Doxing: definición y explicación

Definición de doxing

El término “doxing” es la abreviación de “exponer dox”, siendo “dox” un término coloquial para referirse a los documentos. Por lo general, el doxing es una acción maliciosa que un hacker realiza contra personas con las que está en desacuerdo o que considera desagradables.

¿Qué es el doxing?

El doxing (a veces escrito como doxxing) consiste en revelar información identificadora de una persona en línea, como su nombre real, dirección particular, lugar de trabajo, teléfono, datos financieros y otra información personal. Luego, esta información se divulga al público sin el permiso de la víctima.

Si bien la práctica de revelar información personal sin el consentimiento del sujeto en cuestión existe desde antes del nacimiento del Internet, el término doxing surgió primero en el mundo de los hackers en la década de 1990, en el que el anonimato se consideraba sagrado. Las disputas entre los hackers rivales a veces provocaban que alguien decidiera “exponer docs” sobre otra persona, quien hasta ese momento solo era conocida por su nombre de usuario o alias. “Docs” se convirtió en “dox” y, finalmente, en su propio verbo (es decir, sin el prefijo “exponer”).

La definición de doxing se ha expandido más allá de la comunidad mundial de hackers y ahora se refiere a la exposición de la información personal. Aunque el término aún se utiliza para describir la acción de desenmascarar a usuarios anónimos, ese aspecto se ha vuelto menos relevante en la actualidad, en que la mayoría de nosotros utilizamos nuestros nombres reales en las redes sociales.

Recientemente, el doxing se ha convertido en una herramienta utilizada en las batallas culturales, ya que los hackers rivales realizan ataques de doxing contra quienes tienen opiniones opuestas a su bando. Los doxers (personas que llevan a cabo el doxing) buscan intensificar el conflicto que tienen con personas en línea llevándolo al mundo real y revelando información como la siguiente:

• Dirección postal
• Detalles del lugar de trabajo
• Números de teléfono personales
• Números del seguro social
• Información de las cuentas bancarias o tarjetas de crédito
• Correspondencia privada
• Antecedentes penales
• Fotos personales
• Detalles personales embarazosos

Los ataques de doxing pueden variar desde ataques relativamente triviales, como los registros de correo electrónico o las entregas de pizza falsos, hasta los más peligrosos, como acosar a la familia o al empleador de una persona, el robo de identidad, las amenazas u otras formas de acoso en línea, o incluso el acoso en persona.

Celebridades, políticos y periodistas están entre las personas que han sido víctimas del doxing con consecuencias como sufrir los ataques de multitudes en línea, temer por su seguridad y, en casos extremos, recibir amenazas de muerte. La práctica también se ha extendido a importantes ejecutivos de las empresas; por ejemplo, cuando Proctor & Gamble lanzó la publicidad de Gillette “We Believe” (“Creemos”), que supuestamente estaba dirigida a la masculinidad tóxica, el perfil de LinkedIn de Marc Pritchard, el director de marca, se compartió en 4chan e incitaba a los demás a enviarle mensajes de enojo.

El doxing se transformó en un concepto de conocimiento general en diciembre del 2011, cuando el grupo hacktivista Anonymous expuso la información detallada de 7000 miembros de las fuerzas de seguridad en respuesta a las investigaciones de las actividades de hacking. Desde entonces, Anonymous ha realizado ataques de doxing contra cientos de presuntos miembros del KKK, y sus objetivos más recientes han incluido a los partidarios de Q-Anon.

Las motivaciones detrás del doxing varían. Puede que las personas sientan que fueron víctimas de ataques o insultos por parte de su objetivo y que, en respuesta, busquen venganza. Si alguien se hace famoso por sus opiniones controversiales, podría atacar a alguien con puntos de vista opuestos. Sin embargo, este suele ser el caso cuando el tema tiene visiones especialmente polarizadas, en lugar de desacuerdos políticos cotidianos.

Generalmente, revelar información personal en línea de manera intencional tiene como objetivo castigar, intimidar o humillar a la víctima en cuestión. Dicho esto, los doxers también pueden ver sus acciones como una forma de hacer el bien, llevar a alguien a la justicia de manera pública o revelar planes que no se habían divulgado previamente.

Independientemente de la motivación, el objetivo principal del doxing es infringir la privacidad, y puede poner a las personas en una situación incómoda, a veces con consecuencias graves.

