Cyberpediapor Brain
PTDEENESFRITNL

Geolocalização e metadados das fotografias publicadas

O que uma publicação numa rede social revela do local de trabalho e dos hábitos de um colaborador, e os gestos que limitam essa exposição.

Em 30 segundos

Onde acontece
Nas redes sociais, onde uma publicação pode revelar as funções, os locais e os interesses do pessoal de uma organização1.
O que quer o atacante
Reunir pormenores sobre a empresa e os seus colaboradores para direcionar melhor uma abordagem2.
O reflexo
Antes de publicar, perguntar o que a fotografia ou o texto revela a um desconhecido sobre o local de trabalho, os horários ou a organização.
Se já aconteceu
Verificar as definições de privacidade6 e avisar as pessoas competentes da organização, incluindo os administradores de rede, se tiverem sido divulgadas informações sensíveis7.

Do que se trata

Uma fotografia publicada em linha mostra o que representa, mas diz também onde, quando e em que contexto trabalha o seu autor. Os sites de redes sociais contêm informações sobre uma organização, nomeadamente anúncios da empresa, bem como as funções, os locais e os interesses do seu pessoal1. Os atacantes consultam-nos para preparar as suas abordagens.

Esta ficha trata da exposição do colaborador que publica: local de trabalho, horários, equipamento, função. As fontes reunidas para este dossiê descrevem essa exposição e as definições que a reduzem. Não detalham o conteúdo técnico dos metadados EXIF de um ficheiro de imagem nem a forma como cada rede os trata: esses pontos não são, por isso, afirmados aqui.

Perguntas diretas

Porque é que uma publicação inofensiva interessa a um atacante?

Porque as informações sobre uma organização circulam também pelas redes sociais: nomes dos serviços, funcionamento da atividade, funções e responsabilidades dos colaboradores-chave2. A MITRE classifica esta recolha na tática de reconhecimento2. Estas informações podem abrir caminho a outras formas de reconhecimento, à criação de contas e a um acesso inicial, por exemplo através de phishing2.

O que faz o atacante com estas informações?

Pode recolher os dados de forma passiva. Pode também usá-los para criar perfis ou grupos falsos, a fim de levar as vítimas a revelar informações concretas1. A MITRE cita o caso do EXOTIC LILY, que copiou dados de redes sociais para se fazer passar por pessoas visadas1.

Os próprios dispositivos podem trair informações?

Sim. As informações sobre os postos de trabalho e os dispositivos de uma vítima (configuração, sistema operativo, idioma) podem também ser expostas por dados acessíveis em linha, entre os quais as redes sociais3.

É possível impedir esta recolha?

Não totalmente. A MITRE escreve que esta técnica não se previne facilmente com controlos preventivos, porque assenta em comportamentos exteriores às defesas da empresa. Os esforços devem visar reduzir a quantidade e a sensibilidade dos dados disponíveis para terceiros1. O colaborador atua, assim, a montante, sobre aquilo que publica.

1Como funciona1 min

Uma publicação tem duas partes: o que lá se coloca de forma voluntária e o que o dispositivo ou a aplicação lhe associa. A respeito da segunda, as fontes documentam o papel das aplicações móveis. Uma aplicação pode pedir acesso a dados pessoais do dispositivo, entre os quais os dados de localização. Os programadores passam então a ter acesso a esses dados e podem partilhá-los com terceiros, por exemplo empresas de publicidade direcionada em função da posição e dos interesses4. Algumas aplicações dão acesso à posição física aproximada do utilizador4.

Do lado da rede social, as definições de visibilidade são muitas vezes muito abertas por predefinição: os dados podem ser partilhados com todos os seguidores6. Mesmo num círculo que se julga restrito, uma publicação pode ser repartilhada ou interpretada para lá do que o seu autor previa6.

2O que faz2 min

As medidas abaixo retomam as recomendações das fontes.

