Como provar quem vazou um arquivo (e o que conta como evidência)

Por que “quem vazou” é difícil

Quando um arquivo aparece onde não deveria, em geral ele parece exatamente a cópia que todo mundo recebeu. Uma captura de tela, um PDF encaminhado ou uma imagem reenviada tira quase tudo o que poderia identificá-lo: o nome do arquivo, os metadados, o e-mail de onde veio. Sem algo único em cada cópia, todo destinatário parece igual.

Por isso o trabalho que importa acontece antes do vazamento: enviar a cada pessoa uma cópia que você consiga distinguir depois, e guardar um registro de quem recebeu qual.

O que você consegue estabelecer de fato

Pense em camadas. Cada uma estreita um pouco mais, e nenhuma é conclusiva sozinha.

1. Qual cópia vazou. Se cada destinatário tinha uma cópia marcada de forma única, detectar a marca diz de qual cópia saiu o arquivo vazado.
2. Quem recebeu essa cópia. Sua lista privada de códigos de destinatário liga a cópia a uma pessoa, uma equipe ou uma empresa.
3. Como ela foi entregue. E-mails enviados, links de compartilhamento, registros de download e de acesso mostram quando e como essa cópia saiu.
4. O que aconteceu depois. Quem mais tinha acesso à caixa de entrada, ao aparelho ou à pasta compartilhada dessa pessoa. É aqui que deixa de ser técnico.

Uma correspondência cobre a primeira camada. Seus registros cobrem a segunda e a terceira. A quarta em geral precisa de uma conversa.

Registros que vale a pena guardar (antes de qualquer vazamento)

• Uma lista privada de destinatários: qual código foi para quem, e quando.
• As próprias cópias enviadas, ou um jeito de gerá-las de novo, para comparar depois.
• Registros de entrega: o e-mail enviado, o link de compartilhamento e o registro de acesso, ou o envio para uma data room.
• O contexto: o NDA ou os termos que a pessoa aceitou, se houver.

Guarde a lista onde só você ou sua equipe possa ver. Um código de destinatário compartilhado em público deixa de ser útil.

Como funciona uma marca por destinatário

Uma marca d'água forense invisível muda os pixels de um jeito minúsculo que ninguém nota no tamanho normal de visualização, e cada cópia recebe um padrão diferente. Como o padrão está espalhado pela imagem inteira e repetido, uma parte pode sobreviver a uma captura de tela, a um novo salvamento ou a um recorte.

No Markedfile, todo arquivo compatível também leva uma marca de metadados assinada com HMAC daquele espaço de trabalho. Isso ajuda quando o arquivo é compartilhado como está, mas capturas de tela e muitas plataformas removem metadados, então o que sobra muitas vezes é o padrão visual. Imagens PNG, JPEG e WebP, PDFs, arquivos de texto e pacotes baseados em ZIP (incluindo arquivos do Office) podem ser marcados. Outros arquivos binários voltam dentro de um ZIP marcado. Marcas de texto e de pacote são frágeis: elas não sobrevivem a capturas de tela nem à extração do conteúdo. Imagens e PDFs carregam o padrão visual.

Quando uma correspondência é encontrada, o Markedfile informa uma pontuação de confiança: cerca de 99% para o arquivo exato, 95% só com a marca de metadados e cerca de 81% para um JPEG salvo de novo ou uma captura de tela. São pontuações informadas, não uma detecção garantida. Em vídeo no Business e no Enterprise, uma correspondência só pela imagem fica em 85% de confiança ou abaixo. Excluir o registro encerra a detecção.

O que uma correspondência mostra e o que não mostra

O destinatário pode ter encaminhado para um colega, perdido um notebook ou tido uma conta comprometida. Por isso uma correspondência é uma pista para você seguir, não prova de intenção.

O que torna uma marca mais difícil de detectar

• Recortes: cerca de 256 px de uma área detalhada é o mínimo aproximado. Áreas menores ou mais planas podem falhar. Isso é um guia aproximado, não um teto.
• Imagens pequenas: Imagens e quadros de vídeo abaixo de 96×96 px são rejeitados; todo o resto usa o mesmo padrão.
• Edições pesadas: compressão forte, desfoque, filtros ou retoque podem destruir a marca.
• Rotações: a maioria das rotações de 90° funciona. Uma rotação combinada com um esticamento forte e irregular pode quebrá-la.
• Capturas de tela de PDF: Uma captura de tela de PDF é feita por melhor esforço e não é garantida. Envie o próprio PDF sempre que puder. Ela pode ser verificada se mostrar a metade superior de uma página de texto com margens, cerca de 200 pontos de lado em um ingresso, cerca de 320 pontos de lado em um slide ou cerca de 160 pontos de lado em uma fotografia. Texto denso sozinho não é detectado.
• Arquivos sem marca: o que foi enviado antes de ser marcado não pode ser rastreado.

A detecção nunca é 100%.

O que fazer quando algo vaza

1. Guarde o que você encontrou, com onde e quando encontrou. Pegue o arquivo original se puder, não só uma captura de tela.
2. Passe por Detectar e anote o resultado e a pontuação de confiança.
3. Case o código com sua lista privada e puxe os registros de entrega daquela cópia.
4. Fale com a pessoa com calma. Pergunte como o arquivo foi compartilhado do lado dela. Muitos vazamentos acabam sendo um encaminhamento descuidado.
5. Não acuse ninguém em público só com base em uma correspondência.
6. Busque orientação jurídica antes de qualquer passo formal, como uma demissão, uma cobrança com base em um NDA ou um pedido de remoção.
7. Aperte o que você envia da próxima vez: menos destinatários, partes sensíveis enviadas à parte, links de vida mais curta.

Onde essa abordagem tem limites

• Ela não impede vazamentos. Ela torna cópias marcadas rastreáveis, nada além disso.
• Ela identifica uma cópia, não uma pessoa.
• Conteúdo redigitado ou parafraseado não é rastreado, e algo recriado do zero também não.
• Uma foto de uma tela é mais difícil que uma captura de tela, porque degrada mais a imagem.
• Se conta como evidência depende de onde você está e de qual é o processo. Essa é uma pergunta para um advogado, não para uma ferramenta.
• Excluir o registro encerra a detecção. Não há um controle separado que pare a detecção enquanto o arquivo continua ativo.

FAQ

Posso provar quem vazou um arquivo se enviei a mesma cópia para todo mundo? Em geral, não a partir do próprio arquivo. Sem algo único em cada cópia, todo destinatário parece igual. Registros de entrega ainda podem ajudar a estreitar.

Uma correspondência de marca d'água basta para demitir alguém ou processar? Sozinha, não deveria ser tratada assim. Ela mostra qual cópia vazou, não quem compartilhou nem por quê. Fale com um advogado antes de qualquer passo formal.

Funciona em capturas de tela? Muitas vezes, dentro de limites: a marca é feita para sobreviver a capturas de tela, mas edições pesadas, recortes pequenos e compressão forte podem destruí-la. Cerca de 256 px de uma área detalhada é o mínimo aproximado. Em PDFs, envie o próprio PDF quando for possível. Uma captura de tela de PDF é feita por melhor esforço e não é garantida.

Posso rastrear um arquivo que enviei antes de começar a marcar? Não. Só cópias marcadas antes de serem enviadas podem ser rastreadas.

Comece antes de o próximo arquivo sair

Escolha os arquivos que mais doeriam se vazassem, dê a cada destinatário a própria cópia marcada no Markedfile e mantenha a lista privada. O conteúdo dos arquivos é processado em memória e não é armazenado. Leitura relacionada: como rastrear um PDF vazado e o que é marca d'água forense.