un punteggio di confidenza: circa il 99% per il file esatto, il 95% dalla sola marca di metadati e circa l'81% per un JPEG salvato di nuovo o uno screenshot. Sono punteggi riportati, non una rilevazione garantita. Per il video su Business ed Enterprise, una corrispondenza solo sull'immagine resta all'85% di confidenza o al di sotto. Eliminare il record termina il rilevamento.

Cosa mostra una corrispondenza e cosa no

Il destinatario può averlo inoltrato a un collega, aver perso un laptop o aver avuto un account compromesso. Per questo una corrispondenza è una pista da seguire, non una prova di intenzione.

Cosa rende una marca più difficile da rilevare

• Ritagli: circa 256 px di un'area dettagliata è il minimo indicativo. Aree più piccole o più piatte possono fallire. È una guida approssimativa, non un tetto.
• Immagini piccole: Le immagini e i fotogrammi video sotto 96×96 px vengono rifiutati; tutto il resto usa lo stesso motivo.
• Modifiche pesanti: una compressione forte, una sfocatura, filtri o un ritocco possono distruggere la marca.
• Rotazioni: la maggior parte delle rotazioni di 90° va bene. Una rotazione unita a uno stiramento forte e irregolare può romperla.
• Screenshot di PDF: Lo screenshot di un PDF è al meglio delle possibilità e non è garantito. Carica il PDF stesso ogni volta che puoi. Si può controllare se mostra la metà superiore di una pagina di testo con margini, circa 200 punti di lato su un biglietto, circa 320 punti di lato su una slide o circa 160 punti di lato su una fotografia. Il testo denso da solo non viene rilevato.
• File non marcati: ciò che è stato inviato prima di essere marcato non si può risalire.

Il rilevamento non è mai al 100%.

Cosa fare quando qualcosa trapela

1. Salva quello che hai trovato, con dove e quando l'hai trovato. Recupera il file originale se puoi, non solo uno screenshot.
2. Fallo passare da Rileva e annota il risultato e il punteggio di confidenza.
3. Abbina il codice alla tua lista privata e recupera i registri di consegna di quella copia.
4. Parla con la persona con calma. Chiedi come il file è stato condiviso dalla sua parte. Molte fughe si rivelano un inoltro distratto.
5. Non accusare nessuno in pubblico solo sulla base di una corrispondenza.
6. Chiedi un parere legale prima di qualsiasi passo formale, come un licenziamento, una richiesta in base a un NDA o una richiesta di rimozione.
7. Stringi quello che invii la prossima volta: meno destinatari, le parti sensibili inviate a parte, link di durata più breve.

Dove questo approccio ha dei limiti

• Non impedisce le fughe. Rende tracciabili le copie marcate, nient'altro.
• Identifica una copia, non una persona.
• Il contenuto ribattuto o parafrasato non viene tracciato, e nemmeno qualcosa ricreato da zero.
• Una foto di uno schermo è più difficile di uno screenshot, perché degrada di più l'immagine.
• Se conta come prova dipende da dove ti trovi e da quale sia il procedimento. È una domanda per un avvocato, non per uno strumento.
• Eliminare il record termina il rilevamento. Non esiste un controllo separato che fermi il rilevamento mentre il file resta attivo.

FAQ

Posso dimostrare chi ha diffuso un file se ho mandato a tutti la stessa copia? Di solito no, non dal file stesso. Senza qualcosa di unico in ogni copia, ogni destinatario sembra uguale. I registri di consegna possono comunque aiutare a restringere.

Una corrispondenza di filigrana basta per licenziare qualcuno o fare causa? Da sola non andrebbe trattata così. Mostra quale copia è trapelata, non chi l'ha condivisa né perché. Parla con un avvocato prima di qualsiasi passo formale.

Funziona sugli screenshot? Spesso, entro certi limiti: la marca è pensata per sopravvivere agli screenshot, ma modifiche pesanti, ritagli piccoli e una compressione forte possono distruggerla. Circa 256 px di un'area dettagliata è il minimo indicativo. Per i PDF, carica il PDF stesso quando puoi. Lo screenshot di un PDF è al meglio delle possibilità e non è garantito.

Posso risalire a un file che ho inviato prima di iniziare a marcare? No. Si possono risalire solo le copie marcate prima di essere inviate.

Inizia prima che esca il prossimo file

Scegli i file che farebbero più male se trapelassero, dai a ogni destinatario la propria copia marcata in Markedfile e tieni la lista privata. Il contenuto dei file viene elaborato in memoria e non viene memorizzato. Letture collegate: come risalire a un PDF trapelato e cos'è la filigrana forense.