--- id: CP-341 slug: geolokalizacja-exif-zdjecia-media-spolecznosciowe lang: pl title: Geolokalizacja i metadane publikowanych zdjęć description: Co wpis w mediach społecznościowych zdradza o miejscu pracy i zwyczajach pracownika oraz jak ograniczyć to narażenie. canonical_url: https://startbrain.io/cyberpedia/pl/articles/geolokalizacja-exif-zdjecia-media-spolecznosciowe/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/geolokalizacja-exif-zdjecia-media-spolecznosciowe.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Geolokalizacja i metadane publikowanych zdjęć”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/geolokalizacja-exif-zdjecia-media-spolecznosciowe/ (CC BY 4.0) wing: 5 theme: browse_safely reflex: cr-058 schema: G2 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/geolokalizacja-exif-zdjecia-media-spolecznosciowe/ fr: https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ en: https://startbrain.io/cyberpedia/en/articles/exif-geolocation-social-media-photos/ de: https://startbrain.io/cyberpedia/de/articles/geolokalisierung-exif-fotos-soziale-netzwerke/ es: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ it: https://startbrain.io/cyberpedia/it/articles/geolocalizzazione-exif-foto-social-network/ nl: https://startbrain.io/cyberpedia/nl/articles/geolocatie-exif-foto-sociale-media/ pt: https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/ sources: - "n": 1 title: "Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1593/001/ accessed: "2026-11-03" - "n": 2 title: Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1591/ accessed: "2026-11-03" - "n": 3 title: Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1592/ accessed: "2026-11-03" - "n": 4 title: Privacy and Mobile Device Apps | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps published: "2022-12-18" accessed: "2026-11-03" - "n": 5 title: "Social Media: how to use it safely" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely published: "2019-01-24" accessed: "2026-11-03" - "n": 6 title: La sécurité sur les réseaux sociaux publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux published: "2019-11-22" accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Geolokalizacja i metadane publikowanych zdjęć Zdjęcie opublikowane w sieci pokazuje to, co przedstawia, ale mówi też, gdzie, kiedy i w jakich okolicznościach pracuje jego autor. Serwisy społecznościowe zawierają informacje o organizacji, w tym ogłoszenia firmy oraz role, miejsca i zainteresowania jej pracowników [1]. Atakujący korzystają z nich, by przygotować swoje podejście. Ta fiszka dotyczy narażenia pracownika, który publikuje: miejsca pracy, godzin, sprzętu, roli. Źródła zebrane na potrzeby tego materiału opisują to narażenie oraz ustawienia, które je zmniejszają. Nie przedstawiają technicznej zawartości metadanych EXIF pliku obrazu ani tego, jak przetwarza je każdy serwis, dlatego te kwestie nie są tu przedstawiane jako fakty. ## W 30 sekund - Gdzie to się zdarza: w mediach społecznościowych, gdzie wpis może ujawnić role, miejsca i zainteresowania pracowników organizacji [1]. - Czego chce atakujący: zebrać szczegóły o firmie i jej pracownikach, aby lepiej wycelować swoje podejście [2]. - Odruch: przed publikacją zapytać siebie, czego zdjęcie lub tekst dowiaduje się obcy o miejscu pracy, godzinach pracy czy organizacji. - Jeśli to już się stało: sprawdzić ustawienia prywatności [6] oraz powiadomić właściwe osoby w organizacji, w tym administratorów sieci, jeśli ujawniono informacje wrażliwe [7]. ## Pytania wprost ### Dlaczego niewinny wpis interesuje atakującego? Ponieważ informacje o organizacji krążą także przez media społecznościowe: nazwy działów, sposób działania firmy, role i obowiązki kluczowych pracowników [2]. MITRE zalicza to zbieranie do taktyki rozpoznania [2]. Informacje te mogą otworzyć drogę do innych form rozpoznania, do zakładania kont i do uzyskania początkowego dostępu, na przykład przez phishing [2]. ### Co atakujący robi z tymi informacjami? Może zbierać dane w sposób pasywny. Może też użyć ich do tworzenia fałszywych profili lub grup, aby skłonić ofiary do ujawnienia konkretnych informacji [1]. MITRE podaje przypadek EXOTIC LILY, który skopiował dane z mediów społecznościowych, aby podszywać się pod osoby będące celem [1]. ### Czy same urządzenia mogą zdradzać informacje? Tak. Informacje o stanowiskach i urządzeniach ofiary (konfiguracja, system operacyjny, język) mogą też być ujawnione przez dane dostępne w sieci, w tym z mediów społecznościowych [3]. ### Czy można uniemożliwić takie zbieranie danych? Nie w pełni. MITRE pisze, że tej techniki nie da się łatwo zapobiec środkami prewencyjnymi, ponieważ opiera się na