Als sich Reporter von The Intercept am 1. Juni an die Nationale Sicherheitsagentur wandten, um ein Dokument zu bestätigen, das anonym an die Veröffentlichung im Mai durchgesickert war, überreichten sie der NSA eine Kopie des Dokuments, um dessen Echtheit zu überprüfen. Dabei legte das Intercept-Team versehentlich seine Quelle offen, da die Kopie Falzspuren aufwies, die darauf hinwiesen, dass sie gedruckt worden war - und codierte Wasserzeichen enthielten, die genau zeigten, wann und auf welchem Drucker sie gedruckt worden war.
Die im obigen Bild gezeigten Wasserzeichen - eine Erweiterung des seinerzeit veröffentlichten gescannten Dokuments The Intercept - stammen von einem Xerox Docucolor-Drucker . Viele Drucker verwenden dieses oder ein ähnliches Schema und drucken schwache gelbe Punkte in einem Gittermuster auf gedruckte Dokumente als eine Form der Steganografie. Dabei werden Metadaten über das Dokument in die gedruckte Ausgabe codiert. Forscher der Electronic Frontier Foundation haben das Rastermuster dieser Druckerklasse überarbeitet. Mit dem Tool stellte Ars (und andere, einschließlich des Sicherheitsforschers Robert Graham ) fest, dass das an The Intercept übermittelte Dokument am 9. Mai 2017 um 6:20 Uhr von einem Drucker mit der Seriennummer 535218 oder 29535218 gedruckt wurde.

Die US-Regierungsbehörde führte eine interne Revision durch, um festzustellen, wer seit ihrer Veröffentlichung auf die nachrichtendienstliche Berichterstattung zugegriffen hat. Die US-Regierungsbehörde stellte fest, dass sechs Personen diese Meldung druckten. WINNER war einer dieser sechs Personen. Eine weitere Prüfung der Tischcomputer der sechs Personen ergab, dass WINNER einen E-Mail-Kontakt mit dem News Outlet hatte. Die Prüfung ergab nicht, dass eine der anderen Personen E-Mail-Kontakt mit dem News Outlet hatte.
Als Winner vom FBI konfrontiert wurde, gab er zu, die Quelle des Lecks zu sein.
![Bild 1 [400 x 300 Pixel @ 29,7 KB]](https://heise.cloudimg.io/width/228/q70.png-lossy-70.webp-lossy-70.foil1/_www-heise-de_/imgs/18/1/3/5/3/5/8/ad8e0b1da2c8a68e.jpg)


