--- id: CP-341 slug: geolocalizacao-exif-fotografias-redes-sociais lang: pt title: Geolocalização e metadados das fotografias publicadas description: O que uma publicação numa rede social revela do local de trabalho e dos hábitos de um colaborador, e os gestos que limitam essa exposição. canonical_url: https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Geolocalização e metadados das fotografias publicadas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/ (CC BY 4.0) wing: 5 theme: browse_safely reflex: cr-058 schema: G2 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/ fr: https://startbrain.io/cyberpedia/fr/articles/geolocalisation-exif-photos-reseaux-sociaux/ en: https://startbrain.io/cyberpedia/en/articles/exif-geolocation-social-media-photos/ de: https://startbrain.io/cyberpedia/de/articles/geolokalisierung-exif-fotos-soziale-netzwerke/ es: https://startbrain.io/cyberpedia/es/articles/geolocalizacion-exif-fotos-redes-sociales/ it: https://startbrain.io/cyberpedia/it/articles/geolocalizzazione-exif-foto-social-network/ nl: https://startbrain.io/cyberpedia/nl/articles/geolocatie-exif-foto-sociale-media/ sources: - "n": 1 title: "Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1593/001/ accessed: "2026-11-03" - "n": 2 title: Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1591/ accessed: "2026-11-03" - "n": 3 title: Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1592/ accessed: "2026-11-03" - "n": 4 title: Privacy and Mobile Device Apps | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps published: "2022-12-18" accessed: "2026-11-03" - "n": 5 title: "Social Media: how to use it safely" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely published: "2019-01-24" accessed: "2026-11-03" - "n": 6 title: La sécurité sur les réseaux sociaux publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux published: "2019-11-22" accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Geolocalização e metadados das fotografias publicadas Uma fotografia publicada em linha mostra o que representa, mas diz também onde, quando e em que contexto trabalha o seu autor. Os sites de redes sociais contêm informações sobre uma organização, nomeadamente anúncios da empresa, bem como as funções, os locais e os interesses do seu pessoal [1]. Os atacantes consultam-nos para preparar as suas abordagens. Esta ficha trata da exposição do colaborador que publica: local de trabalho, horários, equipamento, função. As fontes reunidas para este dossiê descrevem essa exposição e as definições que a reduzem. Não detalham o conteúdo técnico dos metadados EXIF de um ficheiro de imagem nem a forma como cada rede os trata: esses pontos não são, por isso, afirmados aqui. ## Em 30 segundos - Onde acontece: nas redes sociais, onde uma publicação pode revelar as funções, os locais e os interesses do pessoal de uma organização [1]. - O que quer o atacante: reunir pormenores sobre a empresa e os seus colaboradores para direcionar melhor uma abordagem [2]. - O reflexo: antes de publicar, perguntar o que a fotografia ou o texto revela a um desconhecido sobre o local de trabalho, os horários ou a organização. - Se já aconteceu: verificar as definições de privacidade [6] e avisar as pessoas competentes da organização, incluindo os administradores de rede, se tiverem sido divulgadas informações sensíveis [7]. ## Perguntas diretas ### Porque é que uma publicação inofensiva interessa a um atacante? Porque as informações sobre uma organização circulam também pelas redes sociais: nomes dos serviços, funcionamento da atividade, funções e responsabilidades dos colaboradores-chave [2]. A MITRE classifica esta recolha na tática de reconhecimento [2]. Estas informações podem abrir caminho a outras formas de reconhecimento, à criação de contas e a um acesso inicial, por exemplo através de phishing [2]. ### O que faz o atacante com estas informações? Pode recolher os dados de forma passiva. Pode também usá-los para criar perfis ou grupos falsos, a fim de levar as vítimas a revelar informações concretas [1]. A MITRE cita o caso do EXOTIC LILY, que copiou dados de redes sociais para se fazer passar por pessoas visadas [1]. ### Os próprios dispositivos podem trair informações? Sim. As informações sobre os postos de trabalho e os dispositivos de uma vítima (configuração, sistema operativo, idioma) podem também ser expostas por dados acessíveis em linha, entre os quais as redes sociais [3]. ### É possível impedir esta recolha? Não totalmente. A MITRE escreve que esta técnica não se previne facilmente com controlos preventivos, porque assenta em comportamentos exteriores às defesas da empresa. Os esforços devem visar reduzir a quantidade e a sensibilidade dos dados disponíveis para terceiros [1]. O colaborador