फोटो मेटाडेटा: क्लासिफाइड साइट अपने विज्ञापनदाताओं के घर के पते के बारे में वास्तव में क्या लीक करती है

कोई विज्ञापनदाता जब नई लिस्टिंग बनाता है, तो सबसे सीधा तरीका अपनाता है: कैमरा ऐप खोलता है, अच्छी रोशनी में कुछ तस्वीरें लेता है, उन्हें अकाउंट पर अपलोड करता है, और लिस्टिंग पब्लिश कर देता है। इस पूरी प्रक्रिया में कहीं भी यह सुरक्षा से जुड़ा फैसला नहीं लगता। यह बस पेज को जल्द से जल्द लाइव करने का सबसे तेज़ तरीका लगता है, और ज़्यादातर साइटों पर यह वाकई उतना ही तेज़ होता है, यानी पाँच मिनट पहले खींची गई तस्वीर और किसी अनजान व्यक्ति द्वारा पेज पर देखी जाने वाली तस्वीर के बीच कुछ भी नहीं होता।

वह अनजान व्यक्ति सिर्फ वही नहीं देख पाता जो फ्रेम में नज़र आता है। जिन स्मार्टफोन कैमरों को लोकेशन इस्तेमाल करने की अनुमति दी गई होती है, जो ज़्यादातर कैमरों के साथ ज़्यादातर समय होता है, वे तस्वीर खींचने की जगह का ठीक-ठीक अक्षांश और देशांतर फ़ाइल के भीतर ही एक डेटा ब्लॉक में लिख देते हैं, जिसे EXIF मेटाडेटा कहा जाता है। जब तक इस प्रक्रिया में कोई जानबूझकर इन्हें हटा न दे, ये कोऑर्डिनेट्स अपलोड, स्टोरेज और पब्लिकेशन के हर चरण में फ़ाइल के साथ बने रहते हैं। बेडरूम दिखाने के मकसद से बनाई गई लिस्टिंग के लिए विज्ञापनदाता के अपने ही बेडरूम में खींची गई तस्वीर में, डिफ़ॉल्ट रूप से उस बेडरूम का पता भीतर ही दर्ज होता है।

यह किसी सुरक्षा शोधकर्ता द्वारा खोजी गई कोई काल्पनिक खामी नहीं है। यह हर फोन निर्माता द्वारा उन फोटोग्राफरों के लिए लिया गया वही डिज़ाइन फैसला है जो अपनी छुट्टियों की तस्वीरों को लोकेशन के हिसाब से व्यवस्थित रखना चाहते हैं, और यही फैसला बिना किसी अपवाद के उस तस्वीर पर भी लागू हो जाता है जो पूरी तरह अलग दर्शकों के लिए बनी है। कैमरे को यह पता नहीं होता, और पता हो भी नहीं सकता, कि यह खास तस्वीर आखिर वहाँ जा रही है जहाँ उसे खींचने वाला व्यक्ति अपना घर का पता बिल्कुल भी जोड़ा हुआ नहीं देखना चाहेगा।

फोन हर तस्वीर में चुपचाप क्या दर्ज कर देता है

जो तकनीकी बात समझना ज़रूरी है, क्योंकि इसी से तय होता है कि किसी समाधान को वास्तव में क्या करना होगा, वह यह है कि EXIF डेटा तस्वीर की फ़ाइल के भीतर ही, एक ऐसे हिस्से में बैठा होता है जिसे आँख कभी नहीं देखती और ज़्यादातर फोटो व्यूअर बिना पूछे कभी नहीं दिखाते। यह कोई कैप्शन, फ़ाइल का नाम, या कुछ ऐसा नहीं है जो विज्ञापनदाता खुद टाइप करता हो। यह शटर बंद होते ही अपने आप जुड़ जाता है, ऑपरेटिंग सिस्टम द्वारा खुद जोड़ा जाता है, और फ़ाइल का नाम बदलने, उसे कहीं और भेजने, या ईमेल में अटैचमेंट के तौर पर भेजने के बाद भी बना रहता है। इसे भरोसे के साथ हटाने वाला काम है तस्वीर को फिर से एन्कोड करना: यानी पिक्सेल डेटा को अलग करके एक नई फ़ाइल बनाना, जिससे पुराना मेटाडेटा अपने आप हट जाता है, जब तक किसी टूल को खास तौर पर उसे बचाए रखने के लिए न कहा जाए।

