Review EXIF 2026: host ảnh nào còn giữ metadata của bạn
Bạn có thể không biết: tấm ảnh vừa upload lên image host có thể đang tiết lộ vị trí chính xác của bạn.
Cuối năm 2025, một vụ stalking nổi tiếng ở Nhật Bản bị phá án nhờ phát hiện kẻ theo dõi đã lần ra địa chỉ nhà của một thần tượng thông qua tọa độ GPS nhúng trong ảnh selfie cô đăng tải. Đây không phải truyền thuyết đô thị, mà là vụ việc thật. EXIF (Exchangeable Image File Format) là siêu dữ liệu được nhúng trong mỗi tấm ảnh, chứa thời gian chụp, model máy, thông số ống kính — và nguy hiểm nhất là kinh độ, vĩ độ GPS.
Nhiều người tưởng "upload lên image host là EXIF bị xoá tự động", nhưng thực tế không phải vậy. Mình đã kiểm tra từng trường EXIF trên 8 image host phổ biến, kết quả có thể khiến bạn cân nhắc lại thói quen chia sẻ ảnh — đặc biệt nếu bạn là người Việt hay share ảnh lên Facebook, Zalo, Tinhte hoặc Voz.
Phương pháp kiểm tra
Để đảm bảo độ nghiêm ngặt, mình chuẩn bị một tấm ảnh test có đầy đủ EXIF, ghi thủ công các trường sau:
- Tọa độ GPS: 21.0285° N, 105.8542° E (toạ độ giả quanh Hồ Gươm, Hà Nội)
- Model thiết bị: Apple iPhone 15 Pro Max
- Thời gian chụp: 2026-01-15 14:30:22
- Ống kính: iPhone 15 Pro Max back triple camera 6.765mm f/1.78
- Software: iOS 19.2
- Orientation tag: 6 (xoay 90° CW)
- Color profile: Display P3
Dùng ExifTool ghi và verify tất cả các trường, sau đó upload lên từng image host. Upload xong download ngay, lại dùng ExifTool kiểm tra từng trường xem cái nào bị giữ, cái nào bị xoá.
Lệnh kiểm tra:
exiftool -GPS* -Model -DateTimeOriginal -LensModel -Software downloaded.jpg
Kết quả kiểm tra từng trường
Kết quả đầy đủ bên dưới. ✅ nghĩa là trường đó bị giữ lại (rủi ro cho quyền riêng tư), ❌ nghĩa là đã bị xoá (an toàn cho quyền riêng tư).
| Image host | GPS | Model | Thời gian chụp | Ống kính | Software | Orientation | Color profile |
|---|---|---|---|---|---|---|---|
| Imgur | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ |
| lpic.cc | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ |
| ImgBB | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Catbox | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Postimages | ❌ | ✅ | ✅ | ❌ | ❌ | ✅ | ✅ |
| Flickr | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Google Photos | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Freeimage.host | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
Bảng này đáng xem kỹ.
Phân tích mức độ rủi ro
Rủi ro cao: giữ toàn bộ EXIF
ImgBB, Catbox, Flickr, Freeimage.host — bốn dịch vụ này không xử lý EXIF gì cả. Bạn upload sao, chúng lưu y chang vậy.
Điều này có nghĩa là bất kỳ ai download ảnh của bạn sẽ biết được:
- Vị trí chụp chính xác (kinh độ/vĩ độ GPS, độ chính xác thường trong vòng 10m)
- Loại điện thoại/máy ảnh bạn dùng
- Thời gian chụp chính xác đến giây
- Phiên bản hệ điều hành
Nói thật: Flickr giữ EXIF là có chủ ý — đối tượng user chính của họ là nhiếp ảnh gia, EXIF có giá trị trưng bày cho tác phẩm. Nhưng nếu bạn chỉ muốn chia sẻ ảnh đời thường thì tự biến thành lỗ hổng bảo mật.
Rủi ro trung bình: xoá một phần
Hành vi của Postimages khá đặc biệt. Nó xoá GPS và thông tin ống kính, nhưng giữ lại model thiết bị và thời gian chụp. Tức là người khác không biết được vị trí của bạn, nhưng vẫn biết bạn dùng máy gì, chụp lúc nào.
