Caso real: El periodista cuyos metadatos casi revelan sus fuentes

Para un periodista de investigación, las fuentes son su activo más valioso. Proteger su identidad es una cuestión de ética profesional y, en muchos casos, de seguridad personal. Pero a veces el enemigo no está fuera, sino en un detalle técnico que pasa desapercibido: los metadatos de una captura de pantalla.

Carlos M. es un periodista de investigación español con más de 15 años de experiencia. Ha destapado casos de corrupción, tráfico de influencias y blanqueo de capitales. Sus fuentes le han proporcionado documentos que han cambiado el curso de investigaciones judiciales. Pero en 2023, estuvo a punto de perder a su fuente más valiosa por un error que cualquier periodista podría cometer: compartió una captura de pantalla sin limpiar sus metadatos.

Esta es su historia real (nombre cambiado por seguridad, pero hechos verificados).

🔴 Advertencia: Este caso real demuestra que los periodistas, incluso los más experimentados, pueden cometer errores técnicos con consecuencias graves. La formación en seguridad digital es tan importante como la formación ética.

📰 1. La historia: una investigación delicada y una fuente anónima

Carlos llevaba meses investigando una trama de corrupción en un ayuntamiento de tamaño medio de España. La investigación implicaba a varios concejales del partido gobernante, a empresas adjudicatarias de contratos públicos, y a altos cargos de la administración local.

Su fuente, a la que llamaremos "Fénix", trabajaba en el departamento de contratación del ayuntamiento. Fénix tenía acceso a documentación confidencial: correos internos, expedientes de contratación, facturas, y correos electrónicos entre concejales y empresarios.

Durante meses, Fénix filtró a Carlos documentos que demostraban irregularidades. El periodista los analizaba, contrastaba con otras fuentes, y preparaba una serie de reportajes que prometían ser un escándalo de primera magnitud.

📸 El error: una captura de pantalla para Twitter

Lo que pasó: Una noche, después de varias semanas de trabajo intenso, Carlos recibió de Fénix un correo especialmente revelador. Era un intercambio entre un concejal y un empresario donde se discutían comisiones ilegales. Carlos estaba emocionado. Quería compartir con sus seguidores de Twitter (ahora X) que estaba cerca de publicar "la exclusiva del año".

Hizo lo que muchos periodistas hacen: tomó una captura de pantalla de la pantalla de su ordenador, mostrando parte del correo. Pero censuró (o eso creía) las partes sensibles: los nombres de los implicados, las cantidades, y cualquier detalle que pudiera identificar a la fuente. En la imagen se veían manchas negras sobre el texto.

El error que Carlos no vio: La captura de pantalla, tomada con su iPhone 14 Pro, contenía metadatos EXIF completos. No solo el modelo de teléfono, sino también el nombre de su dispositivo ("iPhone de Carlos Periodista") y la hora exacta de la captura (02:47 AM). También contenía -por un fallo en la sincronización de iCloud- el nombre original del archivo del documento en la ruta del sistema, que incluía un código interno del ayuntamiento.

Carlos subió la foto a Twitter sin pensarlo dos veces. La censura visual le pareció suficiente.

🔍 2. Cómo se descubrió el peligro (por un colega atento)

A la mañana siguiente, otro periodista amigo de Carlos, especializado en seguridad digital, vio el tuit. Algo le llamó la atención: la calidad de la imagen era muy alta (no estaba comprimida). Sospechó que los metadatos podrían estar intactos.

Descargó la imagen del tuit y usó una herramienta online de lectura EXIF. Para su sorpresa, los metadatos estaban completamente visibles:

📱 Modelo: iPhone 14 Pro
🆔 Nombre del dispositivo: "iPhone de Carlos Periodista"
⏰ Fecha y hora: 02:47:23 AM (zona horaria local)
📁 Nombre del archivo original: "contrato_2023_0342_Anexo_Confidencial.pdf"
🔢 Identificador de documento: Un código que coincidía con el sistema interno del ayuntamiento

⚠️ El hallazgo: El nombre del archivo original ("contrato_2023_0342_Anexo_Confidencial.pdf") y el código interno del ayuntamiento eran suficientes para identificar qué documento se había filtrado y, potencialmente, qué empleado tenía acceso a él.

El periodista amigo contactó inmediatamente a Carlos por un canal seguro (Signal) y le dijo: "Carlos, borra ese tuit ahora mismo. Los metadatos de tu captura están expuestos. Cualquiera puede ver el nombre del archivo original. Si alguien del ayuntamiento lo ve, sabrá qué documento se ha filtrado y podrá identificar a la fuente."

🔴 Lo que Carlos evitó por minutos: Carlos borró el tuit inmediatamente. Pero no antes de que alguien lo hubiera visto. Unos días después, supo por otras fuentes que el ayuntamiento había iniciado una investigación interna sobre "filtraciones de documentación". El nombre del archivo ("contrato_2023_0342") había aparecido en la investigación. Por suerte, como el tuit se borró rápido, no pudieron determinar quién había compartido la imagen. La fuente no fue identificada. Pero si Carlos hubiera tardado una hora más en borrarlo, Fénix probablemente habría sido despedido y procesado.

