Qu'est-ce que le Doxxing et comment est-il militarisé ?

0
188
Shutterstock/TheVisualsYouNeed

Le Doxx, c'est quand un l'attaquant divulgue une collection de vos informations personnelles en ligne, généralement avec la puissance de foules haineuses sur Internet derrière eux. Pour la victime, l'impact peut aller de l'embarras public à des incidents d'écrasement mortels.

Qu'est-ce que le Doxxing ?

Doxxing (parfois orthographié doxing) est la collecte d'informations personnelles sur des individus et leur diffusion sur Internet. L'intention est de causer à l'individu doxxé une sorte de problème ou d'embarras ou de l'exposer aux abus et à la traîne des autres. C'est une menace en ligne simple mais puissante pour votre vie privée et, dans certains cas, pour votre sécurité.

Le Doxxing n'est pas nouveau. Le nom vient du terme documents de vidage. Les documents ont été raccourcis en docs, qui rime avec dox, et c'est ainsi que le doxxing a été inventé. Il existe sous différentes formes depuis les années 1990 alors qu'il était un outil réservé aux hackers. Il était principalement utilisé pour causer des problèmes aux pirates informatiques rivaux. Il s'est transformé en une arme que même les internautes occasionnels peuvent utiliser contre n'importe qui d'autre.

Les acteurs de la menace recherchent la cible, recueillent des informations, puis rendent ces informations publiques. Si la cible est un individu, les informations diffusées sont déjà disponibles sur Internet quelque part & si vous savez où les chercher & sont dans le domaine public. Il n'y a pas de piratage informatique, juste quelques détectives.

Hacktivistes et Doxxing

Le terme hacktiviste a été inventé pour la première fois par un membre du Cult of the Dead Cow, un groupe de hackers qui se réunissait dans un abattoir abandonné à Lubbock, au Texas, au milieu des années 90. C'est un mot-valise qui unit hacking et activiste.

Publicité

Les hacktivistes se voient comme des cyber-guérilleros combattant aux côtés de la justice et de la société. Ils mènent des attaques contre des organisations qui, en ce qui les concerne, méritent d'être punies ou, au moins, méritent que des informations privées concernant leur conduite commerciale soient rendues publiques. Les hacktivistes cibleront également les individus au sein d'une organisation.

Par exemple, le collectif Anonymous et ses partisans sur le site Web de 4Chan peuvent lancer des campagnes massives contre les victimes doxées. 4Chan compte des millions de membres. Ils peuvent livrer un tsunami de pêche à la traîne en ligne, d'appels téléphoniques farfelus et d'e-mails menaçants ou abusifs. Ils demanderont également qu'une victime soit licenciée de son emploi ou démis de ses fonctions publiques.

Les hacktivistes peuvent utiliser des techniques de piratage traditionnelles pour obtenir des documents d'entreprise sensibles.

Ransomware et Doxxing

Le ransomware est un cybercrime dans lequel tout le réseau de la victime est crypté et une rançon en crypto-monnaie est demandée en échange de la clé de décryptage. Certaines entreprises ne paient pas la rançon, elles effacent leurs systèmes et restaurent leurs données à partir de sauvegardes.

Les victimes de ransomware qui refusent de payer la rançon sont parfois victimes de chantage de la part des acteurs de la menace avec la publication de documents d'entreprise sensibles à moins qu'ils ne paient une rançon de crypto-monnaie. Cela combine le doxxing d'entreprise avec les ransomwares.

L'impact potentiel

Il n'est pas exagéré de dire que la vie des gens a été ruinée par le doxxing. Les attaques au Doxxing ont amené les victimes à subir des campagnes de masse de honte et d'humiliation publiques, elles ont perdu leur emploi, se sont séparées de leurs partenaires, ont dû fermer leur présence en ligne et même se cacher.

Publicité

Et bien sûr, parfois la victime est un individu innocent, mal identifié. Dans une affaire qui a fait la une des journaux, un professeur de l'Université de l'Arkansas a été nommé à tort comme participant à un rassemblement pour la suprématie blanche à Charlottesville, au Texas.