एक स्थिति से लगभग हर किसी का सामना हो चुका है, बिना यह जाने कि वह क्यों काम कर गई: किसी तस्वीर के स्क्रीनशॉट में लोकेशन डेटा नहीं होता, क्योंकि स्क्रीनशॉट स्क्रीन पर दिख रही चीज़ की एक बिल्कुल नई तस्वीर होती है, जिसमें मूल फ़ाइल का कोई छिपा हुआ डेटा शामिल नहीं होता। यही वजह है कि एक नेकनीयत विज्ञापनदाता भी बाद में सिर्फ लोकेशन सेवा बंद कर देने से खुद को भरोसे के साथ सुरक्षित नहीं कर सकता: जो तस्वीर सेटिंग ऑन रहते हुए पहले ही खींची जा चुकी है, उसमें कोऑर्डिनेट्स पहले से दर्ज हो चुके होते हैं, और सेटिंग बंद करने से सिर्फ अगली तस्वीर पर फर्क पड़ता है, कैमरा रोल में पहले से मौजूद और अपलोड होने का इंतज़ार कर रही तस्वीरों पर नहीं।

इसमें से कुछ भी नया या अनजाना नहीं है। यूनिवर्सिटी ऑफ कोलोराडो बोल्डर की 2012 की एक शोध परियोजना ने नब्बे डेटिंग वेबसाइटों की जांच की और पाया कि उनमें से इक्कीस, जिनमें से ज़्यादातर एक ही कंपनी द्वारा चलाई जाती थीं, यूज़र की तस्वीरें उनमें दर्ज लोकेशन डेटा हटाए बिना ही पब्लिश कर रही थीं। यह किसी एक खराब खिलाड़ी का अलग-थलग नतीजा नहीं है। यह एक दशक से भी पहले, पूरे उद्योग का लगभग एक चौथाई हिस्सा है, जो चुपचाप, एक ऐसे फीचर के ज़रिए घर के पते बांट रहा था जिसकी साइट इस्तेमाल करने वाले किसी भी व्यक्ति ने न मांग की थी, न जिसके बारे में उन्हें पता था।

यहाँ यह चूक एक अलग मामला क्यों बन जाती है

किसी सामान्य क्लासिफाइड साइट पर इस तरह की लीक सिर्फ शर्मिंदगी की बात होती है। लेकिन जिस साइट पर तस्वीर में मौजूद व्यक्ति एक स्वतंत्र सेवा प्रदाता हो, जिसकी आमदनी उस तक पहुंचा जा सकने पर टिकी हो लेकिन जिसकी सुरक्षा इस पर टिकी हो कि उसे ढूंढा न जा सके, वहाँ यही लीक पूरी तरह एक अलग दर्जे की समस्या बन जाती है। पता किसी पुराने सोफे के विक्रेता के बारे में एक इत्तेफ़ाकिया जानकारी नहीं है। यह वह एक जानकारी है जिसे कभी सामने न आने देना किसी लिस्टिंग का खास मकसद होता है, और वह विज्ञापनदाता की चुनी हुई तस्वीर के नीचे फ़ाइल में चुपचाप बैठी रहती है।

