Często da się zauważyć ślady edycji PDF: datę modyfikacji późniejszą niż datę utworzenia, pole Producer z nazwą edytora PDF, jeden wiersz w nieco innej czcionce albo tekst do zaznaczenia ukryty pod prostokątem. Każdy może to sprawdzić w kilka minut w zwykłym czytniku PDF.

Uczciwe ograniczenie: żaden z tych śladów nie jest dowodem. Starannie zmieniony plik może wyglądać czysto, a nietknięty może wyglądać podejrzanie tylko dlatego, że ktoś go ponownie zapisał. Tylko dwie rzeczy mogą naprawdę potwierdzić, że dokument jest autentyczny: ważny podpis cyfrowy albo sprawdzenie u tego, kto go wystawił. Cała reszta to poszlaki.

Krok 1: przeczytaj właściwości dokumentu

Większość czytników PDF pokazuje metadane pliku. W Adobe Acrobat Reader są w menu Plik, potem Właściwości. W innych czytnikach szukaj Właściwości dokumentu albo przycisku informacji. Interesuje Cię kilka pól.

  • Data utworzenia i modyfikacji (Created i Modified). Jeśli modyfikacja jest dni lub miesiące po utworzeniu, coś ponownie zapisało plik. Może to być edycja albo po prostu dodanie komentarza czy wypełnienie formularza.
  • Producent i twórca (Producer i Creator). Te pola podają nazwę oprogramowania. Wyciąg bankowy, którego Producer to edytor PDF dla zwykłych użytkowników, a nie system, jakiego używałby bank, zasługuje na drugie spojrzenie.
  • Autor i tytuł (Author i Title). Czasem zostają z szablonu albo wcześniejszego dokumentu, co może zdradzić, skąd plik pochodzi.

Metadane mówią, co zrobił ostatni program, a nie kto napisał dokument. Prawdziwy przykład: PDF pobrany z edytora Kopitiam ma jako Producer pdf-lib (otwartą bibliotekę, z której korzysta Kopitiam), a jego daty utworzenia i modyfikacji to moment pobrania. Oryginalny autor i tytuł nie są przenoszone. Świeża data utworzenia nie oznacza więc, że dokument jest nowy, tylko że nowy jest plik.

Krok 2: przyjrzyj się tekstowi

Powiększ do 200 lub 400 procent fragmenty, które mają znaczenie: nazwiska, kwoty, daty, numery kont. Zmiany są zwykle małe i celowane, więc tam widać ślady.

  • Czcionka. Czy jedna cyfra ma nieco inny krój, grubość lub rozmiar niż liczby obok? Patrz na kształty, które różnią się między czcionkami, na przykład cyfry 1, 4 i 7.
  • Wyrównanie. Czy wiersz leży trochę wyżej lub niżej niż sąsiednie albo odstępy między znakami są nierówne?
  • Kolor. Czy czerń jednego słowa jest odrobinę inna albo na barwionym tle widać za nim delikatny prostokąt?
  • Sumy. Czy liczby nadal się sumują? Na pasku wypłaty lub fakturze zmieniona kwota często sprawia, że suma albo wiersz podatku przestają się zgadzać.

Niektóre czytniki pokazują też listę czcionek użytych w pliku. Adobe Acrobat Reader ma kartę Czcionki w oknie Właściwości. Jeśli dokument jest złożony jednym krojem, a lista zawiera też inny, na przykład Helvetica, zapytaj, gdzie ta czcionka jest użyta.

Krok 3: spróbuj zaznaczyć i skopiować tekst

To najbardziej przydatny test, którego większość ludzi nigdy nie próbuje. Zaznacz przeciągnięciem tekst w podejrzanym wierszu, skopiuj go i wklej do zwykłej notatki.

  • Jeśli wklejony tekst różni się od tego, co widzisz, w pliku jest ukryty tekst. Częsty sposób zmiany PDF to zakrycie starych słów białym prostokątem i wpisanie na nim nowych. Stare słowa często wciąż są w pliku.
  • Jeśli jeden wiersz nie daje się zaznaczyć, a reszta strony tak, ten fragment może być obrazem wklejonym na oryginał.
  • Jeśli cała strona jest obrazem, a pozostałe są tekstem, mogła zostać podmieniona albo po prostu zeskanowana osobno.

Narzędzie Zakryj i zastąp w Kopitiam działa właśnie tak. Kładzie na istniejącym tekście prostokąt w pasującym kolorze i dodaje na nim nowe pole tekstowe, a oryginalny tekst zostaje w pliku pod spodem. Dlatego dobrze nadaje się do poprawienia literówki, ale nie do ukrywania informacji. Do tego służy narzędzie Anonimizuj w Kopitiam, które zamienia każdą anonimizowaną stronę w obraz, więc tekst pod spodem naprawdę znika. PDF do Word i tekstu pozwala wyciągnąć każde słowo z pliku, także zakryte, i przeczytać wynik. Działa w przeglądarce, więc plik nie jest wysyłany.

