EXIF w zdjęciach. GPS i model telefonu, o których zapominasz

Wysyłasz zdjęcie z demonstracji, z mieszkania źródła, z okna hotelu przed rozmową. Na ekranie widać ulicę albo twarz. W pliku może siedzieć jeszcze coś, czego nie widać w podglądzie: współrzędne GPS, model telefonu, data i godzina z dokładnością do sekundy, czasem numer seryjny aparatu albo miniatura z innym kadrem.

EXIF to zestaw metadanych wplątany w JPEG i inne formaty. Telefon zapisuje je domyślnie, bo ułatwiają sortowanie w galerii i mapę „gdzie robiłem zdjęcia”. Przy publikacji ta wygoda staje się wektorem. Nie musisz być celem służb, żeby to bolało. Wystarczy zły odbiorca, doxxing albo ciekawski przeciwnik polityczny.

Co konkretnie wycieka

Lokalizacja: wiele smartfonów zapisuje GPS w momencie spustu. Zdjęcie „z anonimowego miejsca” przestaje być anonimowe, gdy ktoś odczyta szerokość i długość. Nawet bez GPS bywa adres w polach tekstowych, które dodał edytor albo automat.

Sprzęt: marka i model telefonu albo aparatu. To nie jest wyrok, ale zawęża profil. W połączeniu z innymi śladami (ten sam model w innych wyciekach, ten sam wzorzec czasu) buduje fingerprint.

Czas: znacznik może zdradzić strefę, rytm dnia, fakt, że zdjęcie nie powstało wtedy, kiedy twierdzisz w podpisie. Przy chronologii wydarzeń to bywa dowód albo argument w sporze.

Oprogramowanie: który edytor zapisał plik, czy ktoś już próbował czyścić metadane i zrobił to byle jak. Czasem zostają resztki, czasem pojawia się nowy ślad narzędzia.

Nie każdy portal zachowuje EXIF przy uploadzie. Część dużych platform stripuje lokalizację. Nie zakładaj tego w ciemno. Założenie „Facebook na pewno wytnie” nie przenosi się na maila, komunikator, własny WordPress ani na ZIP wysłany źródłu.

Kogo to dotyczy na co dzień

Dziennikarz chroniący źródło. Aktywista publikujący z miejsca, którego nie chce ujawniać. Świadek, który dokumentuje zdarzenie i wrzuca plik na forum. Osoba prywatna, która wysyła zdjęcie dzieciom „z wakacji” i nie chce, żeby adres domu siedział w pliku obok uśmiechu.

W threat modelu opsec to klasyka: warstwa treści (co widać) i warstwa kontenera (co w pliku). Ludzie tną twarze w edytorze, a zostawiają GPS. Albo odwrotnie: czyszczą EXIF, a na fotografii widać numer domu i tablicę rejestracyjną. Metadane nie zastępują myślenia o kadrze. Są drugim punktem na checkliście.

Historia publicznych wpadek z geotagami w zdjęciach wojskowych, urlopowych i activistycznych wraca od lat. Nie cytuję tu jednej „liczby z badania”, bo te case’y są rozproszone po reportażach i ostrzeżeniach organizacji. Wzorzec jest powtarzalny: ktoś publikuje szybko, metadane lecą z plikiem, lokalizacja wychodzi w OSINT.

Czyszczenie bez teatru

Telefony mają przełączniki lokalizacji dla aparatu. Warto je znać, zanim zrobisz zdjęcie wrażliwe, nie tylko po fakcie. Systemowe udostępnianie czasem oferuje „bez danych o lokalizacji”. Sprawdzaj, co konkretnie znika.

Na komputerze istnieją narzędzia do podglądu i usuwania EXIF. Nie robię z tego tutorialu pod konkretną komendę ani listy „najlepszych programów roku”. Zasada jest prosta: zanim plik opuści zaufane środowisko, wiesz, czy niesie GPS i model, i umiesz zapisać kopię bez tych pól. Potem weryfikujesz odczytem, nie wiarą.

Uwaga na eksport z komunikatorów i z chmur: „wyślij oryginał” często znaczy „wyślij z metadanymi”. Kompresja po drodze może je obciąć albo nie. Testuj na niewrażliwym zdjęciu.

PDF-y, dokumenty Office i zrzuty ekranu to osobna rodzina metadanych. Ten tekst jest o zdjęciach, ale nawyk jest wspólny: pytaj, co kontener wie o Tobie.

Relacja z resztą opsec

EXIF siedzi obok odcisku przeglądarki, obok logów konta, obok tego, czy na zdjęciu widać refleks w oknie. Samo stripowanie nie robi z Ciebie ducha. Brak stripowania potrafi jednak zepsuć inaczej staranny OPSEC jedną publikacją.

Jeśli pracujesz ze źródłami, ustal procedurę przed kryzysem: kto czyści, na jakim sprzęcie, czy oryginał z GPS w ogóle opuszcza telefon źródła. Oryginał z pełnymi danymi może być potrzebny w archiwum redakcyjnym pod kluczem. Publiczna kopia powinna być uboższa.

Miniatury i „wyczyszczone” pliki

Czasem ktoś usuwa pola GPS i zostawia miniaturę (thumbnail) z innym kadrem albo ze starymi danymi. Albo eksportuje przez komunikator, który stripuje lokalizację, a potem dokłada oryginał „na wszelki wypadek” w drugim pliku. OPSEC lubi takie dziury. Jedna procedura, jeden format wyjściowy, weryfikacja przed wysyłką.

Jeśli archiwizujesz dowody, trzymaj oryginał offline z pełnymi metadanymi pod kontrolą. Publiczna kopia i kopia dla źródła to osobne obiekty. Mieszanie tych ról kończy się albo utratą dowodu, albo wyciekiem lokalizacji.

Widzialne i niewidzialne

Zdjęcie czyta się oczami. Plik czyta się parserem. EXIF jest przypomnieniem, że publikacja to zawsze dwa komunikaty naraz. Ja przed wrzuceniem wrażliwego kadru sprawdzam metadane tak samo, jak sprawdzam, czy w tle nie ma dokumentu na biurku. Higiena, nie spektakl.