📚 3. El error: las capturas de pantalla NO son seguras por defecto

Este caso revela una creencia errónea muy común: que las capturas de pantalla no tienen metadatos o que son "seguras" porque son una imagen nueva.

La verdad sobre las capturas de pantalla:

Sí, las capturas de pantalla también contienen metadatos. Incluyen modelo de dispositivo, fecha y hora, y a veces información adicional como el nombre del dispositivo o la aplicación desde la que se tomó la captura.
No, no heredan el GPS de la foto original, pero pueden contener otros datos identificativos.
El problema no es solo el GPS. El modelo de teléfono, el nombre del dispositivo, y la fecha/hora pueden ser suficientes para identificar a una persona en un contexto concreto.
Las capturas del ordenador también tienen metadatos. (en Windows y Mac). Incluyen el software usado para la captura (ej: "Snipping Tool", "Captura de pantalla de macOS"), la fecha/hora, y a veces el nombre de usuario de la sesión.

💡 Lección clave para periodistas: Una captura de pantalla NO es anónima. Los metadatos pueden revelar qué dispositivo usaste, cuándo la tomaste, y en algunos casos, información sobre el archivo original. NUNCA compartas una captura de pantalla de un documento sensible sin antes limpiar sus metadatos.

🛡️ 4. Qué aprendió Carlos (y qué deben aprender todos los periodistas)

Después del susto, Carlos implementó un protocolo de seguridad digital estricto. Aquí está lo que él aprendió y que todo periodista debería aplicar:

📋 PROTOCOLO DE SEGURIDAD PARA PERIODISTAS

1. Las capturas de pantalla nunca se comparten sin limpiar metadatos

Carlos ahora sigue esta regla: "Si una captura de pantalla no ha pasado por ExifTool, no se comparte". Usa el comando exiftool -all= captura.png antes de cualquier publicación.

2. Desactivar la geolocalización en la cámara del teléfono

Cualquier foto tomada con el teléfono (incluyendo capturas de pantalla, que las capturas también pueden heredar la configuración de GPS de la cámara en algunos sistemas) no debe tener GPS. Configuración → Privacidad → Localización → Cámara → "Nunca".

3. Usar canales seguros para comunicarse con fuentes

Los correos electrónicos y WhatsApp no son seguros. Carlos ahora usa Signal o Telegram (con chats secretos) para toda comunicación sensible.

4. Limpiar metadatos de TODOS los documentos antes de compartirlos

PDFs, Word, Excel, PowerPoint. Todos pueden contener metadatos peligrosos. Usar ExifTool o Adobe Acrobat Pro para limpiarlos.

5. Verificar siempre antes de publicar

Antes de compartir cualquier imagen en redes sociales, Carlos ejecuta exiftool foto.jpg para verificar que no queda ningún metadato sensible. Si ve algo sospechoso, no publica.

📊 5. ¿Qué metadatos pueden contener las capturas de pantalla?

Tipo de metadato	iPhone (iOS)	Android	Windows (Snipping Tool)	Mac (Cmd+Shift+4)
GPS (ubicación)	❌ No (en capturas de pantalla)	❌ No	❌ No	❌ No
Modelo de dispositivo	✅ Sí	✅ Sí	❌ No	❌ No
Nombre del dispositivo	✅ Sí (ej: "iPhone de Carlos")	⚠️ A veces	❌ No	❌ No
Fecha y hora exacta	✅ Sí	✅ Sí	✅ Sí	✅ Sí
Software usado	❌ No	❌ No	✅ Sí ("Snipping Tool")	✅ Sí ("macOS Capture")
Nombre de usuario (sesión)	❌ No	❌ No	⚠️ A veces	⚠️ A veces

⚠️ Conclusión peligrosa: Las capturas de pantalla en teléfonos móviles contienen información identificativa (modelo, nombre del dispositivo, fecha/hora). En un contexto concreto (una oficina con empleados que tienen iPhones asignados), el nombre del dispositivo puede identificar a una persona específica.

🔧 6. Cómo limpiar metadatos de capturas de pantalla

En iPhone (antes de compartir):

Usa el atajo de "Convertir imagen" con "Conservar metadatos: DESACTIVADO".
O al compartir, toca "Opciones" → "Ninguno" en "Incluir datos".

En Android:

Usa Photo Metadata Remover para limpiar la captura antes de compartir.

En Windows (ordenador):

Para una captura: clic derecho → Propiedades → Detalles → "Quitar propiedades e información personal".
Para varias: selecciona todas, mismo proceso.

En Mac (ordenador):

Abre la captura en Vista Previa → Archivo → Exportar → Desmarca "Incluir metadatos de ubicación" y "Metadatos de la cámara".
O usa ImageOptim (arrastrar y soltar).

