Suite Universal de Auditoría Forense y Descomposición por Capas para exponer y desenmascarar redacciones únicamente visuales en PDF por Taylor Wessing LLP y Valve Corporation.
Espejo Anticensura y Herramienta de Seguridad
📡 El Kit de Herramientas para la Filtración de Datos de Taylor Wessing
En esta página
🔍 Resumen Ejecutivo
El Auditor Universal de Redacción de PDF y Descomponedor de Capas es un conjunto profesional de auditoría forense y descomposición de capas, diseñado para funcionar sin conexión, específicamente desarrollado para identificar, verificar y sanear vulnerabilidades de redacción visual en archivos PDF. Esta herramienta funciona como una utilidad de código abierto para investigadores de seguridad, oficiales de protección de datos y auditores de cumplimiento, con el fin de verificar la integridad estructural de los documentos antes de su divulgación pública.
⚖️ Asimetría de Poder Técnico
Esta utilidad de auditoría está diseñada para abordar un desequilibrio de poder crítico en el procesamiento de datos corporativos. Cuando conglomerados masivos (como Valve Corporation) están representados por despachos de abogados de élite (como Taylor Wessing LLP), cualquier exposición sistemática de datos no perjudica a la corporación ni a sus costosos abogados—compromete de manera catastrófica la privacidad de sus oponentes (los titulares de datos individuales, usuarios de terceros y menores cuyos datos personales sensibles se filtran debido a negligencia legal y técnica). Este kit de herramientas capacita a individuos y auditores independientes para verificar la seguridad de los datos y exigir responsabilidades a los actores corporativos.
📊 Estudio de caso: La filtración de datos de Taylor Wessing / Valve según el RGPD
Durante el procesamiento de las Solicitudes de Acceso a Datos (SARs) conforme al Artículo 15 del RGPD relativas a los datos de usuarios de Steam, se identificó una vulnerabilidad de seguridad crítica en los documentos procesados y enviados por el asesor jurídico externo. Taylor Wessing LLP en nombre de Valve Corporation.
Análisis Técnico de Fallas
En lugar de sanear permanentemente los arreglos de caracteres sin procesar dentro de los flujos de contenido del PDF, un pipeline automatizado y personalizado de generación de PDF (que utiliza Aspose.PDF para .NET) fue implementado. Este sistema consultó programáticamente las coordenadas de los campos sensibles y trazó formas vectoriales de color negro sólido (using PDF's re y f/F/b/B operadores) sobre el texto.
Debido a que las capas de dibujo visual no alteran ni destruyen las matrices de texto sin procesar subyacentes, miles de registros privados sin redactar—incluyendo credenciales de cuentas, inicios de sesión, correos electrónicos, registros de seguridad y datos desanonimizados de menores—permanecieron completamente intactos, copiables y extraíbles de los archivos enviados.
📂 Anexo A: Correspondencia filtrada con el Dr. Patrick Zurheide
A continuación se muestra la respuesta exacta recibida de El Dr. Patrick Zurheide ( Socio en Taylor Wessing LLP ) después de que PhishDestroy notificara formalmente al despacho sobre su fallo en la redacción de PDF y la posterior filtración de datos de usuarios de Steam. En lugar de iniciar una notificación de violación de datos conforme al Artículo 33 del RGPD, optó por escribir esto:
Buenos días, equipo de PhishDestroy,
Gracias por su mensaje, aparentemente traducido, pero ciertamente entretenido. ¿A qué comunicación «con fines de enjuiciamiento penal» dirigida al equipo de PhishDestroy se refiere exactamente? Estoy seguro de que nunca he mantenido ningún tipo de comunicación previa con PhishDestroy. Por favor, facilite dicha supuesta comunicación para poder entender de qué se trata en realidad.
Lamentablemente, el contenido de su escrito es difícil, cuando no imposible, de seguir. Como indicación: un descargo de responsabilidad, como el que figura al final de su escrito, en el que se afirma que supuestamente no se realiza o no se pretende realizar algo, carece de significado cuando las acciones reales lo contradicen.
Patrick Zurheide
🔍 Análisis de PhishDestroy:
- "mensaje entretenido": Un "experto en derecho informático" muy bien pagado calificó de "entretenida" una notificación forense sobre una filtración masiva de datos conforme al RGPD que implicaba cuentas de Steam expuestas de menores de edad.
