Doxing o doxxing es el acto de proporcionar públicamente información de identificación personal sobre un individuo u organización, generalmente a través de Internet y sin su consentimiento. [1] [2] [3] Históricamente, el término se ha utilizado para referirse tanto a la agregación de esta información de bases de datos públicas y sitios web de redes sociales (como Facebook ), como a la publicación de información previamente privada obtenida a través de medios delictivos o fraudulentos (como piratería e ingeniería social ). [ cita requerida ]
La agregación y provisión de material previamente publicado es generalmente legal, aunque puede estar sujeta a leyes sobre acoso e intimidación . [4] El doxing puede llevarse a cabo por razones como la humillación en línea , la extorsión y la ayuda de los vigilantes a las fuerzas del orden. [5] [6] También puede estar asociado con el hacktivismo .
"Doxing" es un neologismo . Tiene su origen en una alteración ortográfica de la abreviatura "docs", que significa "documentos", y se refiere a "recopilar y publicar un dossier de información personal sobre alguien". [7] Básicamente, doxing consiste en revelar y hacer públicos los registros de un individuo que antes eran privados o difíciles de obtener.
El término dox deriva del argot "dropping dox", que, según un colaborador de Wired , Mat Honan, era "una táctica de venganza de la vieja escuela que surgió de la cultura hacker en la década de 1990". Los hackers que operaban al margen de la ley en esa época utilizaban la violación del anonimato de un oponente como un medio para exponerlo al acoso o a repercusiones legales. [7]
Por lo tanto, el doxing a menudo tiene una connotación negativa porque puede ser un medio de venganza a través de la violación de la privacidad . [8]
La práctica de publicar información personal sobre individuos como una forma de vigilantismo es anterior a Internet, a través de medios físicos como periódicos y panfletos. Por ejemplo, en respuesta a la Ley del Timbre de 1765 en las Trece Colonias , grupos radicales como los Hijos de la Libertad acosaron a los recaudadores de impuestos y a quienes no cumplían con los boicots a los productos británicos, publicando sus nombres en panfletos y artículos de periódicos. [9] [10]
Fuera de las comunidades de hackers, los primeros ejemplos destacados de doxing tuvieron lugar en foros de discusión en Internet en Usenet a finales de los años 1990, incluidos usuarios que circulaban listas de presuntos neonazis . [11] También a finales de los años 1990, se lanzó un sitio web llamado los Archivos de Nuremberg , que presentaba las direcciones de domicilio de los proveedores de abortos y un lenguaje que implicaba que los visitantes del sitio web debían acechar y matar a las personas enumeradas. [11]
En 2012, cuando el entonces reportero de Gawker, Adrian Chen, reveló la identidad del troll de Reddit Violentacrez como Michael Brutsch, los usuarios de Reddit acusaron a Chen de doxear a Brutsch y declararon la "guerra" a Gawker . A mediados de la década de 2010, los eventos de la campaña de acoso Gamergate hicieron que el término fuera de uso público más amplio. Los participantes en Gamergate se hicieron conocidos por revelar información confidencial sobre sus objetivos al público, a veces con la intención de causarles daño físico. Caroline Sinders, investigadora del Centro para la Democracia y la Tecnología , dijo que "Gamergate, para mucha gente, para la cultura dominante, fue la introducción a lo que es el doxing". [11]
Según The Atlantic , de 2014 a 2020, "la conversación sobre el doxing estuvo dominada por el debate sobre si desenmascarar a una persona seudónima con un número considerable de seguidores era una invasión innecesaria y peligrosa de su privacidad". [12] En 2014, cuando Newsweek intentó buscar al desarrollador seudónimo de Bitcoin , la revista fue acusada de doxing por entusiastas de las criptomonedas . En 2016, cuando un periodista italiano intentó buscar la identidad de la novelista italiana seudónima Elena Ferrante , el periodista fue acusado de acoso de género y Vox se refirió a la búsqueda como "el doxing de Elena Ferrante". En 2020, cuando The New York Times indicó que planeaba publicar el nombre real del psiquiatra de California que dirigía el blog Slate Star Codex , los fanáticos del blog acusaron al Times de doxing. La persona detrás del blog acusó al Times de amenazar su seguridad y afirmó que inició un "gran escándalo" que resultó en que el Times perdiera cientos o miles de suscripciones. [11]
En 2022, la reportera de BuzzFeed News Katie Notopoulos utilizó registros comerciales públicos para identificar a los fundadores, que hasta entonces usaban seudónimos, del Bored Ape Yacht Club . Greg Solano, uno de los fundadores del club, afirmó que "se le hizo una revelación de su identidad contra [su] voluntad". [11]
