Tipo real y extensión

La extensión es un convenio: el sistema la usa para decidir con qué programa abrir un archivo, pero no comprueba que el contenido sea de ese tipo. Cualquiera puede llamar .pdf a lo que quiera, y el archivo seguirá siendo lo que es por dentro. Además, Windows oculta por defecto la última extensión de los tipos que conoce: quien ve en el explorador «Aviso.pdf» puede estar viendo en realidad «Aviso.pdf.exe».

El tipo real se averigua leyendo los primeros bytes. Casi todos los formatos empiezan con una firma fija, corta, que el programa que los lee comprueba antes de seguir. Las herramientas de triaje comparan esa firma con una tabla de formatos conocidos y avisan cuando el nombre y la cabecera no cuentan la misma historia.

La doble extensión es el truco más viejo de los adjuntos: un nombre que termina en una extensión de documento seguida de otra, la que de verdad cuenta. Cuando el explorador oculta la última, el usuario ve el documento; el sistema, un programa. Para el analista no es un misterio, es un dato: un nombre así es una pista, y se confirma o se descarta con la cabecera.

Consulta SELECT * FROM archivos y lee los nombres completos, no la columna de la extensión visible.

Cada formato abre con su firma. Algunas son legibles como texto y otras no: la de los PDF empieza con las letras de su propio nombre, la de las imágenes PNG también, y las de otros formatos son bytes sueltos que solo se ven en hexadecimal. Los programas ejecutables de Windows abren con dos letras que quedaron como firma desde los tiempos del sistema anterior.

Esa firma no dice qué hace el programa, solo que lo es. Para el triaje basta: un archivo que dice ser un documento y abre con la firma de un programa ya no es lo que dice.

Consulta SELECT * FROM cabeceras y mira la fila de la muestra de la tarea anterior.

La doble extensión no es la única forma de que un nombre mienta. Un archivo puede llevar una extensión «inocente» y ser de otro formato que también es peligroso: los documentos de Office antiguos, por ejemplo, admiten macros, y alguien puede llamarlos como un PDF con la esperanza de que nadie los mire dos veces. El triaje no necesita saber qué hay dentro para ver que el nombre no encaja con la cabecera.

Consulta SELECT id, nombre_recibido, tipo_real FROM archivos WHERE coincide LIKE 'no%' y compara con las firmas de la tabla de cabeceras.

Las otras cuatro muestras de la cola coinciden con su nombre. Eso las deja libres de una sospecha concreta, pero no de todas: un PDF que es de verdad un PDF puede contener un enlace malicioso, y una hoja de cálculo moderna es un contenedor que puede llevar macros. Coincidir es un punto a favor, no un veredicto.

El triaje es una acumulación de datos, cada uno con su peso: tipo, huella, reputación, observaciones. Ninguno decide por sí solo, y por eso se leen todos antes de priorizar.