Doxing: Qué es, en qué Consiste y Cómo Evitarlo

Internet ha hecho que la privacidad sea casi imposible de conseguir: al entrar en la red, inmediatamente estamos a la vista, incluso si no publicamos nada ni buscamos llamar la atención. Afortunadamente, a la mayoría de los desconocidos en internet no les importa la vida de los demás. Pero hay quienes publican intencionalmente información personal sobre una persona, persiguiendo diferentes objetivos. Esto se llama “doxeo” (del inglés doxing o doxxing), y hoy hablaremos sobre qué amenaza y cómo proteger tu privacidad.

Cómo empezó todo: la historia del doxing

Este fenómeno surgió originalmente en la cultura hacker, en los años 90. “Soltar los docs”, es decir, los documentos (del inglés documents, abreviado docs o dox) de alguno de los “colegas” en un archivo público era una forma de venganza, ya que los hackers siempre valoraron especialmente su anonimato.

Los primeros ejemplos de doxing fuera de la comunidad hacker fueron las listas de sospechosos de neonazismo en los foros de Usenet y los llamados “Nuremberg Files“, que contenían información sobre médicos que realizaban abortos en Estados Unidos. Ambos aparecieron a finales de los años 90, y en la década de 2010, junto con el rápido desarrollo de las redes sociales, el mundo se vio afectado por una ola de doxing realmente masiva.

El “doxing” comenzó a usarse en el marco del activismo político y los conflictos, y los datos personales se convirtieron en un instrumento de intimidación, chantaje y protección de los intereses de ciertas partes.

¿Qué tan peligroso es el doxing?

La divulgación de cualquier dato personal es una amenaza para la tranquilidad de una persona. El doxing viola la privacidad digital y puede causar un daño grave, no solo a la reputación, sino también un daño físico tangible.

• La divulgación de datos personales puede convertirse en acoso, chantaje y otras amenazas a la seguridad.
• El fuerte estrés y la aguda sensación de vulnerabilidad que experimentan las víctimas de doxing tienen un impacto directo en la salud mental.
• El doxing a menudo es perjudicial para la reputación: la divulgación de información provoca la condena de los demás, lo que lleva a problemas en la vida profesional y personal.
• Finalmente, la divulgación de la identidad de una persona puede llevar a un encuentro con quienes desean causarle daño físico; también hay casos así.

Y todas estas consecuencias desfavorables de la violación de la privacidad no solo afectan a la víctima, sino también a sus seres queridos: familiares y amigos también pueden recibir amenazas, enfrentar atención no deseada y ser objeto de chantaje y engaño.

El doxing a menudo se dirige a personas famosas, pero eso no significa que las personas comunes no se conviertan en sus víctimas.

¿Qué es el doxing en internet y offline?

Existen tres tipos de doxing: doxing propiamente dicho, swatting y Desanonimización. Los tres conceptos están relacionados y se asocian con la violación de la confidencialidad. La mayoría de las veces se agrupan bajo el término doxing, pero hay diferencias.

• Doxing es la recopilación y publicación de información personal sobre cualquier persona sin su consentimiento. Si alguien toma y publica tu expediente en la red, desde tu nombre completo hasta la dirección de tu oficina y el apellido de soltera de tu abuela, este sería un ejemplo clásico de doxing. El objetivo del doxing es la venganza, la presión, la intimidación o la exposición de una persona.
• Swatting es más común en las películas, aunque también ocurre en la vida real. Este término se refiere a una llamada falsa a la policía o a los servicios especiales a la dirección de una persona inocente, con el fin de confundirla, intimidarla, vengarse, dañar su reputación o simplemente hacer una broma. Aunque una “broma” así puede salir realmente cara. Por ejemplo, los informes falsos sobre explosiones planeadas obligan a organizaciones enteras a evacuar a sus empleados, interrumpiendo el proceso de trabajo y socavando la tranquilidad de las personas.
• Desanonimización es la revelación de la identidad de una persona que planeaba permanecer anónima. Por ejemplo, por curiosidad o con el fin de manipular a la víctima, un atacante puede revelar quién se esconde bajo un nickname en un chat de un juego online: establecer su identidad, obtener información personal e incluso fotos.

¿Cómo funciona el doxing?

Gracias a la proliferación de internet y otras formas de comunicación, tenemos una gran cantidad de fuentes abiertas que contienen información confidencial. Y sí, cualquiera es potencialmente vulnerable a los doxers.