En abril de 2022, la reportera del Washington Post Taylor Lorenz reveló que la identidad de la persona detrás de la cuenta de Twitter Libs of TikTok era Chaya Raichik, quien trabaja en el sector inmobiliario . Esto provocó que Raichik y los derechistas acusaran a Lorenz de doxing. [11]
Las ONG pro-israelíes, entre ellas la Coalición Israel en el Campus y Canary Mission, han sido acusadas de divulgar información confidencial de activistas palestinos mediante la publicación de dossiers públicos a través de folletos y sus sitios web. [13] [14] La guerra entre Israel y Hamás provocó un aumento de las actividades de divulgación de información confidencial en los Estados Unidos. El grupo de defensa de derechas Accuracy in Media envió camiones de divulgación de información confidencial a la Universidad de Yale y la Universidad de Columbia , mostrando los nombres y rostros de estudiantes considerados antiisraelíes bajo una pancarta que los etiquetaba como "líderes antisemitas" en el campus. [15] [16] De manera similar, Canary Mission publicó las identidades e imágenes de estudiantes de la Universidad de Harvard involucrados en la circulación de una carta abierta, publicada el 7 de octubre, que responsabilizaba "al régimen israelí por completo de toda la violencia que se estaba desatando". [17] [18]
El doxware es un ataque criptovirológico inventado por Adam Young y desarrollado posteriormente con Moti Yung que lleva a cabo extorsiones mediante malware . Se presentó por primera vez en West Point en 2003. El ataque tiene sus raíces en la teoría de juegos y originalmente se denominó "juegos de suma no cero y malware con capacidad de supervivencia". [19]
El ataque se resume en el libro Malicious Cryptography de la siguiente manera:
El ataque se diferencia del ataque de extorsión en lo siguiente: en el primer caso, a la víctima se le niega el acceso a su valiosa información y tiene que pagar para recuperarla, mientras que en el segundo caso, la víctima conserva el acceso a la información, pero su divulgación queda a discreción del virus informático. [20]
El doxware es lo opuesto al ransomware . En un ataque de ransomware (originalmente llamado extorsión criptoviral), el malware encripta los datos de la víctima y exige un pago para proporcionar la clave de desencriptación necesaria. En el ataque criptovirológico doxware, el atacante o malware roba los datos de la víctima y amenaza con publicarlos a menos que se pague una tarifa. [21]
Una vez que las personas han sido expuestas a través de doxing, pueden ser objeto de acoso a través de métodos como el acoso real en persona, inscripciones falsas para suscripciones de correo, entregas de alimentos, bombardeo de la dirección con cartas o mediante " swatting ", el envío intencional de equipos policiales armados ( SWAT ) a la dirección de una persona a través de pistas falsas o mediante llamadas telefónicas falsas a los servicios de emergencia. El acto de informar una pista falsa a la policía, y la posterior convocatoria de un equipo de respuesta a emergencias (ERT), es un delito ilegal y punible en la mayoría de las jurisdicciones, debido a que los ERT están comprometidos y potencialmente no están disponibles para emergencias reales. [22] Es, como mínimo, una infracción en la mayoría de los estados de EE. UU. (para infractores primerizos); si se hacen múltiples intentos, el cargo aumenta a un delito menor (especialmente cuando la intención se basa en el acoso). Otras repercusiones incluyen multas que van desde tan solo US$50 hasta US$2000, seis meses de cárcel del condado o tanto la multa como la prisión. [23]
Un hacker puede obtener los datos personales de una persona sin hacer pública la información. Un hacker puede buscar esta información para extorsionar o coaccionar a un objetivo conocido o desconocido. Un hacker también puede recopilar la información de una víctima para entrar en sus cuentas de Internet o tomar el control de sus cuentas de redes sociales. [7]
El doxing también se ha producido en las aplicaciones de citas . En una encuesta realizada en 2021, el 16% de los encuestados afirmó haber sufrido doxing a causa de ellas. [24] En un estudio cualitativo de 2018 sobre la violencia de pareja , 28 de los 89 participantes (tanto profesionales como supervivientes) denunciaron la exposición de la información privada de la víctima a terceros a través de tecnologías digitales como una forma de humillación, vergüenza o daño practicada con frecuencia por los abusadores, que puede incluir la divulgación de imágenes íntimas y la suplantación de la identidad de la víctima . [25]
