Geolokalizacja i metadane publikowanych zdjęć
Co wpis w mediach społecznościowych zdradza o miejscu pracy i zwyczajach pracownika oraz jak ograniczyć to narażenie.
W 30 sekund
- Gdzie to się zdarza
- W mediach społecznościowych, gdzie wpis może ujawnić role, miejsca i zainteresowania pracowników organizacji1.
- Czego chce atakujący
- Zebrać szczegóły o firmie i jej pracownikach, aby lepiej wycelować swoje podejście2.
- Odruch
- Przed publikacją zapytać siebie, czego zdjęcie lub tekst dowiaduje się obcy o miejscu pracy, godzinach pracy czy organizacji.
O co chodzi
Zdjęcie opublikowane w sieci pokazuje to, co przedstawia, ale mówi też, gdzie, kiedy i w jakich okolicznościach pracuje jego autor. Serwisy społecznościowe zawierają informacje o organizacji, w tym ogłoszenia firmy oraz role, miejsca i zainteresowania jej pracowników1. Atakujący korzystają z nich, by przygotować swoje podejście.
Ta fiszka dotyczy narażenia pracownika, który publikuje: miejsca pracy, godzin, sprzętu, roli. Źródła zebrane na potrzeby tego materiału opisują to narażenie oraz ustawienia, które je zmniejszają. Nie przedstawiają technicznej zawartości metadanych EXIF pliku obrazu ani tego, jak przetwarza je każdy serwis, dlatego te kwestie nie są tu przedstawiane jako fakty.
Pytania wprost
Dlaczego niewinny wpis interesuje atakującego?
Ponieważ informacje o organizacji krążą także przez media społecznościowe: nazwy działów, sposób działania firmy, role i obowiązki kluczowych pracowników2. MITRE zalicza to zbieranie do taktyki rozpoznania2. Informacje te mogą otworzyć drogę do innych form rozpoznania, do zakładania kont i do uzyskania początkowego dostępu, na przykład przez phishing2.
Co atakujący robi z tymi informacjami?
Może zbierać dane w sposób pasywny. Może też użyć ich do tworzenia fałszywych profili lub grup, aby skłonić ofiary do ujawnienia konkretnych informacji1. MITRE podaje przypadek EXOTIC LILY, który skopiował dane z mediów społecznościowych, aby podszywać się pod osoby będące celem1.
Czy same urządzenia mogą zdradzać informacje?
Tak. Informacje o stanowiskach i urządzeniach ofiary (konfiguracja, system operacyjny, język) mogą też być ujawnione przez dane dostępne w sieci, w tym z mediów społecznościowych3.
Czy można uniemożliwić takie zbieranie danych?
Nie w pełni. MITRE pisze, że tej techniki nie da się łatwo zapobiec środkami prewencyjnymi, ponieważ opiera się na zachowaniach spoza zabezpieczeń przedsiębiorstwa. Wysiłki powinny zmierzać do zmniejszenia ilości i wrażliwości danych dostępnych dla osób trzecich1. Pracownik działa więc na wcześniejszym etapie, wpływając na to, co publikuje.
1Jak to działa1 min
Wpis ma dwie części: to, co zamieszcza się celowo, oraz to, co urządzenie lub aplikacja dołącza do niego samo. W odniesieniu do drugiej części źródła opisują rolę aplikacji mobilnych. Aplikacja może prosić o dostęp do danych osobowych na urządzeniu, w tym danych o lokalizacji. Twórcy aplikacji mają wtedy do nich dostęp i mogą je udostępniać osobom trzecim, na przykład firmom reklamowym kierującym reklamy według położenia i zainteresowań4. Niektóre aplikacje dają dostęp do przybliżonego fizycznego położenia użytkownika4.
Po stronie serwisu społecznościowego ustawienia widoczności są często domyślnie bardzo otwarte: dane mogą być udostępniane wszystkim obserwującym6. Nawet w kręgu, który uważamy za ograniczony, wpis może zostać przekazany dalej lub zinterpretowany poza tym, co zakładał autor6.
2Co Pan/Pani robi1 min
Poniższe czynności opierają się na zaleceniach źródeł.