• Rastreo de usuarios por nombre
  ¿Usas el mismo nickname en diferentes plataformas? Esta es una “pista” muy útil: es fácil hacerse una idea de cómo pasas el tiempo en internet.
• Búsqueda por nombre de dominio en el servicio WHOIS
  La información sobre el propietario de un dominio está disponible para todo internet; basta con ir al registro, donde muchos (la mayoría) olvidan ocultar sus datos después de la compra.
• Phishing
  Los correos electrónicos de phishing pueden contener cualquier enlace malicioso, incluidos los que instalan programas para hackear dispositivos y robar datos.
• Acoso en redes sociales
  Si sigues la actividad social de una persona el tiempo suficiente, puedes averiguar fácilmente su ubicación y lugar de trabajo, dónde va, los nombres de sus seres queridos e incluso sus mascotas. Lo que significa que, potencialmente, puedes encontrar las respuestas a las preguntas secretas para proteger la confidencialidad de las cuentas y hackearlas.
• Análisis de informes gubernamentales
  ¿Alguna vez has pensado que bastante información se almacena en sitios web gubernamentales de acceso público? Esto incluye licencias comerciales, registros de matrimonio, etc.
• Rastreo de direcciones IP
  Empecemos por el hecho de que una dirección IP puede determinar la ubicación del dispositivo y, con él, la persona. Además, los atacantes pueden obtener acceso remoto al dispositivo a través de la IP y acceder a los datos personales.
• Búsqueda por número de teléfono móvil
  También se puede hacer: existen servicios de búsqueda por número que, por una tarifa, informarán a los atacantes cualquier información sobre su propietario.
• Escucha de la red
  En realidad, la red, por supuesto, no se “escucha”, se refiere a la interceptación de tráfico: cuando crees que estás enviando un código secreto del reverso de una tarjeta a un sistema de pago, y en realidad lo envías a un sitio web fraudulento clonado.
• Uso de corredores de datos
  La información en internet se vende y se compra. Los atacantes ni siquiera necesitan buscar ellos mismos en publicaciones y cuentas de la víctima elegida: los corredores recopilan meticulosamente información de diversas fuentes y venden bases de datos completas.

Ejemplos de doxing

Hay muchos casos en los que los datos personales de una persona se han revelado por deseo de venganza o por una broma. A continuación, te presentamos algunos de los ejemplos más conocidos y sonados.

• Ashley Madison
  La plataforma Ashley Madison ofrecía citas a personas que ya estaban casadas o en pareja. En 2015, el servicio fue hackeado y la información de más de 30 millones de usuarios se filtró en la red. El incidente provocó despidos, divorcios e incluso suicidios.
• Periodista de Pitchfolk
  Cuando se publicó una crítica no lo suficientemente positiva del nuevo álbum de Taylor Swift en la revista musical estadounidense, no pasó mucho tiempo para que el número de teléfono y la dirección de la periodista aparecieran en la red, y los fans comenzaron a proponer “quemar su casa”.
• Explosión del maratón de Boston
  Después del ataque terrorista en 2013, los culpables fueron buscados durante mucho tiempo y, en algún momento, sin pruebas claras y contundentes, el estudiante Sunil Tripathi fue nombrado sospechoso. Al final, los usuarios de Reddit intentaron contactar con su familia y dejaron mensajes de ira, pero más tarde se declaró culpables del ataque terrorista a personas completamente diferentes.
• Gamergate
  En 2014, el ex compañero de la desarrolladora de juegos estadounidense Zoe Quinn la acusó públicamente de infidelidad con un periodista en su blog. Esto inició una campaña online bastante masiva y agresiva contra Quinn y otras desarrolladoras, quienes recibieron amenazas de violación e incluso asesinato.
• Celebgate
  En 2014 también se produjo una fuga masiva de fotos y vídeos íntimos de celebridades a la red. Los hackers obtuvieron acceso a iCloud y publicaron el contenido en internet. Quizás hayas oído hablar de otros casos similares, todos ellos también son ejemplos de doxing.

Doxxing, ¿Esto es legal?

La divulgación de información personal provoca acoso y amenazas, conduce al deterioro de la salud psicológica, puede literalmente destruir vidas, y al mismo tiempo, en general, no se considera ilegal. Especialmente si consideramos que la mayoría de las veces los doxers obtienen información de fuentes abiertas, donde está disponible para todos sin excepción.

Pero sí es posible llevar a los infractores de la tranquilidad en internet ante la justicia, si se amplía el ámbito de búsqueda de un artículo de ley adecuado. Por ejemplo, en el Código Penal de Perú, Colombia o México no existe un artículo específico sobre el doxing. Pero se puede considerar la difusión o divulgación de información personal en el contexto de otros delitos.

¿Y en otros países?

• En Corea del Sur, uno de los artículos prohíbe la recopilación y difusión ilegal de información personal de una persona.
• En China, desde 2020, los usuarios y propietarios de servicios online tienen prohibido participar en diversas actividades ilegales con datos en internet, incluido el doxing.
• En Hong Kong, desde 2021, el doxing se considera un delito penal y el atacante puede ser castigado con hasta cinco años de prisión y una multa de casi 130.000 dólares.
• En España, la divulgación de información confidencial también se considera un delito; las penas por tales acciones están reguladas por el código penal.

¿Cómo protegerse del doxing?