También se les pueden mostrar a las víctimas sus datos como prueba de que han sido objeto de doxing como una forma de intimidación. El agresor puede utilizar este miedo para ganar poder sobre las víctimas con el fin de extorsionarlas o coaccionarlas. Por lo tanto, el doxing es una táctica estándar de acoso en línea y ha sido utilizado por personas asociadas con las controversias de Gamergate y las vacunas . [26]
Existen diferentes motivaciones para el doxing. Entre ellas, se incluye hacerlo para revelar un comportamiento dañino y responsabilizar al infractor. Otros lo utilizan para avergonzar, asustar, amenazar o castigar a alguien. También se suele utilizar para el acoso cibernético , lo que podría hacer que alguien tema por su seguridad. Los investigadores han señalado que algunos casos de doxing pueden estar justificados, como cuando revela un comportamiento dañino, pero solo si el acto de doxing también se alinea con el público. [27]
Paralelamente al auge del doxing se ha producido una evolución de la ciberseguridad , la privacidad en Internet , la Online Privacy Alliance y las empresas que ofrecen servicios antidoxing. Más recientemente, grupos de alto perfil como la Universidad de California en Berkeley [28] han elaborado una guía en línea para proteger a los miembros de su comunidad del doxing. Wired publicó un artículo sobre cómo lidiar con el doxing, en el que Eva Galperin , de la Electronic Frontier Foundation , aconsejaba a la gente "buscarse en Google, encerrarse y hacer que sea más difícil acceder a la información sobre uno mismo". [29]
En 2024, el gobierno australiano anunció que introduciría una nueva legislación para penalizar el doxing debido a un incidente antisemita en el que se filtraron los datos personales de más de 600 personas de un grupo de WhatsApp de judíos australianos. Algunas de las personas cuyos datos se filtraron recibieron amenazas de dañar su reputación, así como amenazas de muerte. [30] [31] El primer ministro Anthony Albanese declaró que "estas personas tienen una variedad de puntos de vista sobre Oriente Medio. Lo que tienen en común es que son miembros de la comunidad judía... Y es por eso que también le he pedido al fiscal general que desarrolle propuestas para fortalecer las leyes contra el discurso de odio". [30] La legislación propuesta, que incluye una ley que castiga el doxing con penas de cárcel, ha recibido apoyo bipartidista. [32]
A partir del 1 de marzo de 2020, se han implementado las "Regulaciones sobre la gobernanza ecológica del contenido de información en línea" de la República Popular China, que aclaran que los usuarios y productores de servicios y plataformas de contenido de información en línea no deben participar en violencia en línea, doxing, falsificación profunda, fraude de datos, manipulación de cuentas y otras actividades ilegales. [33]
A partir de 2021, en Hong Kong es un delito penal divulgar información personal, lo que se define como la divulgación de información privada o no pública sobre una persona con el fin de "amenazar, intimidar, acosar o causar daño psicológico". Las personas condenadas en virtud de este estatuto pueden ser condenadas a prisión de hasta cinco años y a una multa de 1.000.000 de dólares de Hong Kong (128.324,40 dólares de los Estados Unidos). [34]
En 2021, debido al aumento de los incidentes de doxing dirigidos contra activistas, políticos, periodistas y otros holandeses, el entonces ministro de Justicia y Seguridad, Ferdinand Grapperhaus, propuso una nueva ley contra el doxing . La ley establece que es un delito compartir datos personales con la intención de intimidar, acosar o dificultar el trabajo y conlleva una pena máxima de dos años de prisión o una multa de 25.750 euros (28.204 dólares estadounidenses). La pena se incrementará en un tercio cuando se dirija a determinadas figuras públicas. [35] La ley propuesta fue aprobada por ambas cámaras del parlamento y entró en vigor el 1 de enero de 2024. [36] [ 37] [38]
Español De acuerdo con el artículo 137 "Invasión de la privacidad personal", el intercambio público de información personal, utilizando los medios de comunicación, Internet, [39] incluso eventos públicos, se considera un delito y se castigará con una multa de hasta dieciocho meses de salario, o con trabajos obligatorios por un período de hasta trescientas sesenta horas, o con trabajos correctivos por un período de hasta un año, o con trabajos forzados por un período de hasta dos años, con privación del derecho a ocupar ciertos cargos o participar en ciertas actividades por un período de hasta tres años o sin ella, o arresto por un período de hasta cuatro meses, o prisión por un período de hasta dos años con privación del derecho a ocupar ciertos cargos o participar en ciertas actividades por un período de hasta tres años.
