Metadados de fotos: o que um site de classificados revela sobre onde seus anunciantes moram

Um anunciante que está criando um novo anúncio faz o óbvio: abre o aplicativo de câmera, tira algumas fotos com boa luz, envia para a conta e publica o anúncio. Nada nesse processo parece uma decisão de segurança. Parece apenas o jeito mais rápido de colocar uma página no ar, e na maioria dos sites é exatamente assim que funciona, sem nada entre a foto tirada cinco minutos antes e a foto que um estranho vê na página.

O que esse estranho pode ver não se limita ao que aparece na imagem. Câmeras de smartphone com permissão para usar a localização, o que é o caso da maioria delas na maior parte do tempo, gravam a latitude e a longitude exatas de onde a foto foi tirada em um bloco de dados dentro do próprio arquivo, chamado de metadados EXIF. As coordenadas viajam junto com o arquivo durante o upload, o armazenamento e a publicação, a menos que algo nessa cadeia as remova deliberadamente. Uma foto tirada no próprio quarto de um anunciante, para um anúncio que precisa mostrar justamente um quarto, carrega por padrão o endereço desse quarto embutido nela.

Isso não é uma falha teórica descoberta por um pesquisador de segurança. É a mesma decisão de projeto tomada por todos os fabricantes de celular, pensada para fotógrafos que querem organizar as fotos de férias por localização, aplicada sem exceção a uma foto destinada a um público completamente diferente. A câmera não sabe, e não tem como saber, que aquela foto específica vai para um lugar onde a pessoa que a tirou certamente não gostaria de ver o próprio endereço anexado.

O que um celular grava silenciosamente em cada foto

O detalhe técnico que vale entender, porque é ele que define o que uma correção realmente precisa fazer, é que os dados EXIF ficam dentro do próprio arquivo de imagem, em uma seção que o olho nunca vê e que a maioria dos visualizadores de fotos não mostra a menos que seja solicitado. Não é uma legenda, um nome de arquivo, nem nada que o anunciante digite. Ela aparece no instante em que o obturador se fecha, adicionada automaticamente pelo sistema operacional, e sobrevive a ser renomeada, movida ou enviada como anexo de e-mail. O que realmente remove esses dados é reprocessar a imagem: decompor os pixels e gravar um novo arquivo, o que elimina os metadados antigos, a menos que uma ferramenta seja instruída especificamente a preservá-los.

A situação que quase todo mundo já viveu, sem saber por que funcionou, é que a captura de tela de uma foto não tem dados de localização, porque uma captura de tela é uma imagem totalmente nova do que apareceu na tela, sem nenhum dos dados ocultos do arquivo original. É também por isso que um anunciante bem-intencionado não consegue se proteger de forma confiável apenas desativando a localização depois do fato: qualquer foto já tirada com essa opção ativada já tem as coordenadas gravadas, e desligar a opção só muda o que acontece com a próxima foto, não com as que já estão na galeria esperando para ser enviadas.

Nada disso é novo ou obscuro. Um projeto de pesquisa de 2012 da Universidade do Colorado Boulder analisou noventa sites de relacionamento e descobriu que vinte e um deles, a maioria pertencente à mesma empresa, publicavam fotos de usuários sem remover os dados de localização embutidos nelas. Isso não é um resultado marginal de um único mau ator. É cerca de um quarto de todo um setor, mais de uma década atrás, distribuindo endereços residenciais silenciosamente por meio de um recurso que nenhum usuário do site pediu ou sabia que existia.

Por que essa falha significa algo diferente aqui

Em um site de classificados genérico, esse tipo de vazamento é constrangedor. Em um site onde a pessoa da foto é uma profissional independente cuja renda depende de estar acessível, mas cuja segurança depende de não ser localizável, o mesmo vazamento se torna um problema de outra categoria inteiramente. O endereço não é uma informação incidental sobre quem vende um sofá usado. É justamente a única informação que um anúncio foi pensado para nunca revelar, e que fica quieta dentro do arquivo, por trás da foto que o anunciante escolheu mostrar.

A dimensão do que uma única exposição pode carregar ficou concreta em julho de 2025, quando o aplicativo de segurança para encontros Tea revelou que hackers haviam acessado cerca de 72 mil imagens de um banco de dados exposto: aproximadamente 13 mil selfies e documentos de identidade enviados para verificação de conta, e cerca de 59 mil imagens extraídas de publicações, comentários e mensagens diretas. A empresa afirmou que nenhum e-mail ou número de telefone foi exposto, e que apenas contas criadas antes de fevereiro de 2024 foram afetadas. Ninguém afirmou que os atacantes foram especificamente atrás de dados de localização embutidos nesse conjunto de imagens, e este texto também não está fazendo essa afirmação.

O que o vazamento da Tea realmente demonstra é algo mais específico e mais útil: uma vez que uma plataforma armazena e entrega o arquivo bruto, sem processamento, que um aplicativo ou navegador enviou originalmente, tudo o que esse arquivo contiver viaja junto com ele para todos os lugares em que ele acabar, com ou sem violação de dados. Um anúncio de classificados não precisa de um hacker para que isso aconteça. A própria plataforma entrega o arquivo ao público, de propósito, toda vez que uma foto vai ao ar sem que os metadados tenham sido removidos antes.

