Sådan beviser du, hvem der lækkede en fil (og hvad der tæller som bevis)

Hvorfor „hvem lækkede den” er svært

Når en fil dukker op et sted, den ikke skulle, ligner den som regel præcis den kopi, alle andre fik. Et skærmbillede, en videresendt PDF eller et billede, der er uploadet igen, fjerner det meste af det, der kunne identificere den: filnavnet, metadataene, den e-mail den kom fra. Uden noget unikt i hver kopi ligner hver modtager den samme.

Derfor sker det arbejde, der betyder noget, før lækket: Du sender hver person en kopi, du kan skelne senere, og du fører en registrering af, hvem der fik hvilken.

Hvad du faktisk kan fastslå

Tænk det som lag. Hvert lag snævrer det ind, og intet er afgørende alene.

1. Hvilken kopi der lækkede. Hvis hver modtager havde en unikt mærket kopi, fortæller detektionen af mærket dig, hvilken kopi den lækkede fil kom fra.
2. Hvem der modtog den kopi. Din egen private liste over modtagerkoder knytter kopien til en person, et team eller en virksomhed.
3. Hvordan den blev leveret. Sendte e-mails, delingslinks, downloadlogs og adgangsregistreringer viser, hvornår og hvordan den kopi gik ud.
4. Hvad der skete bagefter. Hvem der ellers havde adgang til den persons indbakke, enhed eller delte mappe. Her holder det op med at være teknisk.

Et match dækker det første lag. Dine registreringer dækker det andet og det tredje. Det fjerde kræver som regel en samtale.

Registreringer der er værd at gemme (før noget lækker)

• En privat modtagerliste: hvilken kode der gik til hvem, og hvornår.
• De sendte kopier selv, eller en måde at genskabe dem på, så du kan sammenligne senere.
• Leveringsregistreringer: den sendte e-mail, delingslinket og dets adgangslog, eller uploadet til et datarum.
• Konteksten: den NDA eller de vilkår de accepterede, hvis der er nogen.

Gem listen et sted, hvor kun du eller dit team kan se den. En modtagerkode, der deles offentligt, holder op med at være nyttig.

Sådan virker et mærke pr. modtager

Et usynligt forensisk vandmærke ændrer pixlerne på små måder, ingen bemærker ved normal visningsstørrelse, og hver kopi får et andet mønster. Fordi mønsteret er spredt over hele billedet og gentaget, kan en del overleve et skærmbillede, en ny lagring eller et udsnit.

Med Markedfile bærer hver understøttet fil også et HMAC-signeret metadatamærke for det arbejdsområde. Det hjælper, når filen deles, som den er, men skærmbilleder og mange platforme fjerner metadata, så det visuelle mønster ofte er det, der er tilbage. PNG-, JPEG- og WebP-billeder, PDF'er, tekstfiler og ZIP-baserede pakker (herunder Office-filer) kan mærkes. Andre binære filer kommer tilbage inde i en mærket ZIP. Mærker i tekst og pakker er skrøbelige: De overlever hverken skærmbilleder eller udtræk af indholdet. Billeder og PDF'er bærer det visuelle mønster.

Når der findes et match, rapporterer Markedfile en tillidsscore: cirka 99 % for den præcise fil, 95 % alene fra metadatamærket og cirka 81 % for en JPEG, der er gemt igen, eller et skærmbillede. Det er rapporterede scorer, ikke garanteret detektion. For video på Business og Enterprise bliver et match kun på billedet på 85 % tillid eller derunder. Sletning af posten afslutter detektionen.

Hvad et match viser, og hvad det ikke viser

En modtager kan have videresendt den til en kollega, mistet en bærbar eller haft en kompromitteret konto. Derfor er et match et spor, du følger op på, ikke et bevis for hensigt.

