Office ve PDF Belgelerinde Gizli Alan Analizi: Görünmeyen Metinler, Katmanlar ve İzler

Office (DOCX/XLSX/PPTX) ve PDF belgeleri, yalnızca görünen metinden ibaret değildir. Bu belgeler; gizli alanlar, katmanlar, yorumlar, revizyon geçmişi, metadata, gömülü nesneler ve silinmiş içerik kalıntıları barındırabilir. Adli bilişimde bu alanlar; sahtecilik tespiti, niyet analizi, bilgi sızdırma ve olay rekonstrüksiyonu için kritik deliller üretir.

Office ve PDF’lerde “Gizli Alan” Nedir?

Gizli alanlar; kullanıcıya varsayılan görünümde gösterilmeyen, ancak dosya içinde aktif veya pasif halde bulunan veri bölümleridir.

Yaygın Gizli Alan Türleri

- Gizli metin (hidden text)
- Yorumlar (comments)
- Revizyonlar (track changes)
- Katmanlar (PDF layers)
- Metadata ve XMP
- Gömülü nesneler (OLE, ek dosyalar)
- Silinmiş ama kalıntısı kalan içerikler

Adli Bilişim Açısından Neden Önemli?

- Belgenin gerçek yazarı ortaya çıkarılabilir
- Silindiği iddia edilen metinler geri bulunabilir
- Belge üzerinde kim, ne zaman, neyi değiştirdi izlenebilir
- Gizli talimatlar, notlar, mesajlar tespit edilebilir

Office Belgelerinde Gizli Alanlar
1. Gizli Metin (Hidden Text)

Word belgelerinde:

- Yazı rengi beyaz
- “Hidden” özelliği açık
- Sayfa dışında konumlandırma

2. Yorumlar ve Revizyon Geçmişi

- Silindiği sanılan yorumlar
- Kabul edilmemiş değişiklikler
- Revizyon zamanları

Bu bilgiler:

- Belgenin gerçek evrimini gösterir
- Sahte “son hal” iddialarını çürütür

3. Metadata ve Uygulama İzleri

- Yazar adı
- Şirket bilgisi
- Kullanılan Office sürümü
- Dil ve locale

1exiftool report.docx

4. Gömülü Nesneler (OLE)

- Excel içine gömülü Word
- Word içine gömülü PDF
- Çalıştırılabilir nesneler

PDF Belgelerinde Gizli Alanlar
1. Katmanlar (OCG – Optional Content Groups)

- Görünmez katmanlar
- Açılıp kapanabilen içerik
- Yazdırmada görünmeyen alanlar

2. Görünmez / Şeffaf Metin

- Beyaz zemin üzerine beyaz yazı
- %0 opacity
- Ekranda görünmez ama seçilebilir

3. Yorumlar, Notlar ve Anotasyonlar

- Sticky notes
- Highlight notları
- Silinmiş gibi görünen açıklamalar

4. PDF Metadata ve XMP

- Oluşturma yazılımı
- Değiştirme geçmişi
- Dil ve zaman dilimi

1exiftool suspicious.pdf

Gizli Alan Tespiti: Teknik Yöntemler
Office Belgeleri (DOCX/XLSX/PPTX)

Office dosyaları aslında ZIP arşividir.

1unzip document.docx

İncele:

1word/comments.xml
2
3word/trackChanges.xml
4
5docProps/core.xml
6
7docProps/app.xml

PDF İçerik İncelemesi

1pdfinfo suspicious.pdf

1pdfimages -list suspicious.pdf

1strings suspicious.pdf | less

Bu araçlar:

- Gömülü nesneleri
- Gizli metinleri
- Anlamsız ama kritik dizileri ortaya çıkarır.

Adli Senaryo Örneği

Olay:
Bir ihale belgesi “tek kişi tarafından yazıldı” iddiasıyla sunuluyor.

Analiz:

- DOCX içinde 3 farklı yazar metadata’sı
- Silinmiş yorumlarda “onaylandı / reddedildi” notları
- Revizyon saatleri çakışmıyor

Sonuç:

- Belge kolektif hazırlanmış
- Sonradan tek yazarlı gibi gösterilmiş

Adli Analistler İçin Pratik İpuçları
“Belgeyi Açmadan Önce” Analiz Et

- Önce metadata ve iç yapı
- Sonra görsel inceleme

Yazdırma Önizlemesine Güvenme

- Yazdırmada görünmeyen içerikler olabilir

Gömülü Nesneleri Ayıkla

- Ayrı hash al
- Ayrı zaman çizelgesine koy

Aynı Belgenin Farklı Sürümlerini Karşılaştır

- Metadata drift
- Yazar değişimi
- Dil ve locale farkları

Hukuki ve Adli Değer

Mahkemelerde:

- Gizli alanların varlığı
- Ne zaman ve kim tarafından eklendiği
- Bilinçli gizleme olup olmadığı

detaylı raporlanmalıdır.

#AdliBilişim #kaynak