Um problema antigo, banal e já resolvido

A parte tranquilizadora é que isso não é um problema de engenharia difícil, e já não é há muito tempo. Facebook e Instagram removem os metadados de localização da cópia da foto que exibem publicamente, e fazem isso há anos, justamente porque uma plataforma com centenas de milhões de uploads diários não pode se dar ao luxo de discutir isso com cada usuário individualmente. É tratado uma única vez, de forma centralizada, no mesmo trecho de código por onde toda foto já passa no caminho até ser publicada, e ninguém que envia uma foto de aniversário precisa pensar nisso.

A falha aparece, previsivelmente, em plataformas menores e mais especializadas que nunca implementaram essa etapa, porque ninguém em uma equipe pequena foi designado para ser responsável por isso e nenhum usuário abre um chamado de suporte pedindo um recurso que nem sabe que está faltando. Um artigo acadêmico de 2024 sobre aplicativos de relacionamento baseados em localização constatou que um dos serviços estudados, o MeetMe, ainda entregava as fotos com os metadados EXIF originais intactos, enquanto todos os outros aplicativos do mesmo estudo os haviam removido corretamente. A diferença entre as plataformas que resolveram esse problema e as que nunca chegaram a resolvê-lo não tem relação com o quão sensível é o conteúdo. Tem a ver com se alguém do lado de engenharia colocou ou não um item nessa lista de verificação.

Essa diferença também importa juridicamente, não só na prática. Dados precisos de localização desse tipo são tratados como categoria protegida própria pela legislação de privacidade em diversas jurisdições, e a lei de privacidade da Califórnia lista especificamente a geolocalização precisa, definida como dados que situam alguém dentro de cerca de 1.850 pés, como informação pessoal sensível sujeita a regras próprias. Um operador de site de classificados que publica esse dado por acidente, embutido em uma foto que ninguém examinou com atenção, não fica isento dessas regras só porque a exposição foi involuntária.

Por que o próprio anunciante não pode resolver isso sozinho

A resposta óbvia, dizer aos anunciantes para desativarem a geolocalização por conta própria, parece razoável, mas não funciona na prática. A maioria das pessoas nunca abriu a configuração que controla isso, não sabe que ela existe, e não tem motivo para procurá-la até que algo já tenha dado errado. Quem sabe da configuração costuma esquecer dela toda vez que troca de celular, porque a opção volta ao padrão com o novo aparelho, e um hábito que precisa ser lembrado corretamente para sempre, por todo anunciante, em todo aparelho, sem exceção, não é uma medida de segurança. É um desejo.

Esse é o mesmo ponto cego que aparece sempre que uma plataforma transfere a responsabilidade por uma proteção técnica para a pessoa menos capacitada a garantir que ela seja aplicada de forma consistente. O operador termina sendo a única parte capaz de garantir que uma proteção realmente aconteça em todo arquivo, sempre, da mesma forma que ninguém decidiu de propósito por quanto tempo um documento de identidade enviado deve permanecer em um servidor, só que aqui a decisão que nunca foi tomada é se uma foto publicada ainda deveria conseguir apontar de volta para a porta de uma casa.

O que o processo de upload realmente precisa fazer

A correção pertence inteiramente ao lado do servidor, no código que já processa cada foto antes de ela ir ao ar, e não a uma configuração que o anunciante precisa lembrar de ativar. Reprocessar uma imagem, algo que a maioria dos fluxos de upload já faz para redimensioná-la e gerar as versões menores que um site precisa para miniaturas e pré-visualizações, remove os dados EXIF como efeito colateral em algumas ferramentas e não em outras: a popular biblioteca Sharp os remove por padrão durante esse processo, enquanto o ImageMagick, igualmente popular, os mantém a menos que a operação passe explicitamente a flag que instrui a remoção dos metadados. As duas ferramentas não se comportam da mesma forma por padrão, e é exatamente por isso que isso não pode ser dado como certo só porque já existe uma etapa de redimensionamento.

A única forma de saber qual comportamento um determinado fluxo de upload realmente tem é testá-lo diretamente: tirar uma foto com um celular que tenha a localização ativada, enviá-la pelo mesmo caminho exato que um anunciante real usaria, depois baixar o arquivo que o site efetivamente entrega ao público e verificar seus metadados com qualquer visualizador de EXIF gratuito. Se as coordenadas ainda estiverem lá, a etapa de redimensionamento não está fazendo o trabalho que se supunha que ela fizesse, seja qual for a biblioteca por trás dela.

Dois atalhos falham da mesma forma e pelo mesmo motivo. Remover os metadados no navegador com código do lado do cliente parece funcionar até que um upload venha por um aplicativo móvel, uma ferramenta de importação em massa ou uma chamada direta ao mesmo endpoint de upload, nenhum dos quais executa esse código do navegador. E confiar que um widget de upload de terceiros já cuidou disso é um palpite, não uma verificação, até que alguém realmente tenha feito o teste do parágrafo anterior nele e observado o resultado.

Nada disso exige parecer jurídico novo nem um consultor de segurança. Exige que alguém faça um único teste esta semana: enviar uma foto com geolocalização pelo fluxo real de publicação de anúncios, baixar de volta a versão que o site entrega e abrir seus metadados. Se as coordenadas voltarem limpas, o pipeline já está fazendo o trabalho e nada mais precisa mudar. Se não voltarem, essa é a única correção desta lista que vale a pena fazer antes que o próximo anúncio vá ao ar, porque a alternativa é publicar um endereço residencial toda vez que um anunciante posta uma foto, e chamar isso de recurso que ninguém pediu.