Metadati delle foto: cosa rivela davvero un sito di annunci sulla posizione dei suoi inserzionisti

Un inserzionista che crea un nuovo annuncio fa la cosa più naturale: apre l'app fotocamera, scatta qualche foto con una buona luce, la carica sul proprio account e pubblica l'annuncio. In nessun momento di questo processo si ha la sensazione di prendere una decisione di sicurezza. Sembra semplicemente il modo più rapido per mettere online una pagina, e sulla maggior parte dei siti è esattamente così: nulla si interpone tra la foto scattata cinque minuti prima e la foto che uno sconosciuto vedrà sulla pagina.

Quello che lo sconosciuto può vedere non si limita a ciò che è visibile nell'inquadratura. Le fotocamere degli smartphone che hanno il permesso di usare la posizione, cioè la maggior parte di esse, la maggior parte delle volte, scrivono la latitudine e la longitudine esatte del luogo in cui la foto è stata scattata in un blocco di dati all'interno del file stesso, chiamato metadato EXIF. Le coordinate viaggiano insieme al file durante il caricamento, la conservazione e la pubblicazione, a meno che qualcosa in quella catena non le rimuova deliberatamente. Una foto scattata nella camera da letto di un inserzionista, per un annuncio pensato per mostrare proprio quella camera, contiene di default l'indirizzo di quella camera.

Non si tratta di una falla teorica scoperta da un ricercatore di sicurezza. È la stessa scelta progettuale adottata da ogni produttore di smartphone per i fotografi che vogliono organizzare le foto delle vacanze in base al luogo, applicata senza eccezioni a una foto destinata a un pubblico completamente diverso. La fotocamera non sa, e non può sapere, che quella particolare foto finirà in un posto dove chi l'ha scattata preferirebbe di gran lunga non vedere associato il proprio indirizzo di casa.

Cosa scrive silenziosamente un telefono in ogni foto

Il dettaglio tecnico da capire, perché è quello che determina cosa deve fare davvero una correzione, è che i dati EXIF si trovano dentro il file immagine stesso, in una sezione che l'occhio non vede mai e che la maggior parte dei visualizzatori di foto non mostra a meno che non venga richiesto. Non è una didascalia, un nome di file, né nulla che un inserzionista scriverebbe. Compare nel momento in cui l'otturatore si chiude, aggiunto automaticamente dal sistema operativo, e resiste a rinomina, spostamento o invio come allegato di un'email. Ciò che lo rimuove in modo affidabile è la ricodifica dell'immagine: scomporre i dati dei pixel e scrivere un nuovo file, operazione che elimina i vecchi metadati a meno che uno strumento non venga espressamente istruito a conservarli.

L'unica situazione in cui quasi tutti si sono già trovati, senza sapere perché funzionava, è che uno screenshot di una foto non contiene dati di posizione, perché uno screenshot è un'immagine completamente nuova di ciò che il display mostrava, senza nessuno dei dati nascosti del file originale. È anche per questo che un inserzionista in buona fede non può proteggersi in modo affidabile disattivando semplicemente i servizi di localizzazione dopo il fatto: qualsiasi foto già scattata con l'opzione attiva ha già le coordinate incorporate, e disattivare l'opzione cambia solo cosa succederà alla foto successiva, non a quelle già presenti nel rullino in attesa di essere caricate.

Niente di tutto questo è nuovo o poco noto. Un progetto di ricerca del 2012 dell'Università del Colorado a Boulder ha esaminato novanta siti di incontri e ha scoperto che ventuno di essi, in gran parte gestiti dalla stessa azienda, pubblicavano le foto degli utenti senza rimuovere i dati di posizione incorporati al loro interno. Non è un risultato marginale legato a un singolo attore scorretto. È circa un quarto di un intero settore, più di dieci anni fa, che distribuiva silenziosamente indirizzi di casa tramite una funzione che nessun utente del sito aveva richiesto o sapeva esistesse.