Pour tenter d'identifier ceux qui avaient assisté à la marche, les opposants au rassemblement ont examiné des images et des photographies. L'un des manifestants portait un t-shirt Arkansas Engineering. Il était facile de consulter le personnel enseignant sur le site Web de l'Université.

Le professeur agrégé Kyle Quinn avait une ressemblance passagère avec l'homme du rassemblement, il a donc été publiquement déclaré être l'homme sur la photo. Ses collègues, amis et famille ont été choqués et bombardés de messages de colère et d'injures, et des demandes ont été envoyées à l'université pour renvoyer Quinn.

Pour Quinn, il était facile de prouver qu'il n'était pas le homme sur la photo. Heureusement, il assistait à une réception universitaire à plus de 1 000 kilomètres de là au moment du rassemblement et son innocence était incontestable.

Une erreur de la police a conduit à l'identification erronée d'un homme innocent comme étant un cycliste qui a blessé un enfant sur une piste cyclable à Bethesda, dans le Maryland. Ils ont affiché la date incorrecte sur un appel pour information. Peter Weinburg, l'innocent, avait emprunté la piste cyclable à la date utilisée par la police dans son appel, mais pas à la date réelle de l'agression.

Weinburg a rapidement été victime d'un doxxing, avec une réaction d'une telle férocité que la police a dû patrouiller autour de sa maison pour le garder en sécurité. Le Doxxing peut trop facilement amener l'intimidation et la pêche à la traîne en ligne dans le monde réel.

Doxxing et Swatting

Shutterstock/bibiphoto

Swatting fait des canulars à la police pour la convaincre d'envoyer une équipe d'intervention armée à une victime&#8217 ;s résidence.

Publicité

Les attaques par écrasement nécessitent que quelqu'un se fasse passer pour la victime. Ils décrivent un crime qu'ils vont commettre ou qu'ils ont déjà commencé. Une équipe d'armes et tactiques spéciales (SWAT) ou une autre équipe armée des forces de l'ordre se rend sur les lieux. C'est une situation critique avec des agents des forces de l'ordre pressés et une victime complètement confuse.

En 2017, en colère contre un pari de 1,50 USD sur un jeu de Call of Duty, Casey Viner a demandé à Tyler Barriss, un swatter et escroc connu, d'écraser un autre joueur en ligne. Ils ont doxxé la victime mais ont récupéré une adresse expirée. Barriss a fait un canular et a envoyé une équipe d'intervention armée à la mauvaise adresse. Andrew Finch, sans aucun lien avec la dispute sur le pari, a été abattu. Barriss purge une peine de 20 ans.

Comment les Doxxers obtiennent vos informations

Il existe de nombreux endroits que les doxxers peuvent rechercher pour essayer pour découvrir une victime.

Intelligence Open Source

Le renseignement open source est toute information qui peut être obtenue légalement sur un individu sur Internet. Parce qu'aucun crime n'a été commis lors de la collecte d'informations, et parce que les informations sont factuelles, en supposant que la victime a été correctement identifiée, de nombreuses formes de doxxing ne sont pas illégales.

Rechercher des informations sur le les listes électorales ou les registres sont parfaitement légaux, par exemple. Il s'agit d'informations du domaine public. C'est ce que signifie l'open source. Il s'agit d'une source d'information ouverte, par opposition à une source fermée. Il n'a aucune connexion avec un logiciel open source. Cela étant dit, il existe plusieurs progiciels gratuits et open source qui peuvent être utilisés pour recueillir des renseignements open source sur les individus.

Data Brokers

Les entreprises qui collectent, stockent et tirent profit des références croisées et de la vente de vos données sont appelées courtiers en données. Tout ce que vous faites intéresse quelqu'un, en particulier les sociétés de marketing Big Data. Si vous recherchez quelque chose en ligne, recherchez un achat ou achetez quelque chose en ligne, les détails de ces actions sont un contenu vendable pour les courtiers en données.