एक ही डेटा एक्सपोज़र कितना बड़ा असर डाल सकता है, यह जुलाई 2025 में ठोस रूप में सामने आया, जब डेटिंग-सेफ्टी ऐप Tea ने बताया कि हैकर्स ने एक असुरक्षित डेटाबेस से लगभग 72,000 तस्वीरों तक पहुंच बना ली थी: इनमें अकाउंट वेरिफिकेशन के लिए जमा की गई लगभग 13,000 सेल्फी और फोटो आईडी, और पोस्ट, कमेंट व डायरेक्ट मैसेज से निकाली गई लगभग 59,000 तस्वीरें शामिल थीं। कंपनी ने कहा कि कोई ईमेल या फोन नंबर उजागर नहीं हुआ, और इससे सिर्फ फरवरी 2024 से पहले बनाए गए अकाउंट प्रभावित हुए। किसी ने यह दावा नहीं किया कि हमलावरों ने खास तौर पर इस डेटा में दर्ज लोकेशन जानकारी की तलाश की थी, और यह लेख भी ऐसा कोई दावा नहीं करता।

Tea की यह घटना असल में जो दिखाती है वह इससे कहीं ज़्यादा सीधी और काम की बात है: जब कोई प्लेटफॉर्म किसी ऐप या ब्राउज़र से मूल रूप से अपलोड की गई असंसाधित फ़ाइल को वैसे ही स्टोर करके परोसता है, तो उस फ़ाइल में जो भी दर्ज हो, वह हर उस जगह तक साथ पहुंचता है जहाँ फ़ाइल बाद में जाती है, भले ही डेटा में कोई सेंधमारी हुई हो या न हुई हो। किसी क्लासिफाइड लिस्टिंग को ऐसा होने के लिए किसी हैकर की ज़रूरत ही नहीं होती। जब भी कोई तस्वीर पहले मेटाडेटा हटाए बिना लाइव होती है, प्लेटफॉर्म खुद, जानबूझकर, वह फ़ाइल पब्लिक को सौंप देता है।

एक पुरानी, मामूली और पहले से सुलझी हुई समस्या

राहत की बात यह है कि यह कोई मुश्किल इंजीनियरिंग समस्या नहीं है, और लंबे समय से नहीं रही है। फेसबुक और इंस्टाग्राम सालों से अपनी तस्वीर की वह कॉपी परोसने से पहले, जो सार्वजनिक रूप से दिखाई जाती है, उसमें से लोकेशन मेटाडेटा हटाते हैं, और इसकी सीधी वजह यह है कि रोज़ाना करोड़ों अपलोड संभालने वाला कोई प्लेटफॉर्म हर यूज़र से अलग-अलग यह बात समझाने का जोखिम नहीं ले सकता। यह काम एक बार, केंद्रीय रूप से, उस कोड पथ में निपटा दिया जाता है जिससे हर तस्वीर पब्लिश होने के रास्ते में वैसे भी गुज़रती है, और जन्मदिन की तस्वीर अपलोड करने वाले किसी भी व्यक्ति को इसके बारे में सोचना भी नहीं पड़ता।

यह चूक, जैसी उम्मीद की जा सकती है, छोटे और ज़्यादा विशिष्ट प्लेटफॉर्मों पर सामने आती है, जिन्होंने यह कदम कभी अपनी प्रक्रिया में शामिल ही नहीं किया, क्योंकि छोटी टीम में इसकी ज़िम्मेदारी किसी को सौंपी ही नहीं गई थी, और कोई भी यूज़र ऐसे फीचर के लिए सपोर्ट टिकट नहीं डालता जिसकी कमी के बारे में उसे पता ही नहीं होता। लोकेशन-आधारित डेटिंग ऐप्स की जांच करने वाले 2024 के एक शोध पत्र में पाया गया कि अध्ययन में शामिल सेवाओं में से एक, MeetMe, अब भी तस्वीरों को मूल EXIF मेटाडेटा के साथ भेज रहा था, जबकि उसी अध्ययन के हर दूसरे ऐप ने इसे ठीक से हटा दिया था। जिन प्लेटफॉर्मों ने इसे सुलझा लिया और जिन्होंने कभी इस पर ध्यान ही नहीं दिया, उनके बीच का यह अंतर सामग्री की संवेदनशीलता से जुड़ा नहीं है। इसका संबंध सिर्फ इससे है कि इंजीनियरिंग टीम में किसी ने कभी इसे अपनी सूची में जगह दी या नहीं।