  • Limitar o acesso à localização. Para as aplicações que precisam dela, a CISA aconselha restringir esse acesso aos momentos em que a aplicação está a ser utilizada4. Recomenda que se preste atenção, em particular, às aplicações que acedem à câmara, ao armazenamento e à posição4.
  • Controlar as permissões. Verificar as autorizações de cada aplicação, retirar as que não são necessárias e ponderar eliminar as aplicações que pedem demasiado4.
  • Configurar a privacidade. Perguntar quem pode ver uma publicação e se as opções estão configuradas para que só as pessoas pretendidas lhe tenham acesso5. Voltar a verificar regularmente estas definições, que podem ser alteradas sem o seu conhecimento6.
  • Escolher o que se diz. Não divulgar informações pessoais ou sensíveis que possam servir para prejudicar e ter discernimento ao falar do seu trabalho, porque isso pode prejudicar o colaborador e a sua empresa6. O NCSC convida a distinguir o que as pessoas próximas precisam de saber dos pormenores inúteis que poderiam servir a criminosos5.
  • Manter-se a par do que outros dizem sobre si: amigos, colegas e contactos5.
  • Não responder às perguntas de um desconhecido sobre a empresa. A CISA aconselha desconfiar de chamadas, visitas ou mensagens de correio eletrónico que questionem sobre os colaboradores ou sobre informações internas, e verificar a identidade da pessoa diretamente junto da empresa7.
3As armadilhas1 min

A primeira armadilha é a pegada digital, isto é, o conjunto das informações disponíveis em linha sobre uma pessoa. O NCSC explica que criminosos podem usá-la para roubar uma identidade ou tornar mais convincentes as mensagens de phishing5.

A segunda é a falsa impressão de círculo fechado: uma publicação pode escapar ao seu autor mesmo junto de um público escolhido6.

A terceira é o falso interlocutor. Um atacante pode apresentar-se como um novo colaborador, um técnico de reparação ou um investigador e, não obtendo informações suficientes de uma pessoa, contactar outra da mesma organização, apoiando-se no que a primeira disse7. Pormenores publicados podem tornar este relato mais credível.

A quarta vem das contas pirateadas: os contactos podem partilhar conteúdos maliciosos sem o saberem, sobretudo se a sua conta tiver sido pirateada sem que o tenham notado6.

Por fim, ligar uma aplicação a uma conta de rede social permite à aplicação recolher informações dessa conta, e vice-versa4. As fontes aconselham a verificar as autorizações antes de aceitar46.

4O que fazer se uma publicação causar problemas1 min

Para fazer retirar uma publicação comprometedora ou que cause constrangimento, a Cybermalveillance.gouv.fr remete para os conselhos da CNIL6. Para denunciar um conteúdo ilícito, indica a plataforma Internet-signalement.gouv.fr6. Se tiverem sido divulgadas informações sensíveis da empresa, a CISA aconselha avisar as pessoas competentes da organização, incluindo os administradores de rede7.

Ficha

Identificador
CP-341
Ala
5. Vida no escritório e reflexos
Competência Brain
Navegar em segurança (browse_safely)
Reflexo Brain
cr-058
Esquema
G2 · Mito contra realidade
Idiomas
de, en, es, fr, it, nl, pt
Fontes
7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
  1. MITRE ATT&CK, «Search Open Websites/Domains: Social Media, Sub-technique T1593.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1593/001/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Gather Victim Org Information, Technique T1591 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1591/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Gather Victim Host Information, Technique T1592 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1592/ (consultado em 3 de novembro de 2026)
  4. CISA, «Privacy and Mobile Device Apps | CISA», 18 de dezembro de 2022. https://www.cisa.gov/news-events/news/privacy-and-mobile-device-apps (consultado em 3 de novembro de 2026)
  5. NCSC (Royaume-Uni), «Social Media: how to use it safely», 24 de janeiro de 2019. https://www.ncsc.gov.uk/guidance/social-media-how-to-use-it-safely (consultado em 3 de novembro de 2026)
  6. Cybermalveillance.gouv.fr, «La sécurité sur les réseaux sociaux», 22 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux (consultado em 3 de novembro de 2026)
  7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Geolocalização e metadados das fotografias publicadas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/

BibTeX 
@misc{brain_cp341_pt_2026,
  author = {Brain},
  title = {Geolocalização e metadados das fotografias publicadas},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/geolocalizacao-exif-fotografias-redes-sociais/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0