Cyberpediapar Brain
FRDEEN

Géolocalisation et métadonnées des photos publiées

Ce qu'une publication sur un réseau social révèle du lieu de travail et des habitudes d'un salarié, et les gestes qui limitent cette exposition.

En 30 secondes

Où ça arrive
Sur les réseaux sociaux, où une publication peut révéler les rôles, les lieux et les centres d'intérêt du personnel d'une organisation1.
Ce que veut l'attaquant
Rassembler des détails sur l'entreprise et ses salariés pour mieux cibler une approche2.
Le réflexe
Avant de publier, se demander ce que la photo ou le texte apprend à un inconnu sur le lieu de travail, les horaires ou l'organisation.
Si c'est déjà fait
Vérifier les paramètres de confidentialité6, et prévenir les personnes compétentes de l'organisation, dont les administrateurs réseau, si des informations sensibles ont été divulguées7.

De quoi parle-t-on

Une photo publiée en ligne montre ce qu'elle représente, mais elle dit aussi où, quand et dans quel contexte son auteur travaille. Les sites de réseaux sociaux contiennent des informations sur une organisation, notamment des annonces d'entreprise ainsi que les rôles, les lieux et les centres d'intérêt de son personnel1. Des attaquants les consultent pour préparer leurs approches.

Cette fiche porte sur l'exposition du salarié qui publie : lieu de travail, horaires, matériel, rôle. Les sources réunies pour ce dossier décrivent cette exposition et les réglages qui la réduisent. Elles ne détaillent pas le contenu technique des métadonnées EXIF d'un fichier image ni la façon dont chaque réseau les traite : ces points ne sont donc pas affirmés ici.

Questions directes

Pourquoi une publication anodine intéresse-t-elle un attaquant ?

Parce que les informations sur une organisation circulent aussi par les réseaux sociaux : noms des services, fonctionnement de l'activité, rôles et responsabilités des employés clés2. MITRE classe cette collecte dans la tactique de reconnaissance2. Ces informations peuvent ouvrir la voie à d'autres formes de reconnaissance, à la création de comptes et à un accès initial, par exemple par hameçonnage2.

Que fait l'attaquant de ces informations ?

Il peut récolter les données de façon passive. Il peut aussi s'en servir pour créer de faux profils ou de faux groupes afin d'amener les victimes à révéler des informations précises1. MITRE cite le cas de EXOTIC LILY, qui a copié des données de réseaux sociaux pour se faire passer pour des personnes ciblées1.

Les appareils eux-mêmes peuvent-ils trahir des informations ?

Oui. Les informations sur les postes et appareils d'une victime (configuration, système d'exploitation, langue) peuvent aussi être exposées par des données accessibles en ligne, dont les réseaux sociaux3.

Peut-on empêcher cette collecte ?

Pas entièrement. MITRE écrit que cette technique ne se prévient pas facilement avec des contrôles préventifs, car elle repose sur des comportements extérieurs aux défenses de l'entreprise. Les efforts doivent viser à réduire la quantité et la sensibilité des données disponibles pour des tiers1. Le salarié agit donc en amont, sur ce qu'il publie.

1Comment ça marche1 min

Une publication a deux parties : ce qu'on y met volontairement et ce que l'appareil ou l'application y associe. Pour la seconde, les sources documentent le rôle des applications mobiles. Une application peut demander l'accès à des données personnelles de l'appareil, dont les données de localisation. Les développeurs y ont alors accès et peuvent les partager avec des tiers, par exemple des entreprises de publicité ciblée selon la position et les centres d'intérêt4. Certaines applications donnent accès à la position physique approximative de l'utilisateur4.

Du côté du réseau social, les réglages de visibilité sont souvent très ouverts par défaut : les données peuvent être partagées avec tous les abonnés6. Même dans un cercle que l'on croit restreint, une publication peut être rediffusée ou interprétée au-delà de ce que son auteur prévoyait6.

2Ce que vous faites2 min

Les gestes ci-dessous reprennent les recommandations des sources.