यह अंतर सिर्फ व्यावहारिक ही नहीं, कानूनी रूप से भी अहम है। इस तरह का सटीक लोकेशन डेटा कई देशों के प्राइवेसी कानूनों के तहत अपनी अलग संरक्षित श्रेणी माना जाता है, और कैलिफोर्निया के प्राइवेसी कानून में सटीक जियोलोकेशन को, यानी किसी व्यक्ति को लगभग 1,850 फीट के दायरे में रखने वाले डेटा को, खास तौर पर संवेदनशील व्यक्तिगत जानकारी के रूप में सूचीबद्ध किया गया है, जिस पर अपने अलग नियम लागू होते हैं। कोई क्लासिफाइड ऑपरेटर अगर गलती से यह डेटा पब्लिश कर दे, जो किसी तस्वीर में दर्ज हो और जिसे किसी ने ध्यान से देखा भी न हो, तो सिर्फ इसलिए वह इन नियमों से मुक्त नहीं हो जाता कि यह उजागर होना अनजाने में हुआ था।

विज्ञापनदाता खुद इसे ठीक क्यों नहीं कर सकता

सबसे सीधा जवाब, यानी विज्ञापनदाताओं को खुद जियोटैगिंग बंद करने के लिए कहना, सुनने में तर्कसंगत लगता है लेकिन व्यवहार में काम नहीं करता। ज़्यादातर लोगों ने वह सेटिंग कभी खोली ही नहीं होती जो इसे नियंत्रित करती है, उन्हें उसके होने का पता ही नहीं होता, और जब तक कुछ गलत नहीं हो जाता, उन्हें उसे ढूंढने की कोई वजह भी नज़र नहीं आती। जिन्हें इसके बारे में पता होता है, वे भी हर बार नया फोन लेने पर इसे भूल जाते हैं, क्योंकि यह सेटिंग डिवाइस के साथ रीसेट हो जाती है, और जिस आदत को हर विज्ञापनदाता को, हर डिवाइस पर, बिना किसी अपवाद के, हमेशा सही तरीके से याद रखना पड़े, वह कोई सुरक्षा उपाय नहीं है। वह महज़ एक उम्मीद है।

यही अंधा कोना हर उस जगह सामने आता है जहाँ कोई प्लेटफॉर्म किसी तकनीकी सुरक्षा उपाय की ज़िम्मेदारी उस व्यक्ति को सौंप देता है जो उसे लगातार लागू करने के लिए सबसे कम तैयार होता है। ऑपरेटर ही वह इकलौता पक्ष होता है जो यह गारंटी दे सकता है कि हर फ़ाइल पर, हर बार यह सुरक्षा उपाय वास्तव में लागू हो, उसी तरह जैसे कभी किसी ने जानबूझकर यह तय नहीं किया कि जमा किया गया आईडी दस्तावेज़ सर्वर पर कितने समय तक रहना चाहिए, बस फर्क यह है कि यहाँ जो फैसला कभी लिया ही नहीं गया वह यह है कि क्या पब्लिश हो चुकी तस्वीर को अब भी किसी घर के दरवाज़े तक वापस इशारा करने की छूट होनी चाहिए।