Hvad der gør et mærke sværere at detektere

• Udsnit: Cirka 256 px af et detaljeret område er det omtrentlige minimum. Mindre eller fladere områder kan fejle. Det er en grov rettesnor, ikke et loft.
• Små billeder: Billeder og videobilleder under 96×96 px afvises; alt andet bruger det samme mønster.
• Tunge redigeringer: stærk komprimering, sløring, filtre eller retouchering kan ødelægge mærket.
• Rotationer: De fleste rotationer på 90° er fine. En rotation kombineret med stærk, ujævn strækning kan ødelægge det.
• PDF-skærmbilleder: Et PDF-skærmbillede er efter bedste evne og er ikke garanteret. Upload selve PDF'en, når du kan. Det kan tjekkes, hvis det viser den øverste halvdel af en tekstside med margener, cirka 200 punkter i kvadrat på en billet, cirka 320 punkter i kvadrat på et slide eller cirka 160 punkter i kvadrat på et fotografi. Tæt tekst alene detekteres ikke.
• Umærkede filer: alt, der blev sendt, før det var mærket, kan ikke spores.

Detektion er aldrig 100 %.

Hvad du gør, når noget lækker

1. Gem det, du fandt, med hvor og hvornår du fandt det. Få den originale fil, hvis du kan, ikke kun et skærmbillede.
2. Kør den gennem Detektér, og notér resultatet og tillidsscoren.
3. Match koden med din private liste, og hent leveringsregistreringerne for den kopi.
4. Tal roligt med personen. Spørg, hvordan filen blev delt i den ende. Mange læk viser sig at være skødesløs videresendelse.
5. Anklag ikke nogen offentligt kun ud fra et match.
6. Få juridisk rådgivning før et formelt skridt, såsom en opsigelse, et krav under en NDA eller en anmodning om nedtagning.
7. Stram det, du sender næste gang: færre modtagere, følsomme dele sendt for sig, links med kortere levetid.

Hvor denne tilgang har grænser

• Den forhindrer ikke læk. Den gør mærkede kopier sporbare, ikke mere.
• Den udpeger en kopi, ikke en person.
• Indhold, der er skrevet om eller omformuleret, spores ikke, og det gør noget, der er genskabt fra bunden, heller ikke.
• Et foto af en skærm er sværere end et skærmbillede, fordi det forringer billedet mere.
• Om det tæller som bevis afhænger af, hvor du er, og hvilken proces der gælder. Det er et spørgsmål til en advokat, ikke til et værktøj.
• Sletning af posten afslutter detektionen. Der er ingen separat styring, der stopper detektionen, mens filen bliver ved med at være aktiv.

FAQ

Kan jeg bevise, hvem der lækkede en fil, hvis jeg sendte den samme kopi til alle? Som regel ikke ud fra selve filen. Uden noget unikt i hver kopi ligner hver modtager den samme. Leveringslogs kan stadig hjælpe med at snævre det ind.

Er et vandmærkematch nok til at fyre nogen eller sagsøge? I sig selv bør det ikke behandles sådan. Det viser, hvilken kopi der lækkede, ikke hvem der delte den, eller hvorfor. Tal med en advokat før et formelt skridt.

Virker det på skærmbilleder? Ofte, inden for grænser: Mærket er lavet til at overleve skærmbilleder, men tunge redigeringer, små udsnit og stærk komprimering kan ødelægge det. Cirka 256 px af et detaljeret område er det omtrentlige minimum. For PDF'er skal du uploade selve PDF'en, når det er muligt. Et PDF-skærmbillede er efter bedste evne og er ikke garanteret.

Kan jeg spore en fil, jeg sendte, før jeg begyndte at mærke? Nej. Kun kopier, der blev mærket, før de blev sendt, kan spores.

Start før den næste fil går ud

Vælg de filer, der ville gøre mest ondt, hvis de lækkede, giv hver modtager sin egen mærkede kopi i Markedfile, og hold listen privat. Filindhold behandles i hukommelsen og gemmes ikke. Læs også: sådan sporer du en lækket PDF og hvad forensisk vandmærkning er.