Publicité

Une source d'information typique pour un courtier de données est le partenariat avec d'autres organisations. Ils sont autorisés à transmettre vos coordonnées et les détails de vos transactions à leurs partenaires parce que vous l'avez accepté lorsque vous avez utilisé leur site. Enfouie dans les petits caractères des termes et conditions ou de la politique de confidentialité de nombreux sites Web, se trouve une liste des personnes avec lesquelles ils partageront vos données.

Whois Records

L'enregistrement d'un domaine nécessite que vous remplissiez un formulaire. Les données de ce formulaire sont accessibles à tous. Certains bureaux d'enregistrement proposent de masquer ou de restreindre les données moyennant des frais, mais tous ne proposent pas ce service.

Vous pouvez utiliser l'un des nombreux services whois sur Internet pour rechercher les entrées dans la base de données whois. Certains systèmes d'exploitation offrent un accès direct à la base de données whois, permettant aux requêtes d'être exécutées par programmation.

CONNEXES : Comment utiliser la commande whois sous Linux

Réseaux sociaux

La personne moyenne publie une énorme quantité d'informations qui peuvent être utilisées pour l'identifier, sa famille, la localité où elle vit, son adresse, son numéro de téléphone, les personnes avec lesquelles elle s'associe, où elle travaille, ce qu'elle fait pendant son temps libre, et bientôt. Tout cela peut être utilisé pour reconstituer votre identité et fournir des indices aux acteurs de la menace pour trouver plus d'informations sur vous.

Vous pourriez donner d'autres informations sans vous en rendre compte. Les images que vous publiez en ligne peuvent contenir des données intégrées, avec l'heure, la date et l'emplacement où l'image a été prise, contenues dans les métadonnées du fichier image.

Violations de données

Les violations de données semblent être une réalité quotidienne. Ces bases de données divulguées peuvent contenir une mine d'informations, notamment votre nom, mot de passe, numéro de sécurité sociale, adresse personnelle, coordonnées bancaires, détails de carte de crédit, adresses e-mail, numéros de téléphone fixe et portable, etc. Tout cela se retrouve sur le Dark Web et les forums de hackers.

Publicité

Si quelqu'un connaît votre nom et le voisinage général dans lequel vous vivez, il peut rechercher dans les bases de données divulguées et trouver des candidats susceptibles d'être vous. Le croisement des informations contenues dans les violations de données avec les informations dont ils disposent déjà à votre sujet leur permet de vérifier rapidement s'ils vous ont identifié ou non.

Ingénierie sociale

L'ingénierie sociale est un moyen pour les fraudeurs de renforcer la confiance et la familiarité avec leur victime, tout en leur extrayant lentement des informations sans que la victime s'en rende compte. Cela peut se produire dans le monde numérique sur les plateformes de médias sociaux ou dans le monde physique.

Doxxing-as-a-Service

Doxxing-as-a-Service est disponible sur le Dark Web. Ils mèneront une attaque doxxing sur la victime et lui factureront des frais pour que ses informations personnelles soient supprimées.

Comment se protéger contre Doxxing

Comportez-vous avec prudence. Tout ce que vous dites ou publiez sur Internet peut être récupéré et brandi en public par ceux qui cherchent à vous saper ou à vous attaquer.

N'utilisez pas votre vrai nom

Lorsque vous rejoignez un site de réseau social, un forum ou toute autre plate-forme en ligne, choisissez un nom d'utilisateur qui ne reflète pas votre véritable identité. Si vous vous disputez ou que quelqu'un s'indigne des opinions que vous avez exprimées et qu'il s'agit du type de personne qui envisagera de vous faire du mal, vous serez mieux protégé avec un utilisateur totalement indépendant. nom.

Utilisez un VPN

Un VPN vous aidera à maintenir votre anonymat. Votre adresse IP n'est pas exposée aux plateformes, services et sites Web auxquels vous vous connectez. Cela rend le retour en arrière beaucoup plus difficile. Il crypte également votre trafic, ce qui rendra l'utilisation du Wi-Fi public beaucoup plus sécurisée.

