Cómo verificar si un PDF fue editado (sin el archivo original)

Una de las preguntas más comunes en verificación de documentos: ¿Cómo puedes saber si un PDF fue editado cuando no tienes el original para comparar? Aunque no hay una respuesta perfecta, el análisis forense puede revelar señales reveladoras de modificación.

El desafío de verificación sin original

Cuando tienes el documento original, la verificación es directa—compara los dos archivos. Pero en la mayoría de escenarios del mundo real, solo tienes el documento en cuestión. Aquí es donde el análisis forense se vuelve esencial.

Indicadores clave de edición de PDF

1. Marcas de tiempo de metadatos

Los metadatos PDF pueden contener fechas de creación y modificación. Son valores opcionales y editables sobre el procesamiento del archivo, no una cronología verificada:

• CreationDate: Cuándo el PDF fue creado por primera vez
• ModDate: Cuándo fue modificado por última vez

Qué buscar:

• Las fechas diferentes pueden reflejar una exportación, un escaneo, cambios de metadatos u otro procesamiento. Por sí solas no demuestran cambios en el contenido visible.
• Un intervalo largo no mide la cantidad ni la importancia de los cambios de contenido.
• Antes de interpretar una fecha futura, revisa las zonas horarias, el reloj del dispositivo y los valores conservados por el software.

2. Firmas múltiples de software

Los PDFs rastrean el software usado para crearlos y modificarlos:

• Creator: La aplicación que hizo el contenido original (ej. Word, InDesign)
• Producer: El software que creó/modificó el PDF mismo (ej. Adobe PDF Library)

Señales de alerta:

• Diferentes aplicaciones Creator y Producer
• Los valores diferentes de Creator y Producer son normales cuando la creación del contenido y la generación del PDF usan componentes distintos.
• Herramientas de edición de consumo para documentos "oficiales"

3. Actualizaciones incrementales

Cuando los PDFs son editados, muchas aplicaciones añaden cambios en lugar de reescribir el archivo:

• Varias coincidencias de %%EOF son una pista preliminar, no un contador fiable de ediciones. Hay que analizar la cadena de referencias cruzadas; el mismo texto puede aparecer dentro de otros datos.
• Tamaño de archivo más grande de lo esperado para el contenido
• Rastros de revisión en la tabla de referencias cruzadas

4. Anomalías estructurales

El análisis técnico puede revelar:

• Objetos huérfanos (restos de contenido eliminado)
• Numeración de objetos inconsistente
• Patrones de referencias cruzadas inusuales

Proceso de verificación paso a paso

Paso 1: Verificación rápida de metadatos

Abre las propiedades del PDF (clic derecho → Propiedades o Archivo → Propiedades):

• Nota las fechas de creación y modificación
• Verifica la información del autor y software
• Busca algo inesperado

Paso 2: Compara fechas con contexto

Pregúntate:

• ¿La fecha de creación coincide con cuándo el documento debería haberse hecho?
• ¿La fecha de modificación tiene sentido?
• ¿Hay una brecha que sugiere edición?

Paso 3: Analiza firmas de software

Considera:

• ¿Este documento lógicamente sería creado en el software mostrado?
• ¿El Producer coincide con lo que esperarías?
• ¿Hay señales de múltiples herramientas siendo usadas?

Paso 4: Usa herramientas forenses

Para análisis exhaustivo, usa herramientas que puedan:

• Detectar actualizaciones incrementales
• Contar marcadores EOF
• Analizar estructura de objetos
• Indicadores heurísticos de revisión; la puntuación no es una probabilidad calibrada de fraude.

Lo que el análisis forense puede y no puede decirte

Puede revelar:

• Que un documento fue modificado después de la creación
• Qué software se usó para modificaciones
• Línea de tiempo aproximada de cambios
• Si ocurrieron múltiples sesiones de edición

No puede probar:

• Qué contenido específico fue cambiado
• Quién hizo los cambios
• Si los cambios fueron maliciosos
• Que un documento es 100% auténtico (ausencia de señales no significa sin edición)

Escenarios del mundo real

Verificación de contrato

Un contrato fechado el mes pasado muestra:

• CreationDate: hace 3 meses
• ModDate: la semana pasada

Los metadatos describen un posible proceso de preparación, no la veracidad del documento. Solicita la exportación de origen o confirma el dato relevante con el emisor antes de concluir.

Revisión de currículum

El diploma de un candidato muestra:

• Creator: Adobe Photoshop
• Producer: Adobe Acrobat

Los metadatos describen un posible proceso de preparación, no la veracidad del documento. Solicita la exportación de origen o confirma el dato relevante con el emisor antes de concluir.

Documentos financieros

Un estado de cuenta bancario muestra:

• Múltiples marcadores de revisión
• Producer: Generic PDF Writer

Los metadatos describen un posible proceso de preparación, no la veracidad del documento. Solicita la exportación de origen o confirma el dato relevante con el emisor antes de concluir.

Limitaciones para entender

Falsos positivos

Las señales de edición no siempre significan fraude:

• Las correcciones legítimas crean rastros de modificación
• Las conversiones de formato cambian metadatos
• Algunos flujos de trabajo naturalmente producen múltiples revisiones

Falsos negativos

La manipulación sofisticada podría:

• Usar herramientas que minimizan rastros
• Regenerar todo el documento
• Manipular metadatos para parecer limpios

El contexto importa

Siempre considera:

• El origen supuesto del documento
• Prácticas normales en esa industria
• Las apuestas involucradas

Mejores prácticas

Para verificación

1. No confíes en un solo indicador - Busca múltiples señales
2. Considera el contexto - ¿Qué es normal para este tipo de documento?
3. Documenta tus hallazgos - Mantén registros de lo que verificaste
4. Busca ayuda profesional para documentos importantes - Cuando importa, usa expertos

Para seguridad de documentos

1. Solicita originales cuando sea posible - Obtén documentos directamente de fuentes
2. Usa firmas digitales - Proporcionan evidencia de manipulación
3. Verifica a través de canales alternativos - Confirma con la organización emisora

Conclusión

Aunque no puedes probar definitivamente que un PDF no fue editado sin el original, el análisis forense puede revelar indicadores fuertes de modificación. La clave es entender qué buscar e interpretar los hallazgos en contexto.

Puntos clave:

• Las marcas de tiempo de metadatos son tu primera pista
• Las firmas múltiples de software sugieren procesamiento
• Las actualizaciones incrementales indican sesiones de edición
• El contexto es crucial para interpretación

Para documentos que importan, el análisis exhaustivo usando herramientas especializadas proporciona la mejor visión de la historia de un PDF.

Revisa las señales PDF con CleanPDF e interpreta los indicadores en contexto. La puntuación no certifica autenticidad.

Referencias técnicas: estructura PDF, validación de firmas en Acrobat.