Copiar la información y obtenerla ilegalmente también son delitos separados [39]
Corea del Sur es uno de los pocos países con una ley penal que aborda específicamente el doxing. El artículo 49 de la "Ley de promoción de la utilización de la red de información y comunicaciones y de protección de la información" prohíbe la recopilación y difusión ilícitas de información privada, como el nombre completo, la fecha de nacimiento, la dirección, la probabilidad y cualquier otra información que se considere suficiente para identificar a una o más personas específicas cuando se examina en conjunto, independientemente de la intención. [40] En la práctica, sin embargo, debido a la naturaleza ambigua de la "recopilación ilícita" de información privada en la ley, las acciones legales a menudo se basan en el artículo 44 de la misma ley, que prohíbe insultar a una persona con un lenguaje despectivo o profano, y difamar a una persona mediante la difusión de información errónea o de información fáctica privilegiada que pueda dañar potencialmente la reputación o el honor de una persona (lo que a menudo ocurre en un incidente de doxing). Esta cláusula en particular impone sentencias máximas más severas que una ley de difamación "tradicional" existente en el código penal coreano. Originalmente se promulgó en parte como respuesta al aumento de los suicidios de celebridades debido al acoso cibernético.
El Código Penal español regula las penas por el descubrimiento y revelación de secretos en los artículos 197 a 201. Establece, en su artículo 197 § 1, que “el que, con el fin de descubrir los secretos o violar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes electrónicos o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice dispositivos técnicos de escucha, transmisión, grabación o reproducción del sonido o la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses”. Por su parte, el artículo 197 § 2, con la misma pena castiga a quien “se apodere, utilice o modifique, en perjuicio de un tercero, datos personales o familiares reservados de otro que consten en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otra clase de fichero o registro público o privado”.
Quienes “difundan, revelen o transfieran” a terceros los datos antes mencionados se exponen a una pena de dos a cinco años de prisión (de uno a tres años de prisión y multa de doce a veinticuatro meses, si no intervienen directamente en su descubrimiento pero “con conocimiento de su origen ilícito”). Estas infracciones son particularmente graves si se realizan por el responsable de los respectivos ficheros, soportes, registros o archivos o mediante un uso no autorizado de los datos personales, si se revela la ideología, religión, creencias, salud, origen racial o vida sexual de la víctima, si esta es menor de edad o incapacitada , y si se realiza con ánimo de lucro económico . [41]
Según lo establecido por la reforma del Código Penal en 2015, [42] “difundir, divulgar o transferir a terceros imágenes o grabaciones audiovisuales de la persona obtenida con su consentimiento en un domicilio o en cualquier otro lugar fuera de la vista de terceros, cuando la divulgación atente gravemente contra la intimidad personal de esa persona”, sin la autorización del afectado, también se castiga según el artículo 197 § 7 con tres meses a un año de prisión y multa de seis a doce meses. El delito es especialmente grave si la víctima está vinculada al infractor por matrimonio o una “relación de afectividad análoga” , es menor de edad o incapacitada. [41]
En Estados Unidos, existen pocos recursos legales para las víctimas de doxing. [43] Existen dos leyes federales que podrían abordar el problema del doxing: la Ley de Comunicaciones Interestatales y la Ley de Acoso Interestatal. [44] Sin embargo, como ha argumentado un académico, "[e]stas leyes... son lamentablemente inadecuadas para prevenir el doxing porque sus términos son poco inclusivos y rara vez se aplican". [44] La Ley de Comunicaciones Interestatales, por ejemplo, "solo penaliza las amenazas explícitas de secuestrar o herir a una persona". [45] Pero en muchos casos de doxing, es posible que un autor del doxing nunca transmita una amenaza explícita de secuestrar o herir, pero la víctima aún podría tener buenas razones para estar aterrorizada. [45] Y la Ley de Acoso Interestatal "rara vez se aplica y solo sirve como una protección hueca contra el acoso en línea". [46]
Según al menos una estimación, más de tres millones de personas son acosadas a través de Internet cada año, pero sólo unas tres son acusadas en virtud de la Ley de Acoso Interestatal. [46] En consecuencia, "[e]sta falta de aplicación de la ley federal significa que los estados deben intervenir si se quiere reducir el doxing". [46]
A fines de 2023 y principios de 2024, durante una ola de ataques contra políticos estadounidenses , se volvió ampliamente utilizado como una forma de alentar ataques, ya que Estados Unidos posee leyes débiles en torno a la privacidad de los datos , y la información personal de sus ciudadanos a menudo es fácilmente accesible en línea debido a varios corredores de datos . [47]
La definición del diccionario de dox en Wikcionario