- de difícil a imposible de seguir Le proporcionamos los valores hexadecimales exactos, los metadatos de su PDF, las marcas de tiempo del pipeline por lotes de 36 segundos y los datos específicos. Aspose 20.8 versión que causó la filtración. Al parecer, las métricas de TI son demasiado "difíciles de seguir" para un Doctor en Derecho Informático.
🛠️ Capacidades Multi-Herramienta
Esta suite ofrece tres modos complementarios, totalmente del lado del cliente, para analizar y desmantelar redacciones visuales falsas:
- 📡 Modo 1: Escáner de Rayos X (PDF.js): Renderiza las visualizaciones de PDF, pero extrae los caracteres de texto no redactados subyacentes en tiempo real. Ves la caja negra, pero lees el secreto al instante.
- ✂️ Modo 2: Pelador de Capas (PDF-Lib): Saneamiento quirúrgico a nivel de flujo. Reemplaza físicamente los comandos de pintura visual rectangular
re f,re F) con elnOperador (sin-pintura), eliminando las barras negras. - 🔎 Modo 3: Auditoría de Colisiones (Distribución Fitz): Resalta texto y gráficos superpuestos para generar automáticamente listas compiladas de filtraciones.
💻 Uso de CLI (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 Sanitizador de Flujos en Python (Core)
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()LICENCIA · DERECHOS · AVISO LEGAL
PHISHDESTROY
LICENCIA · DERECHOS · AVISO LEGAL
Investigación: Valve Corporation / Steam · público — sin fecha de caducidad, sin retractos
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SECCIÓN I — LICENCIA
PhishDestroy renuncia a todos los derechos sobre este material. Cero. Desaparecido. Hecho. Puedes reproducirlo, venderlo, poner tu nombre en él, tatuártelo en tu jefe, lo que sea. No se requiere crédito, no se necesita mensaje directo, no se espera una tarjeta de agradecimiento.
UNA REGLA REAL
Si eres un usuario de Rusia o de cualquier país sancionado por OFAC — este material NO es para ti. Sin trampas. Disfruta de tus sanciones. Y si cambiaste tu región de Steam a Turquía mientras estabas sentado en Moscú — felicidades por tu geografía creativa. Sigues siendo ruso. Las sanciones siguen aplicando. Ese es literalmente el punto.
SECCIÓN II — QUÉ ES ESTO Y POR QUÉ EXISTE
Publicaremos más sobre Valve de lo que un empleado promedio de Valve sabe sobre sí mismo. Básicamente, Steam nos creó. Nos crió con sus estafadores, sus tickets de soporte, su ecosistema de evasión de baneos — y ahora aquí estamos. Sin resentimientos. Poético, en realidad. Esperamos más de 4 años a que arreglaran el problema de suplantación antes de poder escribir sobre ello públicamente. ¿Es esto un conflicto? No. ¿Se puede resolver? Sí. Pero no firmaremos ningún acuerdo de confidencialidad (NDA) y no jugaremos a la recompensa por errores por unas monedas.
SECCIÓN III — CARTA ABIERTA A VALVE
Hola Valve. Si están pensando en tumbarnos el dominio — simplemente mándenos un correo electrónico. No paguen a Dr. Patrick otra vez. Por favor. Es vergonzoso para todos los involucrados.
¿Dañaremos directamente a Valve? Probablemente no de una manera que sientan fiscalmente. No somos delirantes. Pero lo haremos con honestidad, abiertamente, sin perseguir fama. Tenemos 5 años de archivos. Los reguladores reciben los originales. Los investigadores y periodistas reciben versiones censuradas. PhishDestroy es una comunidad, no una persona.
EL TRATO (oferta abierta, no se necesitan abogados)
Si quieren que el dominio desaparezca: dejen que sus profesionales de derecho informático calculen el precio. El 50% va a la SEAL Foundation. Matamos el dominio. Sin drama. Sin tribunal. Hecho. No lo conseguirán de ninguna otra manera. Eso no es una amenaza. Es simplemente la arquitectura de la situación.
SECCIÓN IV — EL DINERO, LOS BANEOS, TODO EL CIRCO
Aquí está el asunto con Steam baneando sitios de apuestas y estafadores: no es aplicación de la ley. Es captura de ingresos. Valve se queda el dinero, se limpia las manos y luego sube al escenario a contarles a todos una historia idílica. Mientras tanto, Valve eliminó la capacidad de rastrear adecuadamente las skins en 2017. Vamos a demostrarlo: Las skins son más anónimas que Monero. Un Cartel peruano supuestamente usó skins de Dota 2 para mover dinero. Steam es funcionalmente una máquina para evadir sanciones valorada en ~$7B en “tarjetas de intercambio”.
