--- id: CP-341 slug: geolocalizacion-exif-fotos-redes-sociales lang: es title: Geolocalización y metadatos de las fotos publicadas description: Lo que una publicación en una red social revela del lugar de trabajo y de los hábitos de un empleado, y los gestos que limitan esa exposición. canonical_url: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ markdown_url: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Geolocalización y metadatos de las fotos publicadas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ (CC BY 4.0) wing: 5 theme: browse_safely reflex: cr-058 schema: G2 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ fr: https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ en: https://startbrain.io/cyberpedia/en/articles/exif-geolocation-social-media-photos/ de: https://startbrain.io/cyberpedia/de/articles/geolokalisierung-exif-fotos-soziale-netzwerke/ it: https://startbrain.io/cyberpedia/it/articles/geolocalizzazione-exif-foto-social-network/ sources: - "n": 1 title: "Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1593/001/ accessed: "2026-11-03" - "n": 2 title: Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1591/ accessed: "2026-11-03" - "n": 3 title: Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1592/ accessed: "2026-11-03" - "n": 4 title: Privacy and Mobile Device Apps | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps published: "2022-12-18" accessed: "2026-11-03" - "n": 5 title: "Social Media: how to use it safely" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely published: "2019-01-24" accessed: "2026-11-03" - "n": 6 title: La sécurité sur les réseaux sociaux publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux published: "2019-11-22" accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Geolocalización y metadatos de las fotos publicadas Una foto publicada en línea muestra lo que representa, pero también dice dónde, cuándo y en qué contexto trabaja su autor. Las redes sociales contienen información sobre una organización, en particular anuncios de la empresa, así como los puestos, los lugares y los intereses de su personal [1]. Los atacantes las consultan para preparar sus acercamientos. Esta ficha trata de la exposición del empleado que publica: lugar de trabajo, horarios, equipo, puesto. Las fuentes reunidas para este expediente describen esa exposición y los ajustes que la reducen. No detallan el contenido técnico de los metadatos EXIF de un archivo de imagen ni cómo los trata cada red, así que esos puntos no se afirman aquí. ## En 30 segundos - Dónde ocurre: en las redes sociales, donde una publicación puede revelar los puestos, los lugares y los intereses del personal de una organización [1]. - Lo que quiere el atacante: reunir datos sobre la empresa y sus empleados para dirigir mejor un acercamiento [2]. - El reflejo: antes de publicar, preguntarse qué le cuenta la foto o el texto a un desconocido sobre el lugar de trabajo, los horarios o la organización. - Si ya lo ha hecho: revisar los ajustes de privacidad [6] y avisar a las personas competentes de la organización, entre ellas los administradores de red, si se ha divulgado información sensible [7]. ## Preguntas directas ### ¿Por qué le interesa a un atacante una publicación inofensiva? Porque la información sobre una organización también circula por las redes sociales: nombres de los departamentos, funcionamiento de la actividad, puestos y responsabilidades de los empleados clave [2]. MITRE clasifica esta recopilación en la táctica de reconocimiento [2]. Esa información puede abrir la puerta a otras formas de reconocimiento, a la creación de cuentas y a un acceso inicial, por ejemplo mediante phishing [2]. ### ¿Qué hace el atacante con esa información? Puede recopilar los datos de forma pasiva. También puede usarlos para crear perfiles o grupos falsos con los que lograr que las víctimas revelen datos concretos [1]. MITRE cita el caso de EXOTIC LILY, que copió datos de redes sociales para hacerse pasar por personas objetivo [1]. ### ¿Pueden los propios dispositivos delatar información? Sí. La información sobre los equipos y dispositivos de una víctima (configuración, sistema operativo, idioma) también puede quedar expuesta por datos accesibles en línea, entre ellos los de las redes sociales [3]. ### ¿Se puede impedir esta recopilación? No del todo. MITRE escribe que esta técnica no se previene fácilmente con controles preventivos, porque se basa en comportamientos ajenos a las defensas de la empresa. Los esfuerzos deben orientarse a reducir la cantidad y la sensibilidad de los datos disponibles para terceros [1]. El empleado actúa, por tanto, antes de nada, sobre lo que publica. ## Cómo funciona