Il doxxing si verifica quando un utente malintenzionato fa trapelare una raccolta di informazioni personali online, di solito con la potenza di folle di odio su Internet alle spalle. Per la vittima, l'impatto può variare dall'imbarazzo pubblico a incidenti mortali di schiacciamento.
Cos'è Doxxing?
Doxxing (a volte scritto doxing) è la raccolta di informazioni personali su individui e il loro rilascio su Internet. L'intenzione è quella di causare all'individuo doxxed una sorta di problema o imbarazzo o di aprirlo ad abusi e trolling da parte di altri. È una semplice ma potente minaccia online per la tua privacy e, in alcuni casi, per la tua sicurezza.
Il doxxing non è nuovo. Il nome deriva dal termine documenti di dumping. I documenti sono stati abbreviati in docs, che fa rima con dox, e così è stato coniato doxxing. Esiste in diverse forme dagli anni '90, quando era uno strumento riservato agli hacker. È stato utilizzato principalmente per causare problemi agli hacker rivali. Si è trasformato in un'arma che anche gli utenti web occasionali possono usare contro chiunque altro.
Gli attori della minaccia ricercano l'obiettivo, raccolgono informazioni, quindi le rendono pubbliche. Se l'obiettivo è un individuo, le informazioni rilasciate sono già disponibili su Internet da qualche parte, se sai dove cercarle, e sono di dominio pubblico. Non c'è nessun hacking coinvolto, solo qualche investigazione.
Hacktivists e Doxxing
Il termine hacktivist è stato coniato per la prima volta da un membro del Cult of the Dead Cow, un gruppo di hacker che si incontrava in un mattatoio abbandonato a Lubbock, in Texas, a metà degli anni '90. È una parola che unisce hacking e attivista.
Pubblicità
Gli attivisti informatici si considerano cyber-guerriglie che combattono dalla parte della giustizia e della società. Svolgono attacchi contro organizzazioni che—per quanto li riguarda—sono meritevoli di punizione o, quantomeno, meritano di rendere pubbliche informazioni private sulla loro condotta aziendale. Gli attivisti informatici prenderanno di mira anche individui all'interno di un'organizzazione.
Ad esempio, il collettivo Anonymous e i suoi sostenitori sul sito web 4Chan possono lanciare massicce campagne contro le vittime doxed. 4Chan ha milioni di membri. Possono fornire uno tsunami di trolling online, scherzi telefonici ed e-mail minacciose o offensive. Chiederanno inoltre che una vittima venga licenziata dal lavoro o rimossa da un ufficio pubblico.
Gli attivisti informatici potrebbero utilizzare tecniche di hacking tradizionali per ottenere documenti aziendali sensibili.
Ransomware e Doxxing
Il ransomware è un crimine informatico in cui l'intera rete della vittima è crittografata e viene richiesto un riscatto in criptovaluta in cambio della chiave di decrittazione. Alcune aziende non pagano il riscatto, cancellano i propri sistemi e ripristinano i dati dai backup.
Le vittime del ransomware che si rifiutano di pagare il riscatto vengono talvolta ricattate dagli autori delle minacce con il rilascio di documenti aziendali sensibili a meno che non paghino un riscatto in criptovaluta. Questo combina il doxxing aziendale con il ransomware.
L'impatto potenziale
Non è esagerato dire che la vita delle persone è stata rovinata dal doxxing. Gli attacchi di doxxing hanno causato alle vittime campagne di massa di vergogna e umiliazione pubblica, hanno perso il lavoro, si sono separati dai partner, hanno dovuto chiudere la loro presenza online e persino nascondersi.
Pubblicità
E, naturalmente, a volte la vittima è un individuo erroneamente identificato, innocente. In un caso di acquisizione di titoli, un professore dell'Università dell'Arkansas è stato erroneamente nominato come partecipante a una manifestazione per la supremazia bianca di Charlottesville, in Texas.