¿Cómo funciona el doxing?

Vivimos en una era de macrodatos; hay un enorme océano de información personal en Internet, y las personas a menudo tienen menos control de lo que creen. Esto significa que cualquier persona con el tiempo, la motivación y el interés de hacerlo puede convertir esos datos en un arma.

Estos son algunos de los métodos utilizados para atacar a las personas mediante el doxing:

Rastrear los nombres de usuario

Muchas personas utilizan el mismo nombre de usuario en una amplia variedad de servicios. Esto permite que los posibles atacantes formen una imagen de los intereses de su objetivo y cómo ocupa su tiempo en Internet.

Ejecutar una búsqueda WHOIS en relación con un nombre de dominio

Toda persona que posee un nombre de dominio tiene su información almacenada en un registro que, a menudo, está disponible públicamente a través de una búsqueda WHOIS. Supongamos que la persona que compró el nombre de dominio no ocultó su información privada en el momento de la compra. En ese caso, la información de identificación personal (como su nombre, dirección, número de teléfono, negocio y dirección de correo electrónico) está disponible en línea para que la encuentre cualquier persona.

Suplantación de identidad (phishing)

Si la persona utiliza una cuenta de correo electrónico insegura o es víctima del phishing, el hacker puede descubrir correos electrónicos confidenciales y publicarlos en línea.

Acoso en las redes sociales

Si tus cuentas de redes sociales son públicas, cualquiera puede obtener información acerca de ti a través del acoso en línea. El atacante puede averiguar tu ubicación, lugar de trabajo, amigos, fotos, gustos y aversiones, lugares que has visitado, los nombres de tus familiares, los nombres de tus mascotas, etc. Con esta información, un atacante puede incluso encontrar las respuestas a tus preguntas de seguridad, lo que lo ayudaría a ingresar sin tu permiso a otras de tus cuentas en línea.

Si bien la mayoría de los registros personales no están disponibles en línea, existe una considerable cantidad de información que se puede obtener en sitios web gubernamentales. Entre los ejemplos se incluyen las bases de datos de licencias comerciales, los registros del condado, las licencias de matrimonio, los registros de DMV y las listas de registro de votantes; todos estos contienen información personal.

Seguimiento de las direcciones IP

Los atacantes pueden utilizar varios métodos para detectar tu dirección IP, la que está vinculada con tu ubicación física. Una vez que la descubren, pueden utilizar trucos de ingeniería social con tu proveedor de servicios de Internet (ISP) para descubrir más información sobre ti. Por ejemplo, pueden presentar quejas sobre el propietario de la dirección IP o intentar piratear la red.

Búsqueda inversa de teléfono celular

Una vez que los hackers conocen tu número de teléfono celular, pueden obtener más información acerca de ti. Por ejemplo, los servicios de búsqueda inversa de teléfono, como Whitepages, te permiten escribir un número de teléfono celular, o cualquier número de teléfono, para averiguar la identidad del propietario del número. Los sitios como Whitepages brindan información como la ciudad y el estado asociado con un número de teléfono celular y cobran una tarifa por proporcionar información adicional. Sin embargo, quienes están dispuestos a pagar pueden descubrir información personal adicional sobre ti a través de tu número de teléfono celular.

Análisis de paquetes (sniffing)

El concepto análisis de paquetes o “sniffing” a veces se utiliza en relación con el doxing. Mediante este método, los doxers interceptan tus datos de Internet y buscan desde tus contraseñas, números de tarjetas de crédito e información de cuentas bancarias hasta mensajes de correo electrónico antiguos. Los doxers hacen esto mediante la conexión a una red en línea, cuyas medidas de seguridad descifran para, luego, obtener los datos que ingresan y salen de la red. Una manera de protegerse del sniffing de paquetes es mediante una VPN.

Mediante el uso de agentes de datos

Existen agentes de datos que recopilan información sobre las personas y la venden para lucrar. Los agentes de datos reúnen su información a partir de registros disponibles públicamente, tarjetas de lealtad (que hacen un seguimiento de tu conducta de compra en línea y en el mundo real), historiales de búsqueda en línea (todo lo que buscas, lees o descargas) y de otros agentes de datos. Muchos agentes de datos venden tu información a empresas de publicidad, pero existen varios sitios de búsqueda de personas que ofrecen registros integrales sobre los individuos por cantidades relativamente pequeñas de dinero. Todo lo que un doxer tiene que hacer es pagar este pequeño cargo para obtener la información que necesita con el fin de efectuar un ataque de doxing contra alguien.