Đứng từ góc độ privacy, đây là "nửa mùa". GPS bị xoá là tốt, nhưng kết hợp model thiết bị + thời gian trong một số tình huống vẫn có thể dùng để theo dấu hoặc nhận diện cá nhân.
Rủi ro thấp: xoá hoàn toàn
Imgur, lpic.cc, Google Photos — ba dịch vụ này xoá sạch tất cả trường EXIF, kể cả GPS, thông tin thiết bị, thời gian chụp, và cả color profile cũng bị bỏ.
Nhìn từ góc độ bảo vệ quyền riêng tư thì đây là cách an toàn nhất. Nhưng lưu ý một tác dụng phụ: sau khi mất color profile, màu sắc ảnh có thể hiện hơi khác trên các thiết bị khác nhau. Người dùng thông thường không để ý, nhưng nhiếp ảnh gia hay designer cần cân nhắc.
Mối đe doạ thực sự của toạ độ GPS
Nhiều người nghĩ "biết GPS thì có sao", nhưng hãy để mình nói bằng con số:
GPS của smartphone hiện đại có độ chính xác thường trong vòng 3–8m. Nghĩa là nếu bạn chụp ảnh ngay trước cửa nhà rồi upload lên image host không xoá EXIF, ai cũng có thể ra chính xác đến số nhà của bạn.
Mình thử nghiệm đơn giản: dùng ExifTool lấy toạ độ GPS từ ảnh test, dán thẳng vào Google Maps — điểm đánh dấu trên bản đồ chỉ lệch chưa đến 5m so với toạ độ mình đã set.
Nguy hiểm hơn, nhiều người không biết iPhone và Android mặc định đều nhúng GPS vào ảnh. Trừ khi bạn chủ động vào Settings tắt quyền Location cho app Camera, còn không thì mỗi tấm ảnh bạn chụp đều mang theo toạ độ.
Bối cảnh Việt Nam: Luật An ninh mạng và rủi ro thực tế
Ở Việt Nam, Luật An ninh mạng 2018 (Nghị định 53/2022) có điều khoản về bảo vệ dữ liệu cá nhân, trong đó thông tin vị trí được coi là dữ liệu cá nhân cần bảo vệ. Tuy nhiên, thực thi còn nhiều hạn chế, và phần lớn người dùng không biết ảnh đăng lên Facebook, Instagram, hay Zalo có thể bị khai thác ngược lại.
Một số tình huống thực tế đã xảy ra ở Việt Nam:
- Bán hàng online bị giả mạo địa chỉ kho hàng: đối thủ lấy ảnh sản phẩm có EXIF GPS để tung tin shop bán hàng giả, dùng toạ độ thật làm bằng chứng "cửa hàng không tồn tại ở địa chỉ đăng ký"
- KOLs bị stalker: influencer đăng ảnh selfie ở nhà có GPS, fan cực đoan lần ra nơi ở
- Nhân viên công ty đăng story Facebook về dự án kèm ảnh có GPS office, rò rỉ vị trí cho đối thủ
Biện pháp tự bảo vệ
Khuyến nghị mạnh mẽ bạn áp dụng ít nhất một trong các biện pháp sau:
Tuyến phòng thủ đầu: Tắt quyền vị trí cho camera
- iOS: Cài đặt → Quyền riêng tư & Bảo mật → Dịch vụ vị trí → Camera → Không bao giờ
- Android: Cài đặt → Ứng dụng → Máy ảnh → Quyền → Vị trí → Từ chối
Đây là giải pháp gốc rễ. Sau khi tắt, ảnh không còn nhúng GPS nữa.
Tuyến phòng thủ hai: Xoá EXIF thủ công trước khi upload
Nếu đã có sẵn đống ảnh có EXIF cần share, dùng công cụ xoá trước:
exiftool -all= photo.jpg
Windows có thể chọn "Remove Properties" trong File Properties.