Soyez prudent avec les médias sociaux

Presque tout ce que vous publiez sur les réseaux sociaux peut être utilisé comme indices de votre véritable identité. Les photographies de la façade de votre maison, par exemple, permettent aux doxxers de vérifier qu'ils ont trouvé la bonne adresse en comparant cette photo avec l'image sur Google Street View pour l'adresse qu'ils soupçonnent être la vôtre.

Publicité

Utilisez les contrôles de confidentialité sur la plate-forme de médias sociaux pour restreindre autant que possible l'accès à vos publications et autorisez uniquement les amis et la famille de confiance à se connecter et à voir vos mises à jour. N'acceptez pas les demandes de connexion d'inconnus. Demandez-vous pourquoi voudraient-ils se connecter à vous ?

Demander la suppression de vos données

Tout le monde peut demander aux courtiers en données de supprimer vos informations personnelles de leurs bases de données.

Google, Bing, Yahoo et d'autres moteurs de recherche vous permettent de demander à être supprimé des résultats de recherche. Mais sachez qu'ils ne sont pas toujours conformes. S'ils maintiennent que les informations servent un intérêt légitime pour le public, ils ne supprimeront pas vos données.

Si vous êtes un citoyen européen, vous pouvez demander la suppression des données à toute organisation qui, selon vous, détient vos informations personnellement identifiables. Le Règlement général sur la protection des données vous donne le droit de voir quelles données une entreprise détient sur vous et, si vous le souhaitez, de les supprimer. Et cela ne concerne pas que les organisations européennes. Le RGPD couvre toute organisation, quelle que soit sa situation géographique, qui traite, stocke ou transmet des données de citoyens européens.

Même avec le RGPD, vous n'avez pas carte blanche pour la suppression des données, mais vous avez le droit de le demander. Une organisation doit avoir une raison impérieuse et valable de continuer à conserver vos données si vous lui avez demandé de les supprimer. Par exemple, vous ne pouvez pas essayer de supprimer vos données d'une personne avec qui vous avez un bail en cours ou un plan de location-vente. Le fait que vous soyez au milieu d'un contrat financier serait une raison acceptable pour qu'ils refusent la suppression des données.

Publicité

Si la perspective de contacter de nombreux sites Web et de demander à être supprimé vous fait chavirer, vous pouvez envisager d'utiliser des services de suppression de données tels que DeleteMe ou Privacy Duck. Moyennant des frais, ces sociétés vous retireront de toutes les sociétés de courtage de données courantes, de recherche sur le Web et d'autres sociétés de commerce de données, et réduiront considérablement votre empreinte en ligne. Le site Web Privacy Duck vous explique même comment ils procèdent et vous montre comment vous pouvez le faire vous-même, gratuitement.

Utilisez des adresses e-mail sacrificielles

Utilisez des fournisseurs de messagerie gratuits tels que ProtonMail et créez des adresses e-mail jetables. Utilisez-les comme e-mail d'inscription pour les médias sociaux et les autres plateformes que vous rejoignez. ProtonMail offre un autre degré de séparation, car vous pouvez créer une adresse e-mail sans fournir d'adresse e-mail existante pendant le processus.

Si vous vous faites Doxxed

  • Signalez-le. Signalez-le au support client de la plateforme sur laquelle l'information a été diffusée et demandez qu'elle soit supprimée. La plateforme peut avoir une politique sur le doxxing, et l'affiche peut être interdite.
  • Contactez la police. Si vous recevez des menaces ou des abus à la suite d'un doxxing, signalez-le à la police. Si les informations qui ont été publiées ne sont pas accessibles au public, un crime peut avoir été commis en les procurant et en les publiant.
  • Enregistrez le doxxing. Prendre des captures d'écran des informations en ligne, conserver les e-mails abusifs et capturer les tweets avant qu'ils ne puissent être supprimés fourniront des informations que la police peut utiliser dans son enquête.
  • Avertissez votre employeur, vos collègues, vos amis et famille. Ils peuvent faire l'objet de messages haineux et d'abus simplement parce qu'ils vous connaissent ou parce qu'ils vous emploient.