Geolocalización y metadatos de las fotos publicadas
Lo que una publicación en una red social revela del lugar de trabajo y de los hábitos de un empleado, y los gestos que limitan esa exposición.
En 30 segundos
- Dónde ocurre
- En las redes sociales, donde una publicación puede revelar los puestos, los lugares y los intereses del personal de una organización1.
- Lo que quiere el atacante
- Reunir datos sobre la empresa y sus empleados para dirigir mejor un acercamiento2.
- El reflejo
- Antes de publicar, preguntarse qué le cuenta la foto o el texto a un desconocido sobre el lugar de trabajo, los horarios o la organización.
De qué se trata
Una foto publicada en línea muestra lo que representa, pero también dice dónde, cuándo y en qué contexto trabaja su autor. Las redes sociales contienen información sobre una organización, en particular anuncios de la empresa, así como los puestos, los lugares y los intereses de su personal1. Los atacantes las consultan para preparar sus acercamientos.
Esta ficha trata de la exposición del empleado que publica: lugar de trabajo, horarios, equipo, puesto. Las fuentes reunidas para este expediente describen esa exposición y los ajustes que la reducen. No detallan el contenido técnico de los metadatos EXIF de un archivo de imagen ni cómo los trata cada red, así que esos puntos no se afirman aquí.
Preguntas directas
¿Por qué le interesa a un atacante una publicación inofensiva?
Porque la información sobre una organización también circula por las redes sociales: nombres de los departamentos, funcionamiento de la actividad, puestos y responsabilidades de los empleados clave2. MITRE clasifica esta recopilación en la táctica de reconocimiento2. Esa información puede abrir la puerta a otras formas de reconocimiento, a la creación de cuentas y a un acceso inicial, por ejemplo mediante phishing2.
¿Qué hace el atacante con esa información?
Puede recopilar los datos de forma pasiva. También puede usarlos para crear perfiles o grupos falsos con los que lograr que las víctimas revelen datos concretos1. MITRE cita el caso de EXOTIC LILY, que copió datos de redes sociales para hacerse pasar por personas objetivo1.
¿Pueden los propios dispositivos delatar información?
Sí. La información sobre los equipos y dispositivos de una víctima (configuración, sistema operativo, idioma) también puede quedar expuesta por datos accesibles en línea, entre ellos los de las redes sociales3.
¿Se puede impedir esta recopilación?
No del todo. MITRE escribe que esta técnica no se previene fácilmente con controles preventivos, porque se basa en comportamientos ajenos a las defensas de la empresa. Los esfuerzos deben orientarse a reducir la cantidad y la sensibilidad de los datos disponibles para terceros1. El empleado actúa, por tanto, antes de nada, sobre lo que publica.
1Cómo funciona1 min
Una publicación tiene dos partes: lo que se incluye voluntariamente y lo que el dispositivo o la aplicación le asocian. Para la segunda, las fuentes documentan el papel de las aplicaciones móviles. Una aplicación puede pedir acceso a datos personales del dispositivo, entre ellos los de localización. Los desarrolladores tienen entonces acceso a ellos y pueden compartirlos con terceros, por ejemplo empresas de publicidad dirigida según la posición y los intereses4. Algunas aplicaciones dan acceso a la ubicación física aproximada del usuario4.
En la red social, los ajustes de visibilidad suelen estar muy abiertos por defecto: los datos pueden compartirse con todos los seguidores6. Incluso en un círculo que se cree restringido, una publicación puede difundirse o interpretarse más allá de lo que su autor preveía6.
2Qué hace usted2 min
Los gestos siguientes recogen las recomendaciones de las fuentes.
- Limitar el acceso a la ubicación. Para las aplicaciones que la necesitan, la CISA aconseja restringir ese acceso a los momentos en que se usa la aplicación4. Recomienda fijarse en particular en las aplicaciones que acceden a la cámara, al almacenamiento y a la posición4.
- Controlar los permisos. Revisar las autorizaciones de cada aplicación, retirar las que no sean necesarias y plantearse eliminar las aplicaciones que piden demasiado4.
- Ajustar la privacidad. Preguntarse quién puede ver una publicación y si las opciones están configuradas para que solo accedan las personas deseadas5. Volver a revisar periódicamente estos ajustes, que pueden modificarse sin que usted lo sepa6.
- Elegir lo que se cuenta. No difundir información personal o sensible que pueda servir para causar daño, y obrar con discernimiento al hablar del trabajo, porque puede perjudicar al empleado y a su empresa6. El NCSC invita a distinguir lo que los allegados necesitan saber de los detalles innecesarios que podrían servir a los delincuentes5.
- Estar al tanto de lo que otros dicen de uno: amigos, compañeros y contactos5.
- No responder a las preguntas de un desconocido sobre la empresa. La CISA aconseja desconfiar de las llamadas, visitas o correos que interroguen sobre los empleados o sobre información interna, y verificar la identidad de la persona directamente con la empresa7.
3Las trampas1 min
La primera trampa es la huella digital, es decir, el conjunto de información disponible en línea sobre una persona. El NCSC explica que los delincuentes pueden usarla para robar una identidad o para hacer más convincentes los mensajes de phishing5.
La segunda es la falsa impresión de círculo cerrado: una publicación puede escapar a su autor incluso ante un público elegido6.
La tercera es el falso interlocutor. Un atacante puede presentarse como un nuevo empleado, un técnico de reparaciones o un investigador y, si no obtiene suficiente información de una persona, contactar con otra de la misma organización apoyándose en lo que dijo la primera7. Los detalles publicados pueden hacer más creíble ese relato.
La cuarta viene de las cuentas pirateadas: los contactos pueden compartir contenidos maliciosos sin saberlo, sobre todo si su cuenta ha sido pirateada sin que se den cuenta6.
Por último, conectar una aplicación a una cuenta de red social permite que la aplicación recopile información de esa cuenta, y a la inversa4. Los consejos de las fuentes son comprobar las autorizaciones antes de aceptar46.
4Qué hacer si una publicación causa un problema1 min
Para conseguir que se retire una publicación molesta o comprometedora, Cybermalveillance.gouv.fr remite a los consejos de la CNIL6. Para denunciar un contenido ilícito, indica la plataforma Internet-signalement.gouv.fr6. Si se ha divulgado información sensible de la empresa, la CISA aconseja avisar a las personas competentes de la organización, entre ellas los administradores de red7.
Ficha
- Identificador
- CP-341
- Ala
- 5. Vida en la oficina y reflejos
- Competencia Brain
- Navegar con seguridad (browse_safely)
- Reflejo Brain
- cr-058
- Esquema
- G2 · Mito frente a realidad
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- MITRE ATT&CK, «Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1593/001/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1591/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1592/ (consultado el 3 de noviembre de 2026)
- CISA, «Privacy and Mobile Device Apps | CISA», 18 de diciembre de 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Social Media: how to use it safely», 24 de enero de 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (consultado el 3 de noviembre de 2026)
- Cybermalveillance.gouv.fr, «La sécurité sur les réseaux sociaux», 22 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (consultado el 3 de noviembre de 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Geolocalización y metadatos de las fotos publicadas», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp341_es_2026,
author = {Brain},
title = {Geolocalización y metadatos de las fotos publicadas},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/},
note = {CC BY 4.0}
}