Metadatos de las fotos: qué revela en realidad un sitio de clasificados sobre dónde viven sus anunciantes

Un anunciante que crea un anuncio nuevo hace lo obvio: abre la cámara del móvil, toma unas fotos con buena luz, las sube a su cuenta y publica el anuncio. Nada en ese proceso parece una decisión de seguridad. Parece la forma más rápida de dejar la página publicada, y en la mayoría de los sitios lo es exactamente así de rápido, sin nada que se interponga entre la foto tomada hace cinco minutos y la foto que un desconocido ve en la página.

Lo que ese desconocido puede ver no se limita a lo que aparece en el encuadre. Las cámaras de los smartphones que tienen permiso para usar la ubicación, que son la mayoría, la mayor parte del tiempo, escriben la latitud y la longitud exactas del lugar donde se tomó la foto en un bloque de datos dentro del propio archivo, llamado metadatos EXIF. Esas coordenadas viajan con el archivo durante la subida, el almacenamiento y la publicación, a menos que algo en esa cadena las elimine de forma deliberada. Una foto tomada en el propio dormitorio de un anunciante, para un anuncio pensado para mostrar precisamente ese dormitorio, lleva por defecto la dirección de esa habitación dentro de sí misma.

No se trata de un fallo teórico descubierto por un investigador de seguridad. Es la misma decisión de diseño que tomó cada fabricante de móviles para los fotógrafos que quieren organizar sus fotos de vacaciones por ubicación, aplicada sin excepción a una foto pensada para un público completamente distinto. La cámara no sabe, ni puede saber, que esa foto en concreto va a terminar en un lugar donde la persona que la tomó preferiría, con mucho, que no apareciera vinculada a la dirección de su casa.

Lo que un móvil escribe en silencio en cada foto

El detalle técnico que conviene entender, porque de él depende lo que una solución realmente tiene que hacer, es que los datos EXIF están dentro del propio archivo de imagen, en una sección que el ojo nunca ve y que la mayoría de los visores de fotos no muestran salvo que se les pida. No es un pie de foto, ni un nombre de archivo, ni nada que el anunciante escriba. Aparece en el instante en que se dispara la cámara, añadido automáticamente por el sistema operativo, y sobrevive a que la foto se renombre, se mueva o se envíe por correo como adjunto. Lo que sí lo elimina de forma fiable es volver a codificar la imagen: descomponer los datos de los píxeles y escribir un archivo nuevo, proceso que borra los metadatos antiguos salvo que se indique expresamente a la herramienta que los conserve.

Hay una situación con la que casi todo el mundo se ha topado alguna vez, sin saber por qué funcionaba así: una captura de pantalla de una foto no tiene datos de ubicación, porque una captura de pantalla es una imagen completamente nueva de lo que mostraba la pantalla, sin ninguno de los datos ocultos del archivo original. Por eso también un anunciante con buenas intenciones no puede protegerse de forma fiable simplemente desactivando la ubicación después de los hechos: cualquier foto tomada con esa opción activada ya lleva las coordenadas incorporadas, y desactivar la opción solo cambia lo que ocurre con la siguiente foto, no con las que ya están guardadas en el carrete esperando a ser subidas.

Nada de esto es nuevo ni desconocido. Un estudio de 2012 de la Universidad de Colorado Boulder examinó noventa sitios de citas y encontró que veintiuno de ellos, la mayoría gestionados por la misma empresa, publicaban las fotos de los usuarios sin eliminar los datos de ubicación incrustados en ellas. No es el resultado marginal de un actor aislado: es aproximadamente una cuarta parte de todo un sector, hace más de una década, entregando en silencio direcciones particulares a través de una función que ningún usuario del sitio había pedido ni sabía que existía.

Por qué este fallo significa algo distinto en este sector

En un sitio de clasificados generalista, este tipo de filtración resulta incómodo. En un sitio donde la persona de la foto es una profesional independiente cuyos ingresos dependen de que puedan contactarla, pero cuya seguridad depende de que no puedan localizarla, la misma filtración es un problema de una categoría completamente distinta. La dirección no es un dato incidental sobre quien vende un sofá de segunda mano. Es precisamente la única información que un anuncio está diseñado para no revelar nunca, y ahí está, escondida en el archivo, debajo de la foto que el anunciante sí eligió mostrar.

La magnitud de lo que puede acarrear una sola filtración se hizo concreta en julio de 2025, cuando la aplicación de seguridad para citas Tea reveló que unos atacantes habían accedido a unas 72.000 imágenes de una base de datos expuesta: alrededor de 13.000 selfies y documentos de identidad enviados para verificar cuentas, y unas 59.000 imágenes extraídas de publicaciones, comentarios y mensajes directos. La empresa afirmó que no se expusieron correos electrónicos ni números de teléfono, y que solo se vieron afectadas las cuentas creadas antes de febrero de 2024. Nadie ha afirmado que los atacantes buscaran específicamente datos de ubicación incrustados en ese conjunto de imágenes, y este artículo tampoco lo afirma.

Lo que la filtración de Tea demuestra en realidad es algo más concreto y más útil: en cuanto una plataforma almacena y distribuye el archivo original, sin procesar, que una app o un navegador subieron en su momento, todo lo que ese archivo contenga viaja con él a cualquier lugar donde termine el archivo, haya filtración o no. Un anuncio de clasificados no necesita que aparezca un atacante para que esto pase. La propia plataforma entrega el archivo al público, a propósito, cada vez que publica una foto sin haber eliminado antes los metadatos.