Al seguir las rutas de navegación (pequeñas unidades de información sobre alguien) dispersas por Internet, los doxers pueden formar una imagen que les permita descubrir a la persona real detrás de un alias, incluido su nombre, dirección física, dirección de correo electrónico, número de teléfono y mucho más. Los doxers también pueden comprar y vender información personal en la red oscura.

La información encontrada se puede utilizar de manera amenazante, por ejemplo, en un mensaje de Twitter dirigido a alguien en respuesta a un desacuerdo. El doxing puede estar menos relacionado con la disponibilidad de la información y más con cómo se utiliza para intimidar o acosar a un objetivo. Por ejemplo, alguien que tiene tu dirección puede ubicarte a ti o a tu familia. Alguien con tu número de teléfono celular o correo electrónico puede bombardearte con mensajes que dificultan la comunicación con tu red de apoyo. Por último, alguien con tu nombre, fecha de nacimiento y número de seguro social también podría piratear tus cuentas o robar tu identidad.

Cualquier persona que tenga determinación, tiempo, acceso a Internet y motivación podrá crear un perfil de alguien. Además, si el objetivo de este esfuerzo de doxing ha hecho que la información sea relativamente accesible en línea, esto es aún más fácil.

Ejemplos de doxing

Las situaciones más comunes de doxing por lo general se dividen en estas tres categorías:

1. Divulgar en línea la información de identificación personal y privada de una persona.
2. Revelar en línea información anteriormente desconocida de una persona privada.
3. Divulgar en línea información de una persona privada podría ser perjudicial para su reputación y la de sus socios personales o profesionales.

Estos son algunos de los ejemplos más famosos y que se citan con frecuencia del doxing:

Ashley Madison

Ashley Madison era un sitio de citas en línea orientado a personas interesadas en salir con otros mientras mantenían una relación formal. Un grupo de hackers hizo exigencias a la administración de Ashley Madison. Cuando no se cumplieron esas exigencias, el grupo liberó la información confidencial de los usuarios, convirtiendo en víctimas del doxing a millones de personas y causando humillación, vergüenza y posibles perjuicios a la reputación personal y profesional.

Cecil, el león

Un dentista de Minnesota cazó y mató ilegalmente a un león que vivía en una reserva de animales protegidos en Zimbabue. Parte de su información de identificación fue divulgada, lo que dio como resultado que las personas que estaban molestas por sus acciones y querían que fuera castigado públicamente expusieran aún más información personal en línea.

Ataque con bombas durante la Maratón de Boston

Durante la búsqueda de los perpetradores del ataque con bombas durante la Maratón de Boston, miles de usuarios de la comunidad Reddit recopilaron en conjunto noticias e información sobre el evento y la investigación posterior. Su objetivo era proporcionar información a las autoridades que, luego, pudieran utilizar para buscar justicia. Sin embargo, se expuso a personas inocentes que no estaban involucradas en los delitos, lo que dio lugar a una cacería de brujas confusa.

¿Es ilegal el doxing?

El doxing puede arruinar la vida de las personas, ya que puede exponerlas a ellas y a sus familias tanto al acoso en línea como en la vida real. ¿Pero es ilegal?

Por lo general, la respuesta es no. El doxing tiende a ser legal si la información expuesta es de dominio público y se obtuvo mediante métodos legales. Dicho esto, según tu jurisdicción, el doxing puede infringir las leyes diseñadas para luchar contra el acoso, el hostigamiento y las amenazas.

También depende de la información específica revelada. Por ejemplo, revelar el nombre real de una persona no es tan grave como revelar su dirección particular o número de teléfono. No obstante, en EE. UU. los ataques de doxing contra un empleado gubernamental se rigen por las leyes federales de conspiración y se consideran un delito federal. Como el doxing es un fenómeno relativamente reciente, las leyes relacionadas con esta acción siguen evolucionando y, a veces, son confusas.