Per cercare di identificare coloro che avevano partecipato alla marcia, gli oppositori della manifestazione hanno esaminato filmati e fotografie. Uno dei manifestanti indossava una maglietta dell'Arkansas Engineering. È stato facile controllare il personale della facoltà dal sito web dell'Università.
Il professore associato Kyle Quinn aveva una vaga somiglianza con l'uomo al raduno, quindi è stato pubblicamente dichiarato essere l'uomo nella fotografia . I suoi colleghi, amici e familiari sono stati perseguitati e bombardati da messaggi di rabbia e insulti, e sono state inviate richieste all'Università per licenziare Quinn.
Per Quinn, è stato facile dimostrare che non era l'uomo nella foto. Fortunatamente, al momento del raduno stava partecipando a una funzione universitaria a più di 1000 miglia di distanza e la sua innocenza era indiscutibile.
Un errore della polizia ha portato un uomo innocente a essere erroneamente identificato come un ciclista che ha ferito un bambino su una pista ciclabile a Bethesda, nel Maryland. Hanno pubblicato la data errata su un appello per informazioni. Peter Weinburg, l'uomo innocente, aveva utilizzato la pista ciclabile nella data indicata dalla polizia nel loro appello, ma non nella data effettiva dell'aggressione.
Weinburg è stato subito vittima di un doxxing, con un contraccolpo di tale ferocia che la polizia ha dovuto pattugliare l'area intorno alla sua casa per tenerlo al sicuro. Il doxxing può portare fin troppo facilmente il bullismo e il trolling online nel mondo reale.
Doxxing e Swatting
Shutterstock/bibiphotoSwatting sta inviando comunicazioni false alla polizia per convincerla a inviare una squadra di risposta armata alla residenza della vittima.
Pubblicità
Gli attacchi di Swatting richiedono che qualcuno impersoni la vittima. Descrivono un crimine che stanno per commettere o che hanno già iniziato. Una squadra di armi e tattiche speciali (SWAT) o un'altra squadra armata delle forze dell'ordine assiste alla scena. Questa è una situazione critica con agenti delle forze dell'ordine sotto pressione e una vittima completamente confusa.
Nel 2017, arrabbiato per una scommessa di 1,50 dollari su una partita di Call of Duty, Casey Viner ha chiesto a un noto swatter e l'imbroglione Tyler Barriss per schiacciare un altro giocatore online. Hanno doxxato la vittima ma hanno recuperato un indirizzo scaduto. Barriss ha fatto una telefonata falsa e ha inviato una squadra di risposta armata all'indirizzo sbagliato. Andrew Finch, estraneo in alcun modo alla disputa sulla scommessa, è stato ucciso a colpi di arma da fuoco. Barriss sta scontando una condanna a 20 anni.
Come i doxxer ottengono le tue informazioni
Ci sono molti posti in cui i doxxers possono cercare per cercare di scoprire una vittima.
Open Source Intelligence
L'intelligence open source è qualsiasi informazione che può essere ottenuta legalmente su un individuo da Internet. Poiché non è stato commesso alcun crimine nella raccolta delle informazioni e poiché le informazioni sono reali, supponendo che la vittima sia stata identificata correttamente, molte forme di doxxing non sono illegali.
Cercare informazioni sulle liste o sui registri elettorali è, ad esempio, perfettamente legale. Sono informazioni di dominio pubblico. Questo è il significato dell'open source. È una fonte di informazioni aperta, al contrario di una fonte chiusa. Non ha alcuna connessione a software open source. Detto questo, esistono diversi pacchetti software gratuiti e open source che possono essere utilizzati per raccogliere informazioni open source su individui.
Broker di dati
Le aziende che raccolgono, archiviano e traggono profitto dai riferimenti incrociati e dalla vendita dei tuoi dati sono chiamate broker di dati. Tutto ciò che fai interessa a qualcuno, in particolare alle società di marketing dei big data. Se cerchi qualcosa online, cerchi un acquisto o acquisti qualcosa online, i dettagli di tali azioni sono contenuti vendibili per i broker di dati.