  • Limiter l'accès à la localisation. Pour les applications qui en ont besoin, la CISA conseille de restreindre cet accès aux moments où l'application est utilisée4. Elle recommande de regarder en particulier les applications qui accèdent à l'appareil photo, au stockage et à la position4.
  • Contrôler les permissions. Vérifier les autorisations de chaque application, retirer celles qui ne sont pas nécessaires et envisager de supprimer les applications trop gourmandes4.
  • Régler la confidentialité. Se demander qui peut voir une publication et si les options sont configurées pour que seules les personnes voulues y accèdent5. Revérifier régulièrement ces paramètres, qui peuvent être modifiés à votre insu6.
  • Trier ce qu'on dit. Ne pas diffuser d'informations personnelles ou sensibles qui pourraient servir à nuire, et faire preuve de discernement quand on parle de son travail, car cela peut porter préjudice au salarié et à son entreprise6. Le NCSC invite à distinguer ce que les proches ont besoin de savoir des détails inutiles qui pourraient servir à des criminels5.
  • Se tenir au courant de ce que d'autres disent de soi : amis, collègues et contacts5.
  • Ne pas répondre aux questions d'un inconnu sur l'entreprise. La CISA conseille de se méfier des appels, visites ou courriels qui interrogent sur les employés ou sur des informations internes, et de vérifier l'identité de la personne directement auprès de l'entreprise7.
3Les pièges1 min

Le premier piège est l'empreinte numérique, c'est-à-dire l'ensemble des informations disponibles en ligne sur une personne. Le NCSC explique que des criminels peuvent s'en servir pour voler une identité ou rendre des messages d'hameçonnage plus convaincants5.

Le deuxième est la fausse impression de cercle fermé : une publication peut échapper à son auteur même auprès d'un public choisi6.

Le troisième est le faux interlocuteur. Un attaquant peut se présenter comme un nouvel employé, un réparateur ou un chercheur, et, faute d'obtenir assez d'informations d'une personne, contacter une autre personne de la même organisation en s'appuyant sur ce que la première a dit7. Des détails publiés peuvent rendre ce récit plus crédible.

Le quatrième vient des comptes piratés : des contacts peuvent partager des contenus malveillants à leur insu, surtout si leur compte a été piraté sans qu'ils le sachent6.

Enfin, la connexion d'une application à un compte de réseau social permet à l'application de collecter des informations de ce compte, et inversement4. Les conseils des sources sont de vérifier les autorisations avant d'accepter46.

4Que faire si une publication pose problème1 min

Pour faire retirer une publication gênante ou compromettante, Cybermalveillance.gouv.fr renvoie aux conseils de la CNIL6. Pour signaler un contenu illicite, elle indique la plateforme Internet-signalement.gouv.fr6. Si des informations sensibles de l'entreprise ont été divulguées, la CISA conseille de prévenir les personnes compétentes de l'organisation, dont les administrateurs réseau7.

Fiche

Identifiant
CP-341
Aile
5. Vie au bureau et réflexes
Compétence Brain
Naviguer en sécurité (browse_safely)
Réflexe Brain
cr-058
Schéma
G2 · Comparatif Mythe vs Réalité
Langues
de, en, fr
Sources
7 sources vérifiées le 3 novembre 2026
Sources7 sources
  1. MITRE ATT&CK, « Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1593/001/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1591/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1592/ (consulté le 3 novembre 2026)
  4. CISA, « Privacy and Mobile Device Apps | CISA », 18 décembre 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (consulté le 3 novembre 2026)
  5. NCSC (Royaume-Uni), « Social Media: how to use it safely », 24 janvier 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (consulté le 3 novembre 2026)
  6. Cybermalveillance.gouv.fr, « La sécurité sur les réseaux sociaux », 22 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (consulté le 3 novembre 2026)
  7. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)

Citer cet article

Brain, « Géolocalisation et métadonnées des photos publiées », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/

BibTeX 
@misc{brain_cp341_fr_2026,
  author = {Brain},
  title = {Géolocalisation et métadonnées des photos publiées},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0