Metadata, de onschuldig ogende informatie die bestanden met zich meedragen, is een goudmijn voor zowel digitale als fysieke inbrekers. Afhankelijk van het type bestand, kan metadata informatie bevatten zoals auteursnaam, gebruikersnaam, de versie van het gebruikte programma, het besturingssysteem van de gebruiker en in enkele gevallen toont het zelfs het MAC-adres. Gewapend met deze gegevens kan een aanvaller zich richten op een specifieke gebruiker of de bedrijfsomgeving in z’n geheel. Denk aan het ontwikkelen van exploits voor specifieke programma’s die binnen het bedrijf gebruikt worden. Zodra bestanden het interne netwerk verlaten, kan metadata een serieus beveiligingsrisico vormen.

Social engineering
Veel beveiligers weten wel wat metadata is, maar hebben geen idee hoe aanvallers het tegen hun organisatie kunnen gebruiken. De eerste stap is het verzamelen van metadata. Zowel aanvallers als penetratietesters zijn ruim voorzien van tools die voor dit doeleinde ontworpen zijn. De makkelijkste manier om de data te verzamelen is met de oorspronkelijke software waarmee het document gemaakt is. De metadata van een Word document is bijvoorbeeld met Microsoft Word te bekijken. In het geval van PDF bestanden is Adobe Acrobat meestal de oplossing. Andere verborgen data is met tools als MetaGooFil en CeWL op te vragen.

Eenmaal verzameld is metadata op veel manieren te gebruiken, waarvan het brute-forcen van wachtwoorden het vaakst voorkomt. Een aanvaller gebruikt een door CeWL gegenereerde woordenlijst en gebruikt die tegen de in de metadata gevonden gebruikersnamen. De gevonden informatie helpt ook bij het uitvoeren van social engineering aanvallen. Wanneer vijf verschillende auteurs van een document bekend zijn, kan een aanvaller namen via de telefoon noemen, om zo geloofwaardiger over te komen.

Inbrekers
Metadata is ook handig voor fysieke inbrekers. Wanneer gebruikers bijvoorbeeld afbeeldingen plaatsen op Flickr of Twitter vanaf een telefoon die geotagging ondersteunt, kan de aanvaller achter het privé- of werkadres van het slachtoffer komen en zien waar iemand zich bevindt. Hetzelfde geldt voor het MAC-adres van het systeem, die de gebruikte hardware prijs geeft, waardoor het makkelijker wordt om "mobiele werknemers" te identificeren. Die bewaren hun laptop mogelijk op een plek waar ze eenvoudig te stelen zijn, aldus John Sawyer. Dit document gaat verder in op de gevaren van metadata.