atua, assim, a montante, sobre aquilo que publica. ## Como funciona Uma publicação tem duas partes: o que lá se coloca de forma voluntária e o que o dispositivo ou a aplicação lhe associa. A respeito da segunda, as fontes documentam o papel das aplicações móveis. Uma aplicação pode pedir acesso a dados pessoais do dispositivo, entre os quais os dados de localização. Os programadores passam então a ter acesso a esses dados e podem partilhá-los com terceiros, por exemplo empresas de publicidade direcionada em função da posição e dos interesses [4]. Algumas aplicações dão acesso à posição física aproximada do utilizador [4]. Do lado da rede social, as definições de visibilidade são muitas vezes muito abertas por predefinição: os dados podem ser partilhados com todos os seguidores [6]. Mesmo num círculo que se julga restrito, uma publicação pode ser repartilhada ou interpretada para lá do que o seu autor previa [6]. ## O que faz As medidas abaixo retomam as recomendações das fontes. - Limitar o acesso à localização. Para as aplicações que precisam dela, a CISA aconselha restringir esse acesso aos momentos em que a aplicação está a ser utilizada [4]. Recomenda que se preste atenção, em particular, às aplicações que acedem à câmara, ao armazenamento e à posição [4]. - Controlar as permissões. Verificar as autorizações de cada aplicação, retirar as que não são necessárias e ponderar eliminar as aplicações que pedem demasiado [4]. - Configurar a privacidade. Perguntar quem pode ver uma publicação e se as opções estão configuradas para que só as pessoas pretendidas lhe tenham acesso [5]. Voltar a verificar regularmente estas definições, que podem ser alteradas sem o seu conhecimento [6]. - Escolher o que se diz. Não divulgar informações pessoais ou sensíveis que possam servir para prejudicar e ter discernimento ao falar do seu trabalho, porque isso pode prejudicar o colaborador e a sua empresa [6]. O NCSC convida a distinguir o que as pessoas próximas precisam de saber dos pormenores inúteis que poderiam servir a criminosos [5]. - Manter-se a par do que outros dizem sobre si: amigos, colegas e contactos [5]. - Não responder às perguntas de um desconhecido sobre a empresa. A CISA aconselha desconfiar de chamadas, visitas ou mensagens de correio eletrónico que questionem sobre os colaboradores ou sobre informações internas, e verificar a identidade da pessoa diretamente junto da empresa [7]. ## As armadilhas A primeira armadilha é a pegada digital, isto é, o conjunto das informações disponíveis em linha sobre uma pessoa. O NCSC explica que criminosos podem usá-la para roubar uma identidade ou tornar mais convincentes as mensagens de phishing [5]. A segunda é a falsa impressão de círculo fechado: uma publicação pode escapar ao seu autor mesmo junto de um público escolhido [6]. A terceira é o falso interlocutor. Um atacante pode apresentar-se como um novo colaborador, um técnico de reparação ou um investigador e, não obtendo informações suficientes de uma pessoa, contactar outra da mesma organização, apoiando-se no que a primeira disse [7]. Pormenores publicados podem tornar este relato mais credível. A quarta vem das contas pirateadas: os contactos podem partilhar conteúdos maliciosos sem o saberem, sobretudo se a sua conta tiver sido pirateada sem que o tenham notado [6]. Por fim, ligar uma aplicação a uma conta de rede social permite à aplicação recolher informações dessa conta, e vice-versa [4]. As fontes aconselham a verificar as autorizações antes de aceitar [4][6]. ## O que fazer se uma publicação causar problemas Para fazer retirar uma publicação comprometedora ou que cause constrangimento, a Cybermalveillance.gouv.fr remete para os conselhos da CNIL [6]. Para denunciar um conteúdo ilícito, indica a plataforma Internet-signalement.gouv.fr [6]. Se tiverem sido divulgadas informações sensíveis da empresa, a CISA aconselha avisar as pessoas competentes da organização, incluindo os administradores de rede [7]. ## Fontes 1. MITRE ATT&CK, «Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1593/001/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1591/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1592/ (consultado em 3 de novembro de 2026) 4. CISA, «Privacy and Mobile Device Apps | CISA», 18 de dezembro de 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (consultado em 3 de novembro de 2026) 5. NCSC (Royaume-Uni), «Social Media: how to use it safely», 24 de janeiro de 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (consultado em 3 de novembro de 2026) 6. Cybermalveillance.gouv.fr, «La sécurité sur les réseaux sociaux», 22 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (consultado em 3 de novembro de 2026) 7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.