Independientemente de la ley, el doxing infringe los términos de servicio de muchos sitios web y, por lo tanto, puede dar lugar a una prohibición. Esto se debe a que, por lo general, el doxing se considera poco ético y se lleva a cabo principalmente con la intención maliciosa de intimidar, chantajear y controlar a otras personas. Exponerlos a posibles acosos, robo de identidad, humillación, pérdida de empleo y rechazo de familiares y amigos.

Cómo protegerse del doxing

Debido a la gran variedad de herramientas de búsqueda e información a la que se puede acceder en línea de manera fácil, casi cualquier persona puede ser víctima del doxing.

Si alguna vez has publicado en un foro en línea, participado en un sitio de redes sociales, firmado una petición en línea o comprado una propiedad, tu información está disponible públicamente. Además, cualquier persona que realice una búsqueda en las bases de datos públicas, los registros del condado, los registros del estado, los motores de búsqueda y otros repositorios puede acceder a una gran cantidad de datos de manera fácil.

Si bien esta información está disponible para aquellos que realmente desean encontrarla, hay medidas que puedes tomar para proteger tu información. Entre estas, se incluyen las siguientes:

Proteger tu dirección IP mediante una VPN

Una VPN o red privada virtual ofrece una excelente protección contra la exposición de las direcciones IP. Una VPN toma el tráfico de Internet del usuario, lo cifra y lo envía a través de uno de los servidores del servicio antes de dirigirse a la red pública de Internet, lo que le permite navegar de forma anónima. Kaspersky Secure Connection te protege en redes Wi-Fi públicas, mantiene la privacidad de tus comunicaciones y garantiza que no estés expuesto a phishing, malware, virus y otras ciberamenazas.

Establecer buenas medidas de ciberseguridad

El software antivirus y de detección de malware puede impedir que los doxers roben la información a través de aplicaciones maliciosas. Cuando el software se actualiza con regularidad ayuda a evitar cualquier brecha en la seguridad que pudiera exponerte a los ataques de piratería y doxing.

Usar contraseñas seguras

Una contraseña segura normalmente incluye una combinación de letras mayúsculas y minúsculas, además de números y símbolos. Evita usar la misma contraseña para varias cuentas y cambia tus contraseñas con regularidad. Si tienes problemas para recordar tus contraseñas, intenta usar un administrador de contraseñas.

Utilizar nombres de usuario diferentes en cada plataforma

Si estás utilizando foros en línea como Reddit, 4Chan, Discord, YouTube u otros, utiliza diferentes nombres de usuario y contraseñas para cada servicio. Al utilizar los mismos nombres de usuario, los doxers pueden buscar tus comentarios en diferentes plataformas y utilizar esa información para compilar un perfil detallado de ti. Utilizar diferentes nombres de usuario para diferentes propósitos dificultará el seguimiento de tus movimientos en varios sitios.

Crear cuentas de correo electrónico independientes para distintos propósitos

Evalúa la posibilidad de tener cuentas de correo electrónico independientes para distintos propósitos, como una cuenta profesional, personal y de spam. Puedes destinar tu dirección de correo electrónico personal para comunicarte de forma privada con amigos cercanos, familiares y otros contactos de confianza. Evita divulgar esta dirección públicamente. Puedes utilizar tu correo electrónico para spam con el fin de crear cuentas de usuario y suscribirte a servicios y promociones. Por último, tu dirección de correo electrónico profesional (ya sea que trabajes como independiente o estés afiliado a una organización en particular) se puede divulgar de manera pública. Al igual que con las cuentas de redes sociales abiertas para el público, debes evitar incluir demasiada información de identificación en la dirección de tu correo electrónico (por ejemplo, evita utilizar [email protected]).

Revisa y aprovechar al máximo la configuración de privacidad en las redes sociales</h3>

Revisa la configuración de privacidad en tus perfiles de redes sociales y evalúa si estás cómodo con la cantidad de información que se comparte y con quién.

Aborda de forma estratégica la selección de las plataformas que utilizas para cada propósito. Si usas una plataforma por razones personales (como compartir fotos con amigos y familiares en Facebook o Instagram), ajusta tu configuración de privacidad. Supongamos que utilizas una plataforma para fines profesionales (como estar atento a las noticias de último minuto en Twitter y compartir enlaces de tu trabajo). En ese caso, podrías dejar algunas de las configuraciones públicas, aunque deberías evitar incluir información personal e imágenes confidenciales.