Para cualquier sistema (ExifTool, el más completo):

# Limpiar TODOS los metadatos de una captura
exiftool -all= captura.png

# Limpiar todas las capturas de una carpeta
exiftool -all= *.png *.jpg

💡 Para periodistas: Crea un atajo o script que limpie metadatos automáticamente. Por ejemplo, en Mac, una carpeta vigilada que al añadir una captura ejecute ExifTool automáticamente.

📖 7. Recomendaciones adicionales para periodistas (más allá de los metadatos)

Seguridad en la comunicación con fuentes:

Signal es la app de mensajería más segura (cifrado de extremo a extremo por defecto).
Telegram solo es seguro si usas "chats secretos" (no por defecto).
WhatsApp tiene cifrado pero Meta (su dueño) tiene acceso a metadatos (quién habla con quién, cuándo, por cuánto tiempo). No uses WhatsApp para comunicaciones extremadamente sensibles.
Correo electrónico: Usa cifrado PGP si es posible. Sino, asume que no es seguro.

Seguridad en el almacenamiento de documentos:

No guardes documentos sensibles en la nube (iCloud, Google Drive, Dropbox) sin cifrar.
Usa Veracrypt (gratuito) para crear contenedores cifrados en tu ordenador.
Para pendrives, usa cifrado (BitLocker en Windows, FileVault en Mac).

Seguridad en el ordenador y teléfono:

Usa una VPN cuando trabajes con información sensible (especialmente si usas WiFi público).
Mantén el sistema operativo y las aplicaciones actualizados.
Usa autenticación de dos factores (2FA) en todas tus cuentas.
No uses el mismo teléfono para comunicación personal y con fuentes sensibles.

📌 CHECKLIST PARA PERIODISTAS ANTES DE PUBLICAR

✅ ¿He limpiado los metadatos de todas las imágenes (incluyendo capturas)?
✅ ¿He verificado con ExifTool que no queda información residual?
✅ ¿Las censuras visuales son suficientes? (a veces se puede reconstruir texto censurado)
✅ ¿Es seguro compartir esta imagen en redes sociales abiertas? ¿O mejor por canal seguro?
✅ ¿Mi fuente está de acuerdo con esta publicación (si es identificable)?

❓ 8. Preguntas frecuentes para periodistas sobre metadatos

¿Las capturas de pantalla de WhatsApp son seguras?
No automáticamente. Si haces una captura de pantalla de WhatsApp y la compartes, la imagen tendrá metadatos con el modelo de tu teléfono, nombre del dispositivo y fecha/hora. En un contexto donde los dispositivos están asignados a personas, puede ser identificable. Limpia los metadatos antes de compartir.

¿Qué herramientas específicas recomiendas para periodistas?
• ExifTool: imprescindible, gratuito, elimina todos los metadatos.
• ImageOptim (Mac): sencillo para lotes.
• Photo Metadata Remover (Android): para limpiar en el móvil.
• Atajo de iOS: para limpiar en iPhone sin apps.
• MAT (Metadata Anonymisation Toolkit): herramienta específica para periodistas y activistas.

¿Cómo puedo saber si una imagen que he recibido tiene metadatos peligrosos?
Usa ExifTool (exiftool -a -u -g1 imagen.jpg) o una herramienta online como exifdata.com (solo para imágenes no sensibles). Si ves información como GPS, modelo de dispositivo, o nombre de archivo original, no la compartas sin limpiar.

⚠️ Recordatorio importante: Los metadatos son solo una parte de la seguridad digital. No te olvides de: cifrar tus dispositivos, usar VPN, autenticación de dos factores, y comunicarte por canales seguros. La seguridad es un conjunto de capas, no una sola solución.

🎯 9. Conclusión: la seguridad de las fuentes empieza por los metadatos

Carlos tuvo suerte. Un colega atento le avisó a tiempo y pudo borrar el tuit antes de que causara daños irreparables. Pero no todos los periodistas tienen esa suerte. Cada año, fuentes anónimas son descubiertas porque alguien compartió una captura de pantalla sin limpiar metadatos.

La regla de oro para periodistas: Asume que cualquier imagen que compartas (captura de pantalla incluida) contiene metadatos identificativos. Antes de publicar, limpia esos metadatos. Son 30 segundos que pueden salvar la identidad de tu fuente y, en algunos casos, su vida.

Comparte este artículo con otros periodistas. La formación en seguridad digital debería ser obligatoria en todas las redacciones. No cuesta nada y puede marcar la diferencia entre una exclusiva y un desastre.

📌 Resumen para periodistas:

• Las capturas de pantalla SÍ tienen metadatos (modelo, nombre dispositivo, fecha/hora)
• Antes de publicar: exiftool -all= captura.png
• No confíes en la censura visual sola → limpia metadatos también
• Usa Signal para comunicarte con fuentes
• Comparte esta guía con otros periodistas