Un problema viejo, aburrido y ya resuelto

Lo tranquilizador es que no se trata de un problema de ingeniería difícil, y hace mucho que dejó de serlo. Facebook e Instagram eliminan los metadatos de ubicación de la copia de la foto que sirven al público, y lo hacen desde hace años, precisamente porque una plataforma con cientos de millones de subidas diarias no puede permitirse tener esta conversación con cada usuario de forma individual. Se resuelve una sola vez, de forma centralizada, en el mismo tramo de código por el que ya pasa cada foto antes de publicarse, y nadie que sube una foto de cumpleaños tiene que pensar en ello.

El fallo aparece, de forma previsible, en las plataformas más pequeñas y especializadas que nunca incorporaron ese paso, porque en un equipo reducido nadie tenía asignada esa responsabilidad y ningún usuario abre nunca un ticket de soporte pidiendo una función que ni siquiera sabe que le falta. Un estudio académico de 2024 sobre aplicaciones de citas basadas en ubicación encontró que uno de los servicios analizados, MeetMe, seguía enviando las fotos con los metadatos EXIF originales intactos, mientras que todas las demás aplicaciones del mismo estudio los habían eliminado correctamente. La diferencia entre las plataformas que resolvieron esto y las que nunca llegaron a hacerlo no tiene nada que ver con lo sensible que sea el contenido. Tiene que ver con si alguien, en el equipo técnico, llegó a marcar esa casilla en algún momento.

Esa diferencia importa tanto en el plano legal como en el práctico. Este tipo de datos de ubicación precisa se trata como una categoría protegida propia en la legislación de privacidad de varias jurisdicciones, y la ley de privacidad de California incluye específicamente la geolocalización precisa, definida como aquella que sitúa a una persona dentro de un radio de aproximadamente 1.850 pies, como información personal sensible sujeta a normas propias. Un operador de clasificados que publique esos datos por accidente, incrustados en una foto que nadie examinó con detalle, no queda exento de esas normas solo porque la exposición fuera involuntaria.

Por qué el anunciante no puede resolver esto solo

La respuesta obvia, decirle a los anunciantes que desactiven ellos mismos el geoetiquetado, suena razonable y no funciona en la práctica. La mayoría de las personas nunca ha abierto el ajuste que controla esto, no sabe que existe, y no tiene ningún motivo para buscarlo hasta que algo ya ha salido mal. Quienes sí lo conocen suelen olvidarlo cada vez que cambian de móvil, porque el ajuste se reinicia con cada dispositivo nuevo, y un hábito que hay que recordar correctamente para siempre, por parte de cada anunciante, en cada dispositivo, sin excepción, no es una medida de seguridad. Es un deseo.

Este es el mismo punto ciego que aparece siempre que una plataforma traslada la responsabilidad de una protección técnica a la persona menos capacitada para aplicarla de forma constante. El operador termina siendo la única parte capaz de garantizar que esa protección se aplique realmente a cada archivo, en cada ocasión, del mismo modo que nadie decidió nunca a propósito cuánto tiempo debería permanecer un documento de identidad enviado en un servidor. Solo que aquí la decisión que nunca se tomó es si una foto publicada debería seguir pudiendo señalar la puerta de una vivienda.

Lo que realmente tiene que hacer el proceso de subida

La solución pertenece por completo al lado del servidor, al código que ya procesa cada foto antes de publicarla, no a un ajuste que el anunciante tenga que recordar. Volver a codificar una imagen, algo que la mayoría de los procesos de subida ya hacen para redimensionarla y generar las versiones más pequeñas que un sitio necesita para miniaturas y vistas previas, elimina los datos EXIF como efecto colateral en algunas herramientas, pero no en todas: la popular librería Sharp los elimina por defecto durante ese proceso, mientras que ImageMagick, igual de popular, los conserva a menos que la operación indique expresamente la opción que le dice que elimine los metadatos. Las dos herramientas no se comportan igual de fábrica, y precisamente por eso no puede darse por hecho solo porque ya exista un paso de redimensionado.

La única forma de saber qué comportamiento tiene en realidad un proceso concreto es probarlo directamente: tomar una foto con un móvil que tenga la ubicación activada, subirla exactamente por el mismo camino que usaría un anunciante real, descargar después el archivo que el sitio realmente sirve al público y revisar sus metadatos con cualquier visor EXIF gratuito. Si las coordenadas siguen ahí, el paso de redimensionado no está haciendo el trabajo que se suponía que hacía, sea cual sea la librería que haya detrás.

Hay dos atajos que fallan del mismo modo y por el mismo motivo. Eliminar los metadatos en el navegador con código del lado del cliente parece funcionar hasta que llega una subida a través de una app móvil, una herramienta de importación masiva o una llamada directa al mismo endpoint de subida, ninguna de las cuales ejecuta ese código del navegador. Y confiar en que un widget de subida de terceros ya se haya encargado de esto es una suposición, no una comprobación, hasta que alguien haya realizado de verdad la prueba del párrafo anterior sobre él y haya revisado el resultado.

Nada de esto requiere asesoría legal nueva ni un consultor de seguridad. Requiere que alguien haga una sola prueba esta semana: subir una foto geoetiquetada a través del flujo real de publicación de anuncios, descargar de nuevo la versión que el sitio sirve y abrir sus metadatos. Si las coordenadas vuelven limpias, el proceso ya cumple su función y no hace falta cambiar nada más. Si no es así, esa es la única corrección de esta lista que merece la pena hacer antes de que se publique el próximo anuncio, porque la alternativa es publicar una dirección particular cada vez que un anunciante sube una foto, y llamarlo una función que nadie pidió.