SECCIÓN V — EL ASUNTO DEL MALWARE
NO estamos divulgando públicamente la vulnerabilidad en el juego. NO estamos reportándola a Steam. No porque no podamos — sino porque su programa de recompensas por errores vale aproximadamente tres kopecks y no trabajamos por tres kopecks. Nuestros colegas de seguridad ya la reportaron al soporte de Steam. Esto NO es la variante trivial de CSGO. Esto se acerca más a: RCE (Ejecución Remota de Código) al conectar al servidor. Es decir — te unes a un servidor, no haces clic en nada. La conexión en sí misma es la superficie de ataque. La amenaza es activa.
DECLARACIÓN SOBRE EL USO Y LOS DERECHOS
Proyecto PhishDestroy & Coalición de Ciberseguridad
1. NO HAY CONDICIONES DE USO
Todo el material producido por la Coalición en esta referencia — las declaraciones de hechos, el análisis, las pruebas, las herramientas y los hallazgos — se libera SIN RESERVA DE NINGÚN DERECHO. Cualquier persona puede reproducirlo, adaptarlo, editarlo, reescribirlo, traducirlo, extraer fragmentos, incorporarlo en documentos oficiales, presentarlo como su propio trabajo o pasarlo a cualquier otra persona — sin preguntar y sin notificar a la Coalición.
2. POR QUÉ ESTO IMPORTA PRÁCTICAMENTE
No hay nada aquí con lo que enredarse. La Coalición no pide nada, no se le debe nada, no retiene nada y no tiene expectativa de ningún tipo. Una autoridad que use este material no actúa en nombre de la Coalición. Está usando información pública que, por casualidad, fue recopilada por otra persona.
3. TODO YA ESTÁ ABIERTO
Las investigaciones se publican abiertamente en phishdestroy.io. Las herramientas se publican como código abierto bajo la licencia MIT en gitlab.com/phishdestroy. La metodología se detalla en la referencia. La Coalición no acepta donaciones y ha publicado esa posición desde 2018.
4. INTEGRIDAD DEL PAQUETE DE EVIDENCIAS
Cada entrega viene acompañada de un archivo SHA256SUMS que lista un resumen SHA-256 para cada archivo proporcionado, junto con una firma OpenPGP separada SHA256SUMS.asc. La clave de firma se publica en phishdestroy.io/.well-known/pgp-key.txt y en keys.openpgp.org.
5. SOBRE EL TONO
La autoridad puede encontrar las investigaciones publicadas de la Coalición y considerarlas directas, adversariales y a veces satíricas. Esa impresión es correcta. La Coalición escribe así deliberadamente. La renuncia es el mecanismo mediante el cual la sustancia puede separarse del tono: la autoridad puede tomar lo que sea útil, reformularlo con su propia voz y descartar cada palabra del estilo de la Coalición. No se pierde nada al hacerlo.
6. LO QUE LA COALICIÓN ESTÁ PROPORCIONANDO
Información, investigación y observación. No se afirma nada como un hallazgo para el cual la Coalición no tenga legitimidad. La Coalición no busca ningún remedio, ningún pago, ningún reconocimiento y ningún resultado para sí misma. Solo pide que las preguntas planteadas en la referencia sean formuladas a Valve Corporation por un organismo con el poder de exigir una respuesta.
NOTA DE CIERRE — A QUIEN QUIERA SEA QUE ESTÉ LLEVANDO ESTO ADELANTE
Queremos agradecer a quien lleve este material a donde necesita ir. Valve tiene bolsillos profundos y Taylor Wessing cobra por hora. Sabemos lo que estamos haciendo. Sabemos de quién estamos escribiendo. No necesitamos autoría. No necesitamos atribución. No necesitamos una victoria. Necesitamos a alguien con autoridad real para hacerle a Valve las preguntas que ya están en esta referencia, con el poder de exigir una respuesta. Eso es todo. Esa es toda la petición.
PhishDestroy — investigación pública — todos los derechos cedidos a la humanidad · Acceso a regiones OFAC: prohibido