Perché qui questo errore ha un significato diverso

Su un sito di annunci generico, una fuga di dati di questo tipo è imbarazzante. Su un sito dove la persona nella foto è una professionista autonoma il cui reddito dipende dall'essere raggiungibile, ma la cui sicurezza dipende dal non essere rintracciabile, la stessa fuga di dati appartiene a una categoria di problema completamente diversa. L'indirizzo non è un'informazione accessoria su chi vende un divano usato. È l'unica informazione che un annuncio è pensato apposta per non rivelare mai, e che invece resta silenziosamente nel file, sotto la foto che l'inserzionista ha scelto di mostrare.

La portata di ciò che una singola violazione può comportare si è concretizzata nel luglio 2025, quando l'app di sicurezza per incontri Tea ha rivelato che alcuni hacker avevano avuto accesso a circa 72.000 immagini provenienti da un database esposto: circa 13.000 selfie e documenti d'identità fotografati, inviati per la verifica dell'account, e circa 59.000 immagini prelevate da post, commenti e messaggi diretti. L'azienda ha dichiarato che non sono state esposte email o numeri di telefono, e che sono stati coinvolti solo gli account creati prima di febbraio 2024. Nessuno ha affermato che gli aggressori siano andati specificamente a caccia di dati di posizione incorporati in quel bottino, e nemmeno questo articolo lo sostiene.

Quello che la violazione di Tea dimostra davvero è più circoscritto e più utile: una volta che una piattaforma conserva e distribuisce il file grezzo, non elaborato, originariamente caricato da un'app o da un browser, tutto ciò che quel file contiene viaggia con esso in ogni luogo in cui il file finirà in seguito, che ci sia stata o no una violazione. Per un annuncio di classified non serve un hacker perché questo accada. È la piattaforma stessa a consegnare il file al pubblico, intenzionalmente, ogni singola volta che una foto va online senza che i metadati siano stati prima rimossi.

Un problema vecchio, banale e già risolto

La parte rassicurante è che non si tratta di un problema tecnico difficile, e non lo è da molto tempo. Facebook e Instagram rimuovono i metadati di posizione dalla copia della foto che distribuiscono pubblicamente, e lo fanno da anni, proprio perché una piattaforma con centinaia di milioni di caricamenti al giorno non può permettersi di affrontare questa conversazione con ogni singolo utente. Viene gestito una sola volta, centralmente, nel percorso di codice che ogni foto già attraversa prima di essere pubblicata, e chi carica una foto di un compleanno non deve mai pensarci.

L'errore emerge, com'è prevedibile, sulle piattaforme più piccole e specializzate che non hanno mai integrato quel passaggio, perché in un team ridotto nessuno se ne era mai occupato in prima persona e nessun utente apre mai un ticket di assistenza per chiedere una funzione che non sa di non avere. Uno studio accademico del 2024 sulle app di incontri basate sulla posizione ha rilevato che uno dei servizi analizzati, MeetMe, distribuiva ancora le foto con i metadati EXIF originali intatti, mentre tutte le altre app dello stesso studio li avevano rimossi correttamente. Il divario tra le piattaforme che hanno risolto il problema e quelle che non se ne sono mai occupate non ha nulla a che fare con quanto sia sensibile il contenuto. Ha a che fare con il fatto che qualcuno, dal lato tecnico, abbia mai messo una spunta accanto a quella voce.

Questo divario conta anche dal punto di vista legale, non solo pratico. Dati di localizzazione precisi di questo tipo sono considerati una categoria protetta a sé in più giurisdizioni dal diritto sulla privacy, e la legge sulla privacy della California elenca specificamente la geolocalizzazione precisa, definita come un dato che individua una persona entro circa 1.850 piedi, come informazione personale sensibile soggetta a regole proprie. Un operatore di classified che pubblica quel dato per errore, incorporato in una foto che nessuno ha osservato con attenzione, non è esente da quelle regole solo perché l'esposizione era involontaria.

