--- id: CP-341 slug: geolocalisation-exif-photos-reseaux-sociaux lang: fr title: Géolocalisation et métadonnées des photos publiées description: Ce qu'une publication sur un réseau social révèle du lieu de travail et des habitudes d'un salarié, et les gestes qui limitent cette exposition. canonical_url: https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Géolocalisation et métadonnées des photos publiées », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ (CC BY 4.0) wing: 5 theme: browse_safely reflex: cr-058 schema: G2 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ en: https://startbrain.io/cyberpedia/en/articles/exif-geolocation-social-media-photos/ de: https://startbrain.io/cyberpedia/de/articles/geolokalisierung-exif-fotos-soziale-netzwerke/ es: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ sources: - "n": 1 title: "Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1593/001/ accessed: "2026-11-03" - "n": 2 title: Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1591/ accessed: "2026-11-03" - "n": 3 title: Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1592/ accessed: "2026-11-03" - "n": 4 title: Privacy and Mobile Device Apps | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps published: "2022-12-18" accessed: "2026-11-03" - "n": 5 title: "Social Media: how to use it safely" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely published: "2019-01-24" accessed: "2026-11-03" - "n": 6 title: La sécurité sur les réseaux sociaux publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux published: "2019-11-22" accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Géolocalisation et métadonnées des photos publiées Une photo publiée en ligne montre ce qu'elle représente, mais elle dit aussi où, quand et dans quel contexte son auteur travaille. Les sites de réseaux sociaux contiennent des informations sur une organisation, notamment des annonces d'entreprise ainsi que les rôles, les lieux et les centres d'intérêt de son personnel [1]. Des attaquants les consultent pour préparer leurs approches. Cette fiche porte sur l'exposition du salarié qui publie : lieu de travail, horaires, matériel, rôle. Les sources réunies pour ce dossier décrivent cette exposition et les réglages qui la réduisent. Elles ne détaillent pas le contenu technique des métadonnées EXIF d'un fichier image ni la façon dont chaque réseau les traite : ces points ne sont donc pas affirmés ici. ## En 30 secondes - Où ça arrive : sur les réseaux sociaux, où une publication peut révéler les rôles, les lieux et les centres d'intérêt du personnel d'une organisation [1]. - Ce que veut l'attaquant : rassembler des détails sur l'entreprise et ses salariés pour mieux cibler une approche [2]. - Le réflexe : avant de publier, se demander ce que la photo ou le texte apprend à un inconnu sur le lieu de travail, les horaires ou l'organisation. - Si c'est déjà fait : vérifier les paramètres de confidentialité [6], et prévenir les personnes compétentes de l'organisation, dont les administrateurs réseau, si des informations sensibles ont été divulguées [7]. ## Questions directes ### Pourquoi une publication anodine intéresse-t-elle un attaquant ? Parce que les informations sur une organisation circulent aussi par les réseaux sociaux : noms des services, fonctionnement de l'activité, rôles et responsabilités des employés clés [2]. MITRE classe cette collecte dans la tactique de reconnaissance [2]. Ces informations peuvent ouvrir la voie à d'autres formes de reconnaissance, à la création de comptes et à un accès initial, par exemple par hameçonnage [2]. ### Que fait l'attaquant de ces informations ? Il peut récolter les données de façon passive. Il peut aussi s'en servir pour créer de faux profils ou de faux groupes afin d'amener les victimes à révéler des informations précises [1]. MITRE cite le cas de EXOTIC LILY, qui a copié des données de réseaux sociaux pour se faire passer pour des personnes ciblées [1]. ### Les appareils eux-mêmes peuvent-ils trahir des informations ? Oui. Les informations sur les postes et appareils d'une victime (configuration, système d'exploitation, langue) peuvent aussi être exposées par des données accessibles en ligne, dont les réseaux sociaux [3]. ### Peut-on empêcher cette collecte ? Pas entièrement. MITRE écrit que cette technique ne se prévient pas facilement avec des contrôles préventifs, car elle repose sur des comportements extérieurs aux défenses de l'entreprise. Les efforts doivent viser à réduire la quantité et la sensibilité des données disponibles pour des tiers [1]. Le salarié agit donc en amont, sur ce qu'il publie. ## Comment ça marche Une publication a deux parties : ce