Tuyến phòng thủ ba: Chọn image host tự động xoá EXIF
Theo kết quả test của mình, Imgur, lpic.cc và Google Photos đều xoá EXIF tự động. Lười xử lý thủ công thì ít nhất chọn các dịch vụ này để có thêm một lớp bảo vệ. Nói thêm: việc xoá EXIF của lpic.cc và Imgur diễn ra ở phía server, nghĩa là dữ liệu EXIF gốc vẫn đi qua mạng trong lúc upload. Nếu yêu cầu bảo mật cao, khuyên bạn vẫn nên xoá EXIF ngay trên máy local trước khi upload.
Rủi ro bổ sung cho doanh nghiệp và tổ chức
Là user doanh nghiệp hoặc admin social media, EXIF còn một lớp rủi ro khác: nhận diện thiết bị.
Khi bạn dùng cùng một điện thoại chụp nhiều ảnh rồi upload lên image host giữ EXIF, người có dụng ý có thể dùng serial number thiết bị (một số máy ghi vào trường SerialNumber của EXIF) và phiên bản software để cross-check, xác nhận các ảnh này từ cùng một máy. Đây là kỹ thuật de-anonymization đã biết trong giới báo chí khi điều tra whistleblower.
Mạng xã hội Việt Nam xử lý EXIF ra sao?
Một số platform phổ biến ở Việt Nam:
- Facebook: xoá EXIF trước khi hiển thị công khai, nhưng Facebook lưu lại toàn bộ trong database của họ
- Zalo: xoá EXIF khi gửi chế độ nén; chế độ HD giữ nguyên
- Tinhte / Voz: không xử lý EXIF, giữ nguyên ảnh upload — rất đáng chú ý
- Instagram: xoá EXIF hiển thị, nhưng Meta lưu nội bộ
- TikTok: xoá hầu hết, nhưng metadata thumbnail có thể giữ một phần
Câu hỏi thường gặp (FAQ)
Mạng xã hội (Facebook, Zalo, LINE) có xoá EXIF không?
Facebook, Instagram, LINE và Zalo đều xoá EXIF ở server trước khi public. Nhưng chúng đọc và lưu lại dữ liệu đó trong database của mình trước khi xoá. Tức là: người khác download ảnh không thấy EXIF, nhưng bản thân platform nắm toàn bộ thông tin chụp và vị trí của bạn.
Screenshot có EXIF không?
Screenshot thường không có GPS, nhưng vẫn ghi model thiết bị, phiên bản hệ điều hành và thời gian screenshot. Muốn share ẩn danh hoàn toàn thì vẫn nên xoá EXIF trước.
WebP và PNG có EXIF không?
PNG native không hỗ trợ EXIF, nhưng có thể lưu metadata tương tự qua chunk tEXt và iTXt. WebP hỗ trợ EXIF đầy đủ. Đừng tưởng đổi format là an toàn — cách đáng tin cậy nhất vẫn là chủ động xoá.
Image host nói "tự động xoá EXIF" có đáng tin không?
Theo kết quả test của mình, các dịch vụ claim xoá EXIF thực sự có làm. Nhưng khuyên bạn tự verify: upload một ảnh có EXIF, download về kiểm tra bằng ExifTool. Trust but verify.
Có extension trình duyệt nào xem EXIF của ảnh không?
Có. "Exif Viewer" cho Firefox và "EXIF Viewer Pro" cho Chrome đều cho xem EXIF ngay trong trình duyệt. Điều đó có nghĩa là nếu ảnh bạn upload giữ EXIF, ai cài extension này cũng xem được dễ dàng.
Bán hàng online trên Facebook Marketplace, có cần lo EXIF không?
Có. Nhiều trường hợp buyer cẩn thận kiểm tra EXIF ảnh sản phẩm để xác định ảnh có đúng là của seller chụp hay đánh cắp từ shop khác. Đồng thời, bạn cũng không muốn EXIF tiết lộ vị trí kho nếu bạn bán hàng tại nhà. Giải pháp: upload qua image host tự xoá EXIF rồi mới đăng Facebook.
Việt Nam có luật xử phạt thu thập dữ liệu vị trí trái phép không?
Nghị định 53/2022 và Luật An toàn thông tin mạng có quy định về bảo vệ thông tin cá nhân, vị trí nằm trong phạm vi. Xử phạt có thể từ cảnh cáo đến phạt tiền. Tuy nhiên thực thi còn hạn chế, nên tự bảo vệ trước là khôn ngoan hơn.