Usar la autenticación de dos factores

Esto conlleva que tú (y cualquier otra persona que quiera acceder a la cuenta) necesite al menos dos formas de identificación para ingresar al sitio, generalmente tu contraseña y número de teléfono. De esta forma, se dificulta que los hackers accedan a los dispositivos o cuentas en línea de una persona, ya que no basta con solo saber la contraseña, también necesitarán un número PIN adicional.

Deshacerse de los perfiles obsoletos

Revisa cuántos sitios tienen tu información. Aunque sitios como MySpace podrían estar ahora en desuso, los perfiles que se crearon hace más de una década siguen siendo visibles y accesibles para el público. Esto se aplica a cualquier sitio en el que hayas estado activo en algún momento. Si es posible, intenta eliminar los perfiles obsoletos o sin uso.

Estar alerta a los correos electrónicos de phishing

Los doxers podrían utilizar las estafas de phishing para engañarte con el fin de que divulgues tu dirección particular, número del seguro social o incluso tus contraseñas. Debes ser cauteloso siempre que recibas un mensaje que supuestamente proviene de un banco o empresa de tarjetas de crédito y solicite tu información personal. Las instituciones financieras nunca pedirán esta información por correo electrónico.

Ocultar la información de registro de dominio de WHOIS

WHOIS es una base de datos de todos los nombres de dominio registrados en la Web. Este registro público se puede utilizar para determinar la persona u organización que posee un dominio determinado, su dirección física y otra información de contacto.

Si planeas publicar un sitio web de forma anónima sin revelar tu identidad real, confirma que tu información personal sea privada y esté oculta de la base de datos WHOIS. Los registradores de dominios tienen controles sobre esta configuración de privacidad, por lo que deberás preguntar a tu empresa de registro de dominio sobre cómo hacerlo.

Pedir a Google que elimine la información

Si la información personal aparece en los resultados de búsqueda de Google, las personas pueden solicitar su eliminación del motor de búsqueda. Google facilita este proceso a través de un formulario en línea. Muchos agentes de datos ponen este tipo de datos en línea, por lo general, para ejecutar la verificación de antecedentes u obtener información de comprobación de delitos.

Proteger tus datos

Puedes eliminar tu información de los sitios del agente de datos. Hacerlo por ti mismo sin incurrir en costos puede llevarte mucho tiempo. Si necesitas hacerlo rápido, comienza con las tres empresas mayoristas más grandes: Epsilon, Oracle y Acxiom.

Deberás revisar estas bases de datos periódicamente, ya que tu información puede volver a publicarse incluso después de haberse eliminado. También puedes pagar un servicio como DeleteMe, PrivacyDuck o Reputation Defender para que lo hagan en tu nombre.

Tener cuidado con los permisos de aplicaciones y cuestionarios en línea

Los cuestionarios en línea pueden parecer inofensivos, pero a menudo son fuentes ricas en información personal que proporcionas sin pensarlo dos veces. Algunas secciones de los cuestionarios incluso pueden servir como preguntas de seguridad para descubrir tus contraseñas. Debido a que muchos cuestionarios solicitan permiso para ver tu información de redes sociales o tu dirección de correo electrónico antes de mostrar los resultados del cuestionario, pueden asociar fácilmente esta información con tu identidad real. Sin mucho contexto sobre a quién pertenece el cuestionario y por qué lo está ejecutando, es mejor evitar responderlo completamente.

Las aplicaciones móviles también son fuentes de datos personales. Muchas aplicaciones solicitan permisos de acceso a tus datos o dispositivo que no deberían relacionarse en lo absoluto con el software de la aplicación. Por ejemplo, no hay razón por la que una aplicación de edición de imágenes deba acceder a tus contactos. Si solicita acceso a tu cámara o fotos, eso sí tiene sentido. Pero si también desea ver tus contactos, ubicación GPS y perfiles de redes sociales, procede con precaución.

Evitar revelar ciertos tipos de información

Siempre que sea posible, evita divulgar cierta información en público, como tu número del seguro social, dirección particular, número de licencia de conducir y cualquier información relacionada con cuentas bancarias o números de tarjeta de crédito. Recuerda que los hackers pueden interceptar mensajes de correo electrónico, por lo que no debes incluir datos privados en tus mensajes.