Pubblicità
Una tipica fonte di informazioni per un broker di dati è attraverso le partnership con altre organizzazioni. Sono autorizzati a trasmettere i tuoi dettagli e i dettagli delle tue transazioni ai loro partner perché hai accettato quando hai utilizzato il loro sito. Sepolto tra i termini e le condizioni o l'informativa sulla privacy di molti siti Web, c'è un elenco delle persone con cui condivideranno i tuoi dati.
Whois Records
La registrazione di un dominio richiede la compilazione di un modulo. I dati su quel modulo sono accessibili a chiunque. Alcuni registrar offrono di nascondere o limitare i dati a pagamento, ma non tutti forniscono questo servizio.
È possibile utilizzare uno dei tanti servizi whois su Internet per cercare le voci nel database whois. Alcuni sistemi operativi offrono l'accesso diretto al database whois, consentendo l'esecuzione delle richieste in modo programmatico.
RELAZIONATO: Come utilizzare il comando whois su Linux
social media
La persona media pubblica un'enorme quantità di informazioni che possono essere utilizzate per identificare se stessa, la sua famiglia, la località in cui vive, il suo indirizzo, numero di telefono, le persone con cui si associa, dove lavora, cosa fanno nel tempo libero e presto. Tutto questo può essere usato per ricostruire la tua identità e fornire indizi agli autori delle minacce per trovare maggiori informazioni su di te.
Potresti dare altre informazioni senza rendertene conto. Le immagini che pubblichi online possono contenere dati incorporati, con l'ora, la data e il luogo in cui è stata scattata l'immagine conservati nei metadati del file immagine.
Violazioni dei dati
Le violazioni dei dati sembrano essere un fatto quotidiano della vita. Questi database trapelati possono contenere una grande quantità di informazioni tra cui nome, password, numero di previdenza sociale, indirizzo di casa, dettagli bancari, dettagli della carta di credito, indirizzi e-mail, numeri di telefono fisso e cellulare e così via. Tutto questo trova la sua strada nel Dark Web e nei forum degli hacker.
Pubblicità
Se qualcuno conosce il tuo nome e le vicinanze generali in cui vivi, può cercare nei database trapelati e trovare potenziali candidati che potresti essere tu. Il riferimento incrociato delle informazioni nelle violazioni dei dati con le informazioni che già hanno su di te consente loro di verificare rapidamente se ti hanno identificato o meno.
Ingegneria sociale
L'ingegneria sociale è un modo in cui i truffatori costruiscono fiducia e familiarità con la loro vittima, mentre lentamente estrae informazioni da loro senza che la vittima si renda conto che sta accadendo. Questo può accadere nel mondo digitale sulle piattaforme dei social media o nel mondo fisico.
Doxxing-as-a-Service
Doxxing-as-a-Service è disponibile sul Dark Web. Effettueranno un attacco doxxing alla vittima e addebiteranno loro una tariffa per far rimuovere le loro informazioni personali.
Come proteggersi da Doxxing
Comportati con cautela. Tutto ciò che dici o pubblichi su Internet può essere ripescato e agitato in pubblico da coloro che cercano di indebolirti o attaccarti.
Non usare il tuo vero nome
Quando ti iscrivi a un sito di social media, forum o qualsiasi altra piattaforma online, scegli un nome utente che non rifletta la tua vera identità. Se entri in una discussione o qualcuno si arrabbia per le opinioni che hai espresso e sono il tipo di persona che prenderà in considerazione l'idea di doxxarti, sarai meglio protetto con un utente completamente estraneo nome.
Usa una VPN
Una VPN ti aiuterà a mantenere il tuo anonimato. Il tuo indirizzo IP non è esposto alle piattaforme, ai servizi e ai siti web a cui ti connetti. Questo rende il back-tracing molto più difficile. Cripta anche il tuo traffico, il che renderà l'utilizzo del Wi-Fi pubblico molto più sicuro.