zachowaniach spoza zabezpieczeń przedsiębiorstwa. Wysiłki powinny zmierzać do zmniejszenia ilości i wrażliwości danych dostępnych dla osób trzecich [1]. Pracownik działa więc na wcześniejszym etapie, wpływając na to, co publikuje. ## Jak to działa Wpis ma dwie części: to, co zamieszcza się celowo, oraz to, co urządzenie lub aplikacja dołącza do niego samo. W odniesieniu do drugiej części źródła opisują rolę aplikacji mobilnych. Aplikacja może prosić o dostęp do danych osobowych na urządzeniu, w tym danych o lokalizacji. Twórcy aplikacji mają wtedy do nich dostęp i mogą je udostępniać osobom trzecim, na przykład firmom reklamowym kierującym reklamy według położenia i zainteresowań [4]. Niektóre aplikacje dają dostęp do przybliżonego fizycznego położenia użytkownika [4]. Po stronie serwisu społecznościowego ustawienia widoczności są często domyślnie bardzo otwarte: dane mogą być udostępniane wszystkim obserwującym [6]. Nawet w kręgu, który uważamy za ograniczony, wpis może zostać przekazany dalej lub zinterpretowany poza tym, co zakładał autor [6]. ## Co Pan/Pani robi Poniższe czynności opierają się na zaleceniach źródeł. - Ograniczyć dostęp do lokalizacji. W przypadku aplikacji, które jej potrzebują, CISA radzi ograniczyć ten dostęp do chwil, gdy aplikacja jest używana [4]. Zaleca zwrócić szczególną uwagę na aplikacje, które mają dostęp do aparatu, pamięci i położenia [4]. - Kontrolować uprawnienia. Sprawdzić zgody udzielone każdej aplikacji, cofnąć te, które nie są potrzebne, i rozważyć usunięcie aplikacji, które żądają zbyt wiele [4]. - Ustawić prywatność. Zastanowić się, kto może zobaczyć wpis, i czy opcje są skonfigurowane tak, by dostęp mieli tylko wybrani odbiorcy [5]. Regularnie sprawdzać te ustawienia, które mogą zostać zmienione bez Pana/Pani wiedzy [6]. - Dobierać, co się mówi. Nie rozpowszechniać informacji osobistych ani wrażliwych, które mogłyby posłużyć do wyrządzenia szkody, i zachować rozwagę, mówiąc o swojej pracy, ponieważ może to zaszkodzić pracownikowi i jego firmie [6]. NCSC zachęca do odróżniania tego, co bliscy muszą wiedzieć, od zbędnych szczegółów, które mogłyby się przydać przestępcom [5]. - Śledzić, co inni mówią o Panu/Pani: znajomi, współpracownicy i kontakty [5]. - Nie odpowiadać na pytania obcej osoby o firmę. CISA radzi zachować ostrożność wobec telefonów, wizyt lub e-maili, w których pyta się o pracowników lub informacje wewnętrzne, i zweryfikować tożsamość tej osoby bezpośrednio w firmie [7]. ## Pułapki Pierwszą pułapką jest ślad cyfrowy, czyli ogół informacji o osobie dostępnych w sieci. NCSC wyjaśnia, że przestępcy mogą go wykorzystać do kradzieży tożsamości lub do uwiarygodnienia wiadomości phishingowych [5]. Drugą jest złudne poczucie zamkniętego kręgu: wpis może wymknąć się autorowi nawet wśród wybranych odbiorców [6]. Trzecią jest fałszywy rozmówca. Atakujący może przedstawić się jako nowy pracownik, serwisant lub badacz i, nie uzyskawszy dość informacji od jednej osoby, skontaktować się z inną osobą z tej samej organizacji, powołując się na to, co powiedziała pierwsza [7]. Opublikowane szczegóły mogą uczynić tę opowieść bardziej wiarygodną. Czwarta wynika z przejętych kont: kontakty mogą nieświadomie udostępniać szkodliwe treści, zwłaszcza jeśli ich konto zostało przejęte bez ich wiedzy [6]. Wreszcie połączenie aplikacji z kontem w serwisie społecznościowym pozwala aplikacji zbierać informacje z tego konta, i odwrotnie [4]. Źródła radzą sprawdzić uprawnienia przed ich zaakceptowaniem [4][6]. ## Co zrobić, gdy wpis sprawia problem Aby usunąć kłopotliwy lub kompromitujący wpis, Cybermalveillance.gouv.fr odsyła do porad CNIL [6]. Do zgłaszania treści niezgodnych z prawem wskazuje platformę Internet-signalement.gouv.fr [6]. Jeśli ujawniono wrażliwe informacje firmy, CISA radzi powiadomić właściwe osoby w organizacji, w tym administratorów sieci [7]. ## Źródła 1. MITRE ATT&CK, „Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1593/001/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1591/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1592/ (dostęp 3 listopada 2026) 4. CISA, „Privacy and Mobile Device Apps | CISA”, 18 grudnia 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (dostęp 3 listopada 2026) 5. NCSC (Royaume-Uni), „Social Media: how to use it safely”, 24 stycznia 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (dostęp 3 listopada 2026) 6. Cybermalveillance.gouv.fr, „La sécurité sur les réseaux sociaux”, 22 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (dostęp 3 listopada 2026) 7. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/geolokalizacja-exif-zdjecia-media-spolecznosciowe/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.