El código penal puede castigar al agresor, pero solo después de que te haya “doxeado”. Para tu tranquilidad, la prevención de la filtración y publicación de tus datos confidenciales en la red será más útil. Te contamos qué debes hacer:

• Oculta tu dirección IP con una VPN
  Saltarse los bloqueos es solo una de las funciones de las redes privadas virtuales (VPN); en realidad, la tecnología está diseñada para cifrar el tráfico y aumentar la seguridad. Cuando te conectas a la red a través de una VPN, los flujos de datos entrantes y salientes pasan por un servidor remoto, lo que hace imposible determinar tu dirección IP (y tu ubicación).
• Usa contraseñas seguras
  Las contraseñas siguen siendo uno de los métodos más sencillos y efectivos para proteger los datos personales. Por lo tanto, debes crearlas de forma cuidadosa y responsable: no uses combinaciones de números demasiado simples y obvias, y no seas perezoso para inventar contraseñas diferentes para diferentes recursos.
• Usa nombres de usuario diferentes para diferentes plataformas
  Ya mencionamos que es mucho más fácil rastrear a una persona que aparece en todos los recursos con el mismo seudónimo. Por lo tanto, cuando sea posible, evita las repeticiones; este es el momento en el que debes ser original.
• Crea perfiles de correo electrónico diferentes para diferentes propósitos
  Lo ideal es tener al menos una “dirección de spam” para registrarte en varios servicios y promociones, y separarla del correo que pueda contener correos importantes de trabajo y personales. Puedes usar un servicio como EmailNow.
• Aumenta el nivel de privacidad en las redes sociales
  Revisa la configuración: ¿estás seguro de quién puede ver la información en tu página? Si no, restringe el acceso. Y no te apresures a compartir datos demasiado personales: ubicaciones, números de teléfono, direcciones y nombres de seres queridos.
• Activa la autenticación multifactor
  Si al intentar iniciar sesión en tu cuenta el atacante necesita un código PIN de tu teléfono, y el teléfono está en tus manos en ese momento, será significativamente más difícil acceder a tus datos. Sí, no es imposible: si el ataque no fue aleatorio, se puede instalar previamente una aplicación de acceso remoto en el dispositivo. Pero aún así, no descuides las posibilidades de proteger tu privacidad, especialmente porque configurar la autenticación de dos factores se puede hacer en un par de minutos.
• Elimina los perfiles que ya no necesites
  ¿No usas tu página en Hi-5 o MySpace desde hace diez años? Eso no impedirá que los atacantes las encuentren y obtengan toda la información importante.
• Sé cauteloso en la red Al igual que con cualquier otra amenaza a la privacidad, la observancia de las reglas básicas de ciberhigiene ayuda a fortalecer la protección.
  • Presta atención a los correos electrónicos que recibes: no hagas clic en enlaces sospechosos y no descargues nada.
  • Regístrate con precaución en los servicios: primero, asegúrate de que puedes confiar en el recurso.
  • Verifica qué permisos tienen las aplicaciones en tus dispositivos y, si es necesario, restringe.
  • No seas demasiado abierto en las redes sociales: las fotos de vacaciones son geniales, pero una foto con el número de pasaporte y el número de vuelo ya es demasiado.
• Verifica qué tan fácil eres de doxear Averigua qué información sobre ti se puede obtener de fuentes abiertas:
  • Búscate en Google y Yandex.
  • Revisa tus perfiles en redes sociales, prestando especial atención a la configuración de privacidad.
  • Verifica tus cuentas en busca de filtraciones en haveibeenpwned.com.
  • Revisa tus currículums y datos en sitios web personales y elimina la información demasiado personal.
  • Si utilizas programas de seguridad en internet, verifica la fecha de vencimiento y las actualizaciones actuales.

¿Qué hacer si has sido víctima de doxing?

• Asegúrate de recopilar pruebas de que tus datos fueron robados: capturas de pantalla, enlaces, grabaciones de llamadas telefónicas.
• Bloquea las cuentas, cambia las contraseñas; puede parecer que ya es demasiado tarde, pero en realidad, cuanto más tiempo tengan los atacantes acceso a tus perfiles, más datos podrán obtener y mayor será el daño.
• Mantén la cautela en la red: los doxers pueden seguir acosándote en otros recursos.

La estrategia de comportamiento depende de lo que haya ocurrido exactamente: qué datos fueron robados, en qué plataforma, cómo se comporta el doxer. Así, si te amenazan personalmente, es necesario contactar a las fuerzas del orden lo antes posible. Y si la filtración de información amenaza tus finanzas, debes dirigirte primero al banco.

Pero la recomendación más importante: no te dejes llevar por el pánico. Provocar a la víctima para que tome decisiones precipitadas en un estado de estrés es uno de los principales objetivos del doxing. Manteniendo la calma y la claridad mental, tienes más posibilidades de resistir el ataque y sufrir las mínimas pérdidas.

Preguntas y respuestas