Búsqueda inversa de imágenes y metadatos de una foto

Una foto lleva dos tipos de información. Una está dentro del archivo: los metadatos que escribe la cámara o el programa que la editó. La otra está fuera: las copias de la misma imagen publicadas en otros sitios, a veces años antes. Las dos sirven para verificar contenidos, detectar perfiles falsos y entender qué revela una imagen que tú mismo has publicado.

Usos legítimos

• Verificación. Saber si una foto que circula hoy es de hoy o de hace años, y si corresponde al lugar que dice.
• Fraude. Perfiles con fotos robadas, anuncios de alquiler o de venta con imágenes copiadas de otro sitio.
• Seguridad de una organización. Fotos y documentos publicados con metadatos que revelan más de lo previsto: autor, software, ubicación.
• Autoauditoría. Comprobar si tus fotos aparecen donde no las pusiste.

Qué hay dentro de una foto

Los formatos de imagen admiten varios bloques de metadatos:

• EXIF. Lo escribe la cámara o el móvil: marca y modelo, objetivo, fecha y hora de la toma, ajustes de exposición, orientación, a veces el número de serie y, si la ubicación estaba activada, las coordenadas GPS y la altitud.
• XMP e IPTC. Los añaden los programas de edición y las agencias: autor, copyright, pie de foto, historial de edición.
• El software. Muchas fotos indican con qué programa se procesaron, un dato útil para saber si una imagen pasó por un editor.

Dos cautelas. La fecha EXIF es la del reloj del aparato, que puede estar mal, y a menudo no indica la zona horaria: los campos de desfase horario existen desde la versión 2.31 del estándar, pero no todos los aparatos los rellenan. Y los metadatos se pueden editar o falsificar con facilidad: son una pista, no una prueba.

La herramienta habitual para leerlos es ExifTool, que reconoce miles de etiquetas. Los documentos funcionan igual: un PDF o un fichero de Office suele guardar autor, empresa, programa y fechas.

En Pandora, el clip de la portada sube una foto o un documento y lee sus metadatos: aparato, fecha, software, autor y, si las hay, las coordenadas, que pasan al mapa. De un documento saca el autor, el último editor, la empresa, el programa y las fechas.

Por qué las redes sociales borran los metadatos

Si descargas una foto de una red social grande, lo normal es que no tenga EXIF. Las plataformas eliminan los metadatos al subirla, sobre todo la ubicación, por privacidad: unas coordenadas en una foto pueden revelar dónde vive alguien. Además, recomprimen la imagen y generan sus propias versiones.

Las consecuencias para una investigación:

• Una foto descargada de una red social casi nunca dirá dónde ni con qué se hizo.
• El archivo original sí puede conservarlos: el que se envía como documento, el que está en una web personal o en algunas plataformas de fotografía.
• La ausencia de metadatos no prueba nada: ni que la foto sea falsa ni que sea auténtica.

Búsqueda inversa: dónde más aparece la imagen

Los buscadores inversos comparan una imagen con su índice y devuelven páginas donde aparece la misma imagen o una parecida. Los más conocidos son Google Lens, Bing Visual Search, Yandex Images y TinEye. Cada uno tiene un índice y un algoritmo distintos, así que conviene probar varios.

• TinEye busca copias exactas o modificadas de la misma imagen y permite ordenar por antigüedad, lo que ayuda a encontrar la primera aparición conocida.
• Lens y Bing devuelven también imágenes visualmente similares y reconocen objetos. Similar no es igual: dos fotos parecidas no son la misma foto.

Un método que funciona:

1. Usa la versión de mayor calidad que tengas.
2. Si la imagen completa no da resultados, recorta la parte significativa: un edificio, un cartel, un objeto.
3. Prueba también la imagen volteada; algunas copias se publican en espejo.
4. Ordena por fecha y busca la copia más antigua. Lee el contexto en el que apareció.
5. Guarda la dirección y la fecha de cada coincidencia, y archiva las páginas importantes.

