Metadatos, fechas y pivotes: ficha de exiftool · CTF de OSINT: investigar un expediente ficticio

Una foto de teléfono guarda un bloque EXIF con la marca y el modelo, varias fechas y, si la ubicación estaba activa, las coordenadas GPS. En un reto de OSINT ahí suele estar media respuesta; la otra media, en el texto alrededor.

Ficha de exiftool

Nombre: exiftool une EXIF (Exchangeable Image File Format, "formato de archivo de imagen intercambiable") y tool, "herramienta". Lo escribió Phil Harvey en Perl.
Qué hace: lee, cambia y borra metadatos de fotos, PDF y documentos.
Dónde existe: en Ubuntu o Kali, sudo apt install libimage-exiftool-perl. En Windows se descarga de exiftool.org; el ejecutable viene como exiftool(-k).exe y hay que renombrarlo a exiftool.exe para usarlo desde la consola.

Sintaxis

exiftool [OPCIONES] [-ETIQUETA...] [-ETIQUETA=[VALOR]...] ARCHIVO...

Opciones principales

Opción	Qué hace	Ejemplo
`-ETIQUETA`	Muestra solo ese campo	`exiftool -DateTimeOriginal foto.jpg`
`-c FORMATO`	Formato de las coordenadas	`exiftool -c "%.6f" -GPSPosition foto.jpg`
`-n`	Valores numéricos sin traducir	`exiftool -n -GPSPosition foto.jpg`
`-gps:all=`	Borra solo el bloque GPS	`exiftool -gps:all= foto.jpg`
`-all=`	Borra todo lo que puede escribir	`exiftool -all= foto.jpg`

Cuatro fechas que no son la misma

El error que más veo: tomar la primera fecha que aparece. Hay al menos cuatro y solo una dice cuándo se tomó la foto.

Fecha	Dónde está	Qué significa
`DateTimeOriginal`	EXIF	Momento de la toma, en hora local del teléfono
`ModifyDate`	EXIF	Última vez que un programa editó el archivo (un filtro, un recorte)
`FileModifyDate`	Sistema de archivos	La de la copia o del zip; no es de la foto
Fecha de publicación	La red social	Cuándo se subió, a veces días después

DateTimeOriginal no trae zona horaria; OffsetTimeOriginal (-06:00 en Costa Rica) la completa. GPSDateStamp y GPSTimeStamp vienen en UTC y sirven para confirmar.

GPS: grados, minutos, segundos y el signo

exiftool muestra las coordenadas así:

GPS Position                    : 9 deg 51' 50.40" N, 83 deg 55' 8.40" W

A grados decimales: grados + minutos/60 + segundos/3600. N y E son positivos; S y W, negativos, así que en Costa Rica la longitud siempre es negativa. Quien olvida el signo de la longitud pone una foto de Cartago en el mar, al este de Sri Lanka.

lat = 9 + 51/60 + 50.40/3600
lon = -(83 + 55/60 + 8.40/3600)
print(round(lat, 4), round(lon, 4))

9.864 -83.919

Sin exiftool: en Windows, clic derecho > Propiedades > Detalles muestra la fecha de captura y el GPS. En CyberChef, la operación Extract EXIF lee la foto sin instalar nada; según la versión, da las fechas como segundos UNIX y la referencia (N, W) en una etiqueta aparte.

Pivotar

Yo anoto cada pivote en una tabla de tres columnas: dato, de dónde salió y qué me permite buscar. "La que rescaté" en un comentario no dice nada sola; junto a la página "Sobre mí", da un nombre. Y desconfíe de lo fácil: un comentario que pregunta "¿eso es por Grecia?" es la suposición de alguien, no un dato.

Así se encadenan los pivotes, cada uno con su fila en la bitácora:

A partir de una foto se abren dos ramas: los metadatos EXIF dan fecha y GPS, y el GPS ubica un lugar en el mapa; un comentario de la publicación lleva a una página «Sobre mí» y de ahí a un nombre. Cada pivote se anota en una bitácora de tres columnas: dato, fuente y qué permite buscar. Una suposición de otro comentario aparece tachada. — [fig] Pivotar es usar cada dato verificado para buscar el siguiente, y anotar de dónde salió. Las suposiciones de terceros no cuentan como pivote.

Errores frecuentes

Error: File not found - amanecer.jpg

El nombre o la ruta están mal; revise mayúsculas y la carpeta actual.

'exiftool' is not recognized as an internal or external command,
operable program or batch file.

En Windows falta renombrar exiftool(-k).exe o no está en la carpeta actual.