qu'on y met volontairement et ce que l'appareil ou l'application y associe. Pour la seconde, les sources documentent le rôle des applications mobiles. Une application peut demander l'accès à des données personnelles de l'appareil, dont les données de localisation. Les développeurs y ont alors accès et peuvent les partager avec des tiers, par exemple des entreprises de publicité ciblée selon la position et les centres d'intérêt [4]. Certaines applications donnent accès à la position physique approximative de l'utilisateur [4]. Du côté du réseau social, les réglages de visibilité sont souvent très ouverts par défaut : les données peuvent être partagées avec tous les abonnés [6]. Même dans un cercle que l'on croit restreint, une publication peut être rediffusée ou interprétée au-delà de ce que son auteur prévoyait [6]. ## Ce que vous faites Les gestes ci-dessous reprennent les recommandations des sources. - Limiter l'accès à la localisation. Pour les applications qui en ont besoin, la CISA conseille de restreindre cet accès aux moments où l'application est utilisée [4]. Elle recommande de regarder en particulier les applications qui accèdent à l'appareil photo, au stockage et à la position [4]. - Contrôler les permissions. Vérifier les autorisations de chaque application, retirer celles qui ne sont pas nécessaires et envisager de supprimer les applications trop gourmandes [4]. - Régler la confidentialité. Se demander qui peut voir une publication et si les options sont configurées pour que seules les personnes voulues y accèdent [5]. Revérifier régulièrement ces paramètres, qui peuvent être modifiés à votre insu [6]. - Trier ce qu'on dit. Ne pas diffuser d'informations personnelles ou sensibles qui pourraient servir à nuire, et faire preuve de discernement quand on parle de son travail, car cela peut porter préjudice au salarié et à son entreprise [6]. Le NCSC invite à distinguer ce que les proches ont besoin de savoir des détails inutiles qui pourraient servir à des criminels [5]. - Se tenir au courant de ce que d'autres disent de soi : amis, collègues et contacts [5]. - Ne pas répondre aux questions d'un inconnu sur l'entreprise. La CISA conseille de se méfier des appels, visites ou courriels qui interrogent sur les employés ou sur des informations internes, et de vérifier l'identité de la personne directement auprès de l'entreprise [7]. ## Les pièges Le premier piège est l'empreinte numérique, c'est-à-dire l'ensemble des informations disponibles en ligne sur une personne. Le NCSC explique que des criminels peuvent s'en servir pour voler une identité ou rendre des messages d'hameçonnage plus convaincants [5]. Le deuxième est la fausse impression de cercle fermé : une publication peut échapper à son auteur même auprès d'un public choisi [6]. Le troisième est le faux interlocuteur. Un attaquant peut se présenter comme un nouvel employé, un réparateur ou un chercheur, et, faute d'obtenir assez d'informations d'une personne, contacter une autre personne de la même organisation en s'appuyant sur ce que la première a dit [7]. Des détails publiés peuvent rendre ce récit plus crédible. Le quatrième vient des comptes piratés : des contacts peuvent partager des contenus malveillants à leur insu, surtout si leur compte a été piraté sans qu'ils le sachent [6]. Enfin, la connexion d'une application à un compte de réseau social permet à l'application de collecter des informations de ce compte, et inversement [4]. Les conseils des sources sont de vérifier les autorisations avant d'accepter [4][6]. ## Que faire si une publication pose problème Pour faire retirer une publication gênante ou compromettante, Cybermalveillance.gouv.fr renvoie aux conseils de la CNIL [6]. Pour signaler un contenu illicite, elle indique la plateforme Internet-signalement.gouv.fr [6]. Si des informations sensibles de l'entreprise ont été divulguées, la CISA conseille de prévenir les personnes compétentes de l'organisation, dont les administrateurs réseau [7]. ## Sources 1. MITRE ATT&CK, « Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1593/001/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1591/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1592/ (consulté le 3 novembre 2026) 4. CISA, « Privacy and Mobile Device Apps | CISA », 18 décembre 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Social Media: how to use it safely », 24 janvier 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (consulté le 3 novembre 2026) 6. Cybermalveillance.gouv.fr, « La sécurité sur les réseaux sociaux », 22 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (consulté le 3 novembre 2026) 7. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.