Cómo leer los resultados

• La fecha que muestra un buscador es la de su rastreo, no la de publicación. La copia más antigua que encuentras es la más antigua que ese buscador vio, no necesariamente el original.
• La versión de mayor resolución suele estar más cerca del original. Las copias se reducen y se recomprimen cada vez que alguien las vuelve a subir.
• Busca el contexto, no solo la imagen. Un banco de imágenes, una agencia de noticias o el perfil de un fotógrafo dicen quién tomó la foto y, a menudo, cuándo y dónde.
• Si encuentras una copia con más calidad, vuelve a leer sus metadatos. A veces conserva lo que las demás perdieron.
• Que no haya resultados no prueba que una foto sea original. Puede que ningún buscador la haya indexado todavía.

Pandora abre la imagen en Google Lens, Yandex, Bing y TinEye con un clic. Puede consultar además la detección web de Google Cloud Vision por su API oficial: devuelve las páginas con la imagen exacta o recortada, y las que son perfiles entran al grafo como cuentas. Las imágenes que solo se parecen se descartan, y la imagen se envía a Google para hacer la consulta.

Huella perceptual: la misma foto aunque la hayan tocado

Un hash criptográfico como SHA-256 cambia por completo si cambia un solo píxel, así que no sirve para encontrar copias redimensionadas o recomprimidas. Una huella perceptual resume, en cambio, la estructura visual de la imagen. La técnica pHash, por ejemplo, reduce la foto a escala de grises y se queda con sus frecuencias bajas. Dos versiones de la misma imagen dan huellas casi idénticas, que se comparan contando cuántos bits difieren.

Tiene límites: un recorte grande, una rotación, un espejo o un texto superpuesto pueden romperla, y las imágenes muy simples pueden coincidir sin ser la misma.

Su uso más práctico en OSINT es la corroboración: dos cuentas que usan la misma foto de perfil probablemente están relacionadas, aunque tengan alias distintos. Pandora calcula la huella de cada imagen del caso, une las cuentas que comparten foto y lo destaca en el Dossier como corroboración fuerte. Los avatares genéricos no unen cuentas.

Por qué no usamos reconocimiento facial

Hay buscadores que, a partir de una cara, encuentran otras fotos de la misma persona. Pandora no lo hace, por varias razones:

• Es un dato biométrico. Tratar los rasgos faciales para identificar a una persona es una categoría especial de datos según el artículo 9 del RGPD, prohibida salvo excepciones tasadas.
• Facilita el acoso. Con una foto tomada en la calle, un buscador de caras puede llevar al perfil, al trabajo y al entorno de alguien que nunca consintió.
• Se equivoca. Las coincidencias falsas pueden señalar a personas inocentes, y en una investigación eso tiene consecuencias.
• La regulación lo acota. El Reglamento de Inteligencia Artificial de la UE prohíbe crear o ampliar bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet.

Pandora compara imágenes, no caras: busca la misma foto, no a la misma persona. La consulta a Google Vision también busca la misma imagen y descarta las parecidas.

Un flujo de trabajo para verificar una foto

1. Conserva el archivo original sin modificar y anota de dónde lo obtuviste.
2. Lee los metadatos y apunta también lo que falta.
3. Haz la búsqueda inversa en varios motores y localiza la copia más antigua.
4. Compara versiones con la huella perceptual.
5. Contrasta el contenido con el contexto que se afirma: lugar, fecha, clima.
6. Escribe la conclusión con su nivel de confianza y las alternativas que descartaste.

Si lo que necesitas es saber dónde se tomó la foto y no tiene coordenadas, el siguiente paso es la geolocalización a partir de lo que se ve en la escena.

Nota legal y ética

Una foto en la que aparece una persona es un dato personal, y unas coordenadas GPS pueden revelar un domicilio. Trata solo lo necesario para tu finalidad, no publiques ubicaciones que pongan a nadie en riesgo y respeta los derechos de autor de las imágenes que reproduzcas.

Este artículo no es asesoramiento jurídico.