Una publicación tiene dos partes: lo que se incluye voluntariamente y lo que el dispositivo o la aplicación le asocian. Para la segunda, las fuentes documentan el papel de las aplicaciones móviles. Una aplicación puede pedir acceso a datos personales del dispositivo, entre ellos los de localización. Los desarrolladores tienen entonces acceso a ellos y pueden compartirlos con terceros, por ejemplo empresas de publicidad dirigida según la posición y los intereses [4]. Algunas aplicaciones dan acceso a la ubicación física aproximada del usuario [4]. En la red social, los ajustes de visibilidad suelen estar muy abiertos por defecto: los datos pueden compartirse con todos los seguidores [6]. Incluso en un círculo que se cree restringido, una publicación puede difundirse o interpretarse más allá de lo que su autor preveía [6]. ## Qué hace usted Los gestos siguientes recogen las recomendaciones de las fuentes. - Limitar el acceso a la ubicación. Para las aplicaciones que la necesitan, la CISA aconseja restringir ese acceso a los momentos en que se usa la aplicación [4]. Recomienda fijarse en particular en las aplicaciones que acceden a la cámara, al almacenamiento y a la posición [4]. - Controlar los permisos. Revisar las autorizaciones de cada aplicación, retirar las que no sean necesarias y plantearse eliminar las aplicaciones que piden demasiado [4]. - Ajustar la privacidad. Preguntarse quién puede ver una publicación y si las opciones están configuradas para que solo accedan las personas deseadas [5]. Volver a revisar periódicamente estos ajustes, que pueden modificarse sin que usted lo sepa [6]. - Elegir lo que se cuenta. No difundir información personal o sensible que pueda servir para causar daño, y obrar con discernimiento al hablar del trabajo, porque puede perjudicar al empleado y a su empresa [6]. El NCSC invita a distinguir lo que los allegados necesitan saber de los detalles innecesarios que podrían servir a los delincuentes [5]. - Estar al tanto de lo que otros dicen de uno: amigos, compañeros y contactos [5]. - No responder a las preguntas de un desconocido sobre la empresa. La CISA aconseja desconfiar de las llamadas, visitas o correos que interroguen sobre los empleados o sobre información interna, y verificar la identidad de la persona directamente con la empresa [7]. ## Las trampas La primera trampa es la huella digital, es decir, el conjunto de información disponible en línea sobre una persona. El NCSC explica que los delincuentes pueden usarla para robar una identidad o para hacer más convincentes los mensajes de phishing [5]. La segunda es la falsa impresión de círculo cerrado: una publicación puede escapar a su autor incluso ante un público elegido [6]. La tercera es el falso interlocutor. Un atacante puede presentarse como un nuevo empleado, un técnico de reparaciones o un investigador y, si no obtiene suficiente información de una persona, contactar con otra de la misma organización apoyándose en lo que dijo la primera [7]. Los detalles publicados pueden hacer más creíble ese relato. La cuarta viene de las cuentas pirateadas: los contactos pueden compartir contenidos maliciosos sin saberlo, sobre todo si su cuenta ha sido pirateada sin que se den cuenta [6]. Por último, conectar una aplicación a una cuenta de red social permite que la aplicación recopile información de esa cuenta, y a la inversa [4]. Los consejos de las fuentes son comprobar las autorizaciones antes de aceptar [4][6]. ## Qué hacer si una publicación causa un problema Para conseguir que se retire una publicación molesta o comprometedora, Cybermalveillance.gouv.fr remite a los consejos de la CNIL [6]. Para denunciar un contenido ilícito, indica la plataforma Internet-signalement.gouv.fr [6]. Si se ha divulgado información sensible de la empresa, la CISA aconseja avisar a las personas competentes de la organización, entre ellas los administradores de red [7]. ## Fuentes 1. MITRE ATT&CK, «Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1593/001/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1591/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1592/ (consultado el 3 de noviembre de 2026) 4. CISA, «Privacy and Mobile Device Apps | CISA», 18 de diciembre de 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (consultado el 3 de noviembre de 2026) 5. NCSC (Royaume-Uni), «Social Media: how to use it safely», 24 de enero de 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (consultado el 3 de noviembre de 2026) 6. Cybermalveillance.gouv.fr, «La sécurité sur les réseaux sociaux», 22 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (consultado el 3 de noviembre de 2026) 7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.