Wyjątkiem są zeskanowane PDF. Skan to obraz strony, więc nie ma tekstu do zaznaczenia ani listy czcionek do porównania. Jeśli skan przeszedł przez rozpoznawanie tekstu, ukryta warstwa tekstowa może zawierać błędy, nawet gdy nikt niczego nie edytował. Przy skanach zostają Ci tylko oględziny i wystawca.

Krok 4: sprawdź, czy jest podpis cyfrowy

Podpis cyfrowy to jedyny element pliku, który naprawdę potrafi wykryć zmianę. To kryptograficzna pieczęć utworzona certyfikatem osoby podpisującej. Jeśli po podpisaniu zmieni się choćby jeden znak, weryfikacja się nie powiedzie.

  1. Otwórz PDF w czytniku, który weryfikuje podpisy, na przykład w Adobe Acrobat Reader.
  2. Poszukaj paska podpisu u góry lub panelu podpisów i otwórz go.
  3. Przeczytaj, co tam jest: czy podpis jest ważny, kto podpisał i czy dokument zmieniono od podpisania.
  4. Jeśli zgłasza zmiany po podpisaniu, przeczytaj szczegóły. Niektóre dokumenty dopuszczają późniejsze wypełnianie formularza lub komentarze, a panel pokazuje, co zmieniono.

Dwie rzeczy warto rozróżniać. Po pierwsze, obraz odręcznego podpisu nie jest podpisem cyfrowym. Narzędzie Podpis w Kopitiam, jak większość edytorów PDF, wstawia narysowany podpis jako obraz, a to nic nie mówi o tym, czy plik zmieniono. Po drugie, ważny podpis cyfrowy dowodzi, że plik nie zmienił się od podpisania. Nie dowodzi, że to, co napisano, było prawdą już wcześniej.

Zapis przyrostowy: historia ukryta w niektórych plikach

Niektóre programy PDF zapisują zmiany, dopisując je na końcu pliku zamiast przepisywać go od nowa. Wcześniejsza wersja wciąż jest w środku, pod zmianami. Specjalistyczne narzędzia potrafią wyciągnąć te wcześniejsze wersje, a panele podpisów w niektórych czytnikach pozwalają obejrzeć wersję, która została podpisana.

Możesz zrobić orientacyjny test. Otwórz kopię PDF w zwykłym edytorze tekstu i wyszukaj %%EOF, które oznacza koniec zapisanej wersji. Więcej niż jedno wystąpienie może znaczyć, że plik zapisywano przyrostowo. To tylko wskazówka: niektóre pliki mają dwa ze zwykłych technicznych powodów, a wiele edytorów, w tym Kopitiam, zapisuje zupełnie nowy plik, który nie zostawia wcześniejszych wersji.

Dlaczego nic z tego nie jest dowodem

  • Metadane łatwo zmienić lub usunąć. Brak metadanych niczego nie dowodzi, a obecne metadane można sfałszować.
  • Niewinne działania zostawiają te same ślady. Drukuj, a potem Zapisz jako PDF, kompresja pliku czy wypełnienie formularza zmieniają pole Producer i daty, nie zmieniając treści.
  • Spłaszczenie PDF łączy dodany tekst ze stroną, więc test zaznaczania i kopiowania może już nie pokazać osobnej warstwy.
  • Staranny fałszerz może dopasować czcionki i zbudować stronę od zera, nie zostawiając niczego, co dałoby się wykryć w domu.

Traktuj więc to, co znajdziesz, jako powód do pytania, a nie wyrok. Jeśli pasek wypłaty od kandydata na najemcę wygląda dziwnie, nie oskarżaj nikogo z powodu czcionki. Poproś o dokument ponownie kanałem, któremu ufasz, albo potwierdź dane u pracodawcy.

Gdy to naprawdę ważne, idź do źródła

Przy wszystkim, co ma wagę finansową lub prawną, jak wyciąg bankowy do kredytu, pasek wypłaty do najmu czy świadectwo do pracy, wiarygodne sprawdzenie odbywa się u wystawcy. Poproś, żeby bank, pracodawca lub instytucja wysłali Ci dokument bezpośrednio, albo poproś o potwierdzenie kluczowych danych. Niektórzy wystawcy drukują numer referencyjny lub kod QR, który można sprawdzić na ich oficjalnej stronie. Adres tej strony wpisz sam, zamiast ufać linkowi wydrukowanemu na dokumencie.

Jeśli spór może trafić do sądu lub ubezpieczyciela, zachowaj oryginalny plik dokładnie w takiej postaci, w jakiej go dostałeś, i skorzystaj z pomocy specjalisty. Rzetelna analiza kryminalistyczna wymaga specjalistycznych narzędzi i wiedzy. Kopitiam to edytor PDF, a nie narzędzie kryminalistyczne, a testy z tego poradnika to pierwsze spojrzenie, a nie dochodzenie.