Sii cauto con i social media
Quasi tutto ciò che pubblichi sui social media può essere utilizzato come indizio della tua vera identità. Le fotografie della facciata della tua casa, ad esempio, consentono ai doxxer di verificare di aver trovato l'indirizzo corretto confrontando quella fotografia con l'immagine su Google Street View per l'indirizzo che sospettano possa essere il tuo.
Pubblicità
Utilizza i controlli della privacy sulla piattaforma dei social media per limitare il più possibile l'accesso ai tuoi post e consentire solo ad amici e familiari fidati di connettersi e vedere i tuoi aggiornamenti. Non accettare richieste di connessione da estranei. Chiediti, perché dovrebbero volersi connettere a te?
Richiedi la cancellazione dei tuoi dati
Chiunque può richiedere che i broker di dati cancellino le tue informazioni personali dai loro database.
Google, Bing, Yahoo e altri motori di ricerca ti consentono di richiedere la rimozione dai risultati di ricerca. Ma tieni presente che non sempre rispettano. Se sostengono che le informazioni servono un interesse legittimo per il pubblico, non rimuoveranno i tuoi dati.
Se sei un cittadino europeo puoi richiedere la cancellazione dei dati da qualsiasi organizzazione che ritieni detenga le tue informazioni di identificazione personale. I regolamenti generali sulla protezione dei dati ti danno il diritto di vedere quali dati un'azienda detiene su di te e, se lo desideri, di eliminare tali dati. E questo non copre solo le organizzazioni europee. Il GDPR copre qualsiasi organizzazione—indipendentemente dall'area geografica—che elabora, archivia o trasmette dati di cittadini europei.
Anche con il GDPR, non hai carta bianca diritto alla cancellazione dei dati, ma hai il diritto di richiederlo. Un'organizzazione deve avere un motivo valido e convincente per continuare a conservare i tuoi dati se hai chiesto loro di eliminarli. Ad esempio, non puoi provare a far cancellare i tuoi dati da qualcuno con cui hai un contratto di locazione in corso o un piano di acquisto a rate. Il fatto che tu sia nel mezzo di un contratto finanziario sarebbe un motivo accettabile per negare la cancellazione dei dati.
Pubblicità
Se la prospettiva di contattare molti siti Web e chiedere di essere rimossi ti fa rabbrividire, puoi prendere in considerazione l'utilizzo di servizi di eliminazione dei dati come DeleteMe o Privacy Duck. A pagamento, queste società ti rimuoveranno da tutti i comuni broker di dati, ricerche web e altre società di scambio di dati e ridurranno notevolmente la tua impronta online. Il sito web di Privacy Duck ti dice anche come lo fanno e ti mostra come puoi farlo per te stesso, gratuitamente.
Usa indirizzi email sacrificali
Utilizza provider di posta elettronica gratuiti come ProtonMail e crea indirizzi email usa e getta. Usali come e-mail di registrazione per i social media e altre piattaforme a cui ti unisci. ProtonMail offre un ulteriore grado di separazione perché puoi creare un indirizzo email senza fornire un indirizzo email esistente durante il processo.
Se vieni Doxxed
- Segnalalo. Segnalalo all'assistenza clienti della piattaforma su cui sono state rilasciate le informazioni e chiedi che venga rimosso. La piattaforma potrebbe avere una politica sul doxxing e il poster potrebbe essere vietato.
- Contatta la polizia. Se ricevi minacce o abusi a seguito di un doxxing, segnalalo alla polizia. Se le informazioni che sono state pubblicate non sono pubblicamente disponibili, è possibile che sia stato commesso un crimine procurandole e pubblicandole.
- Registrare il doxxing. Catturare screenshot delle informazioni online, conservare e-mail offensive e screenshot dei Tweet prima che possano essere eliminati fornirà informazioni che la polizia potrebbe utilizzare nelle sue indagini.
- Avvisa il tuo datore di lavoro, colleghi, amici e famiglia. Potrebbero essere soggetti a messaggi di odio e abusi solo per averti conosciuto o per averti assunto.