Comprueba lo fácil que es sufrir un ataque de doxing por ti mismo

La mejor defensa es dificultar a los abusadores el rastreo de tu información privada. Puedes descubrir lo fácil que es atacarte mediante doxing revisando la información que encuentras sobre ti mismo. Por ejemplo:

• Búscate en Google.
• Realiza una búsqueda de imagen inversa.
• Audita tus perfiles de redes sociales, incluida la configuración de privacidad.
• Comprueba si alguna de tus cuentas de correo electrónico es parte de una gran filtración de datos mediante un sitio como com.
• Revisa tus currículos, biografía y sitios web personales para ver qué información personal transmite tu presencia profesional. Si tienes currículos en archivos PDF en línea, excluye detalles como tu domicilio, correo electrónico personal y número de teléfono celular (o reemplázalos por versiones públicas de esa información).

Configurar alertas de Google

Configura las alertas de Google para tu nombre completo, número de teléfono, dirección particular u otros datos privados que te preocupen. De esta forma, si dicha información aparece en línea de forma repentina, podría significar que fuiste víctima de doxing.

Evitar dar a los hackers razones para atacarte

Ten cuidado con lo que publicas en línea y nunca compartas información privada en foros, tableros de mensajes o sitios de redes sociales. Es fácil creer que Internet les da a las personas la libertad de decir, o escribir, lo que quieran. Puede que las personas crean que las identidades anónimas les dan la oportunidad de expresar cualquier opinión que deseen, sin importar qué tan controversiales sean, y sin la posibilidad de que las rastreen. Pero como hemos visto, ese no es el caso, por lo que es prudente ser cuidadoso con lo que se dice en línea.

Qué hacer si eres víctima de doxing

La respuesta más común ante el doxing es el miedo, por no decir pánico. Sentirse vulnerable es comprensible. El doxing está diseñado de forma intencional para infringir tu sentido de seguridad y causar que entres en pánico y te descontrole o para callarte. Si eres víctima de doxing, puedes seguir los siguientes pasos:

Denuncia el ataque

Denuncia el ataque en las plataformas en las que se publicó tu información personal. Busca los términos de servicio o las pautas de la comunidad de la plataforma para determinar cuál es el proceso de denuncias para este tipo de ataque y síguelo. Cuando llenes el formulario por primera vez, guárdalo para el futuro (de modo que no tengas que repetir lo que ya has hecho). Este es el primer paso para detener la divulgación de tu información personal.

Involucra a las fuerzas de seguridad

Si un atacante hace amenazas personales contra ti, comunícate con el departamento de policía local. Cualquier información que señale tu dirección o información financiera debe considerarse como una prioridad máxima, especialmente si hay amenazas creíbles en el documento.

Registra el ataque

Toma capturas de pantalla o descarga las páginas en las que se publicó tu información. Hazlo de forma tal que la fecha y la URL sean visibles. Esta evidencia es esencial para tu propia referencia y puede ayudar a las fuerzas de seguridad u otros organismos involucrados.

Protege tus cuentas financieras

Si los atacantes han publicado tu cuenta bancaria o tus números de tarjeta de crédito, infórmalo de inmediato a las instituciones financieras. El proveedor de tu tarjeta de crédito probablemente cancelará tu tarjeta y te enviará una nueva. También tendrás que cambiar las contraseñas de tus cuentas bancarias y tarjetas de crédito en línea.

Bloquea tus cuentas

Cambia tus contraseñas, utiliza un administrador de contraseñas, habilita la autenticación de varios factores cuando sea posible y fortalece la configuración de privacidad de cada cuenta que utilices.

Pide apoyo a un amigo o familiar

El doxing puede ser emocionalmente agotador. Pídele a alguien en quien confíes que te ayude a enfrentar el problema, para que no tengas que hacerlo solo.

El doxing es un ataque grave cuya ejecución se posibilita brindando acceso fácil a la información personal en línea. Mantener la seguridad en unmundo en línea no siempre es fácil, pero seguir las prácticas recomendadas de ciberseguridad puede ayudar. Recomendamos usar Total Security Solution de Kaspersky, que te protegerá contra los virus de la PC, resguardará y almacenará tus contraseñas y documentos privados y cifrará los datos que envíes y recibas en línea mediante una VPN.

 

Fuente: Kaspersky