अपलोड पाइपलाइन को वास्तव में क्या करने की ज़रूरत है

इसका समाधान पूरी तरह सर्वर साइड पर, उस कोड में होना चाहिए जो हर तस्वीर को लाइव होने से पहले वैसे भी प्रोसेस करता है, न कि किसी ऐसी सेटिंग में जिसे विज्ञापनदाता को याद रखना पड़े। तस्वीर को फिर से एन्कोड करना, जो ज़्यादातर अपलोड पाइपलाइन आकार बदलने और थंबनेल व प्रीव्यू के लिए छोटे वर्शन बनाने के लिए वैसे भी करती हैं, कुछ टूल में एक साथ EXIF डेटा भी हटा देता है और कुछ में नहीं: लोकप्रिय Sharp लाइब्रेरी इस प्रक्रिया के दौरान इसे डिफ़ॉल्ट रूप से हटा देती है, जबकि उतना ही लोकप्रिय ImageMagick इसे बनाए रखता है, जब तक ऑपरेशन में साफ तौर पर वह फ्लैग न दिया जाए जो उसे मेटाडेटा हटाने के लिए कहता है। दोनों टूल शुरुआत में एक जैसा व्यवहार नहीं करते, और यही वजह है कि सिर्फ इसलिए यह मान लेना ठीक नहीं है कि आकार बदलने का चरण मौजूद है तो यह काम भी अपने आप हो जाएगा।

किसी दी गई पाइपलाइन का असल व्यवहार जानने का इकलौता तरीका है इसे सीधे टेस्ट करना: लोकेशन ऑन किए हुए फोन से एक तस्वीर लें, उसे ठीक उसी रास्ते से अपलोड करें जिसका इस्तेमाल कोई असली विज्ञापनदाता करेगा, फिर वह फ़ाइल डाउनलोड करें जो साइट वास्तव में पब्लिक को परोसती है, और किसी भी मुफ्त EXIF व्यूअर से उसका मेटाडेटा जांचें। अगर कोऑर्डिनेट्स अब भी वहाँ मौजूद हैं, तो आकार बदलने का चरण वह काम नहीं कर रहा जो उससे उम्मीद की गई थी, चाहे उसके पीछे कोई भी लाइब्रेरी क्यों न हो।

दो शॉर्टकट एक जैसे और एक ही वजह से नाकाम होते हैं। ब्राउज़र में क्लाइंट-साइड कोड से मेटाडेटा हटाना तब तक काम करता दिखता है जब तक कोई अपलोड मोबाइल ऐप, बल्क-इम्पोर्ट टूल, या उसी अपलोड एंडपॉइंट पर सीधी कॉल के ज़रिए न आए, क्योंकि इनमें से कोई भी वह ब्राउज़र कोड चलाता ही नहीं। और यह मान लेना कि किसी थर्ड-पार्टी अपलोड विजेट ने पहले से यह काम संभाल लिया होगा, एक अंदाज़ा है, पुष्टि नहीं, जब तक कि कोई पिछले पैराग्राफ वाला टेस्ट उस पर वास्तव में चलाकर नतीजा न देख ले।

इसमें से किसी भी काम के लिए नई कानूनी सलाह या सुरक्षा सलाहकार की ज़रूरत नहीं है। इसके लिए सिर्फ इतना चाहिए कि इसी हफ्ते कोई एक टेस्ट कर ले: असली लिस्टिंग प्रक्रिया के ज़रिए जियोटैग की गई एक तस्वीर अपलोड करें, साइट जो वर्शन वापस परोसती है उसे डाउनलोड करें, और उसका मेटाडेटा खोलकर देखें। अगर कोऑर्डिनेट्स साफ आते हैं, तो पाइपलाइन अपना काम पहले से ही ठीक कर रही है और कुछ और बदलने की ज़रूरत नहीं है। अगर नहीं, तो यही इस सूची का वह एक फिक्स है जिसे अगली लिस्टिंग लाइव होने से पहले कर लेना चाहिए, क्योंकि इसका दूसरा विकल्प है कि हर बार जब कोई विज्ञापनदाता तस्वीर पोस्ट करे, तब घर का पता पब्लिश होता रहे, और उसे ऐसा फीचर कह दिया जाए जिसकी किसी ने मांग ही नहीं की थी।