Perché l'inserzionista non può risolvere il problema da solo

La risposta ovvia, cioè dire agli inserzionisti di disattivare da soli il geotagging, sembra ragionevole ma non funziona nella pratica. La maggior parte delle persone non ha mai aperto l'impostazione che controlla questa funzione, non sa che esiste, e non ha motivo di cercarla finché qualcosa non è già andato storto. Chi la conosce tende a dimenticarsene ogni volta che cambia telefono, perché l'impostazione si azzera con il nuovo dispositivo, e un'abitudine che deve essere ricordata correttamente per sempre, da ogni inserzionista, su ogni dispositivo, senza eccezioni, non è una misura di sicurezza. È un auspicio.

È lo stesso punto cieco che si presenta ogni volta che una piattaforma affida la responsabilità di una misura tecnica di protezione alla persona meno in grado di applicarla in modo costante. L'operatore finisce per essere l'unico soggetto nella posizione di garantire che una misura di protezione venga effettivamente applicata a ogni file, ogni volta, nello stesso modo in cui nessuno ha mai deciso di proposito per quanto tempo un documento d'identità inviato debba restare su un server, se non che qui la decisione mai presa è se una foto pubblicata debba ancora poter indicare la porta di casa di qualcuno.

Cosa deve fare davvero la pipeline di caricamento

La soluzione appartiene interamente al lato server, nel codice che già elabora ogni foto prima che vada online, non a un'impostazione che l'inserzionista deve ricordarsi. La ricodifica di un'immagine, operazione che la maggior parte delle pipeline di caricamento esegue già per ridimensionarla e generare le versioni più piccole di cui un sito ha bisogno per miniature e anteprime, rimuove i dati EXIF come effetto collaterale in alcuni strumenti e non in altri: la popolare libreria Sharp li elimina di default durante quel processo, mentre ImageMagick, altrettanto diffusa, li conserva a meno che l'operazione non richiami esplicitamente il flag che indica di rimuovere i metadati. I due strumenti non si comportano nello stesso modo di default, e questo è esattamente il motivo per cui non si può darlo per scontato solo perché esiste già un passaggio di ridimensionamento.

L'unico modo per sapere quale sia il comportamento reale di una determinata pipeline è testarla direttamente: scattare una foto con un telefono che ha la localizzazione attiva, caricarla esattamente attraverso lo stesso percorso che userebbe un vero inserzionista, poi scaricare il file che il sito distribuisce effettivamente al pubblico e controllarne i metadati con un qualsiasi visualizzatore EXIF gratuito. Se le coordinate sono ancora presenti, il passaggio di ridimensionamento non sta svolgendo il compito che si presumeva svolgesse, qualunque sia la libreria che lo gestisce.

Due scorciatoie falliscono nello stesso modo e per lo stesso motivo. Rimuovere i metadati nel browser con codice lato client sembra funzionare finché non arriva un caricamento tramite un'app mobile, uno strumento di importazione massiva o una chiamata diretta allo stesso endpoint di upload, nessuno dei quali esegue quel codice del browser. E fidarsi che un widget di caricamento di terze parti abbia già gestito la questione è una supposizione, non una verifica, finché qualcuno non ha effettivamente eseguito su di esso il test descritto nel paragrafo precedente e non ne ha osservato il risultato.

Niente di tutto questo richiede una nuova consulenza legale o un esperto di sicurezza. Richiede che qualcuno esegua un test questa settimana: caricare una foto geotaggata attraverso il vero flusso di pubblicazione dell'annuncio, scaricare la versione che il sito restituisce e aprirne i metadati. Se le coordinate risultano assenti, la pipeline sta già facendo il suo lavoro e non c'è altro da cambiare. Se non lo sono, questa è l'unica correzione di questa lista che vale la pena fare prima che vada online il prossimo annuncio, perché l'alternativa è pubblicare un indirizzo di casa ogni volta che un inserzionista posta una foto, e chiamarla una funzione che nessuno aveva chiesto.