- Ograniczyć dostęp do lokalizacji. W przypadku aplikacji, które jej potrzebują, CISA radzi ograniczyć ten dostęp do chwil, gdy aplikacja jest używana4. Zaleca zwrócić szczególną uwagę na aplikacje, które mają dostęp do aparatu, pamięci i położenia4.
- Kontrolować uprawnienia. Sprawdzić zgody udzielone każdej aplikacji, cofnąć te, które nie są potrzebne, i rozważyć usunięcie aplikacji, które żądają zbyt wiele4.
- Ustawić prywatność. Zastanowić się, kto może zobaczyć wpis, i czy opcje są skonfigurowane tak, by dostęp mieli tylko wybrani odbiorcy5. Regularnie sprawdzać te ustawienia, które mogą zostać zmienione bez Pana/Pani wiedzy6.
- Dobierać, co się mówi. Nie rozpowszechniać informacji osobistych ani wrażliwych, które mogłyby posłużyć do wyrządzenia szkody, i zachować rozwagę, mówiąc o swojej pracy, ponieważ może to zaszkodzić pracownikowi i jego firmie6. NCSC zachęca do odróżniania tego, co bliscy muszą wiedzieć, od zbędnych szczegółów, które mogłyby się przydać przestępcom5.
- Śledzić, co inni mówią o Panu/Pani: znajomi, współpracownicy i kontakty5.
- Nie odpowiadać na pytania obcej osoby o firmę. CISA radzi zachować ostrożność wobec telefonów, wizyt lub e-maili, w których pyta się o pracowników lub informacje wewnętrzne, i zweryfikować tożsamość tej osoby bezpośrednio w firmie7.
3Pułapki1 min
Pierwszą pułapką jest ślad cyfrowy, czyli ogół informacji o osobie dostępnych w sieci. NCSC wyjaśnia, że przestępcy mogą go wykorzystać do kradzieży tożsamości lub do uwiarygodnienia wiadomości phishingowych5.
Drugą jest złudne poczucie zamkniętego kręgu: wpis może wymknąć się autorowi nawet wśród wybranych odbiorców6.
Trzecią jest fałszywy rozmówca. Atakujący może przedstawić się jako nowy pracownik, serwisant lub badacz i, nie uzyskawszy dość informacji od jednej osoby, skontaktować się z inną osobą z tej samej organizacji, powołując się na to, co powiedziała pierwsza7. Opublikowane szczegóły mogą uczynić tę opowieść bardziej wiarygodną.
Czwarta wynika z przejętych kont: kontakty mogą nieświadomie udostępniać szkodliwe treści, zwłaszcza jeśli ich konto zostało przejęte bez ich wiedzy6.
Wreszcie połączenie aplikacji z kontem w serwisie społecznościowym pozwala aplikacji zbierać informacje z tego konta, i odwrotnie4. Źródła radzą sprawdzić uprawnienia przed ich zaakceptowaniem46.
4Co zrobić, gdy wpis sprawia problem1 min
Aby usunąć kłopotliwy lub kompromitujący wpis, Cybermalveillance.gouv.fr odsyła do porad CNIL6. Do zgłaszania treści niezgodnych z prawem wskazuje platformę Internet-signalement.gouv.fr6. Jeśli ujawniono wrażliwe informacje firmy, CISA radzi powiadomić właściwe osoby w organizacji, w tym administratorów sieci7.
Karta
- Identyfikator
- CP-341
- Skrzydło
- 5. Życie w biurze i odruchy
- Kompetencja Brain
- Bezpiecznie przeglądać sieć (browse_safely)
- Odruch Brain
- cr-058
- Schemat
- G2 · Mit kontra rzeczywistość
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
- MITRE ATT&CK, „Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1593/001/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1591/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1592/ (dostęp 3 listopada 2026)
- CISA, „Privacy and Mobile Device Apps | CISA”, 18 grudnia 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Social Media: how to use it safely”, 24 stycznia 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (dostęp 3 listopada 2026)
- Cybermalveillance.gouv.fr, „La sécurité sur les réseaux sociaux”, 22 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (dostęp 3 listopada 2026)
- CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Geolokalizacja i metadane publikowanych zdjęć”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp341_pl_2026,
author = {Brain},
title = {Geolokalizacja i metadane publikowanych zdjęć},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/geolokalizacja-exif-zdjecia-media-spolecznosciowe/},
note = {CC BY 4.0}
}