¿Qué es doxear o doxing?

El doxing, que también se conoce como doxear, doxxing o d0xing, es una táctica de ciberataque que conlleva la recopilación y diseminación de información personal con malas intenciones. Los ataques de doxing se realizan para avergonzar o hacer daño al objetivo, exponiendo públicamente datos delicados, como números de seguridad social, direcciones, teléfonos, información de tarjetas de crédito y otros tipos de información privada. Los doxers usan estos datos para amenazar a la víctima, ya sea mediante chantaje o extorsión.

El término “dox” viene del término coloquial para referirse a “documentos” (por la extensión “.doc”), porque los doxers típicamente buscaban en bases de datos online, como páginas web de registros públicos y plataformas de redes sociales para recopilar información personal acerca de sus víctimas. Los doxers también podrían intentar obtener más datos acerca de sus objetivos contactando a fuentes externas, como personas cercanas a la víctima. Una vez recopilada suficiente información acerca de la víctima, la publican online directamente o mediante un portal de intercambio de enlaces.

Doxear puede incluir desde bromas personales, como revelar el teléfono de alguien sin permiso, a cosas más serias, como el robo de identidad y fraude. Los avances tecnológicos han facilitado a los atacantes el identificar a las víctimas potenciales en internet, incluso si estas personas no buscan activamente llamar la atención. Como resultado, muchas organizaciones ahora toman medidas proactivamente para protegerse contra los ataques de doxing invirtiendo en sólidas medidas de ciberseguridad, como software de cortafuegos y cifrado que ayude a protegerlos contra potenciales amenazas de los doxers.

El doxing es una práctica digital ilícita que victimiza a personas, corporaciones y hasta a países. Al comprender los diferentes tipos de técnicas disponibles, los equipos de TI y profesionales de ciberseguridad pueden tomar acciones para proteger sus redes contra potenciales amenazas.

El doxing es un tipo de ataque informático que revela y publicita datos personales de un individuo o entidad. El propósito del doxing es avergonzar o desacreditar al objetivo divulgando datos delicados. Puede dividirse en dos tipos principales.

Doxing físico

El doxing físico es cuando alguien visita una ubicación para recopilar datos personales acerca de su objetivo. Esto podría incluir el tomar fotos de la propiedad o espiar para hallar documentos con información de identificación. En algunos casos, los doxers físicos también pueden usar dispositivos de rastreo por GPS para seguir los desplazamientos de sus objetivos. Un ejemplo de esto ocurrió durante las protestas de Hong Kong, en que las autoridades chinas colocaron localizadores GPS en los teléfonos y vehículos de los manifestantes para después identificarlos en los vídeos de las protestas.

Doxing online

El doxing online es cuando alguien recopila datos personales de fuentes online, como cuentas de redes sociales y páginas web, para revelar detalles acerca de la identidad o actividades de una persona sin su consentimiento. Por ejemplo, si alguna vez ha publicado su dirección online, sería fácil para una persona malintencionada el descubrir dónde vive, con tan solo mirar en sus fotos de perfil y publicaciones.

Doxear puede tomar diversas formas, desde recopilar información públicamente disponible a técnicas más avanzadas, como la ingeniería social. El doxing es una preocupación importante y no debe ser ignorado. Una vez que la información se libera en el ciberespacio, las consecuencias pueden ser de amplio alcance y potencialmente dañinas para la reputación de personas y empresas.

El doxing puede ir desde bromas pesadas hasta invasiones graves a la privacidad individual. Es un tipo de acoso informático que se ha vuelto cada vez más común en años recientes.

Doxear en redes sociales

Un ejemplo típico es cuando alguien publica información personal, como una dirección de habitación, teléfono, correo electrónico u otros datos delicados online. Esto se suele hacer creando cuentas falsas de redes sociales específicamente diseñadas para atacar a individuos con el objetivo de acosarlos y humillarlos.

Doxing por asociación

Otro ejemplo es el doxing por asociación, que implica el recopilar información personal acerca de una persona basándose en su conexión con el doxeado.

Por ejemplo, si un hacker quisiera atacar a una persona específica en una empresa, podría intentar averiguar más acerca de sus familiares o amigos para obtener acceso a datos confidenciales relacionados con la empresa.

Doxware

Un tercer tipo de doxing se conoce como doxware, en el que los hackers exigen un pago a las víctimas a cambio de no publicar sus datos delicados.

Los hackers también pueden amenazar a una víctima con acciones jurídicas si no cumplen con sus exigencias, lo que hace particularmente peligroso y difícil para las víctimas el defenderse contra estos ataques sin ponerse en riesgo a futuro.

Hacktivismo

Por último, existen casos en que la gente usa el doxing en campañas de activismo político, conocidas como hacktivismo. Es entonces cuando los activistas buscan justicias mediante tácticas de avergonzamiento público, como la publicación online de documentos privados relacionados con las corporaciones o gobiernos involucrados en actividades poco éticas, como escándalos de corrupción.

El hacktivismo puede tener consecuencias graves más allá de simplemente avergonzar a los responsables. También puede dañar reputaciones y empresas por igual, dependiendo de cuán amplia sea la difusión de la información una vez que se libera en el ciberespacio.

Legalmente, doxear puede ser un tema complejo y contencioso. El doxing se considera un ciberdelito, caracterizado por la investigación y diseminación de información privada acerca de un individuo en internet. Sin embargo, la legalidad del doxing depende del tipo y fuente de la información compartida.

En la mayoría de los países, la publicación de información confidencial sin la autorización del propietario es ilegal. Esto incluye datos personales, como direcciones, teléfonos, direcciones de correo electrónico, información de cuentas bancarias, etc. Algunos países tienen leyes que prohíben el compartir ciertos tipos de datos delicados (como registros médicos), incluso si otra fuente ya los ha hecho públicos. Sin embargo, en ciertas situaciones en las que los datos privados han circulado durante mucho tiempo, podría no considerarse una infracción de las normativas de privacidad.

La ley de fraude y abuso informático de los EE. UU. penaliza a quienes acceden a ordenadores sin autorización o evaden la autorización de acceso con mala intención o para su beneficio personal. Dependiendo de la gravedad del crimen perpetrado, las penas pueden ir desde cuantiosas multas de hasta 500.000 USD hasta largas sentencias de prisión. Por tanto, es imperativo reconocer que actividades como el acceso ilegal a bases de datos o el uso de programas malintencionados de software/spyware para vulnerar redes protegidas está terminantemente prohibido por la ley y puede acarrear graves penas a sus participantes.

En Europa, el RGPD (Reglamento General de Protección de Datos) les otorga a los individuos derechos sobre sus datos personales. Esto incluye el cómo las empresas recopilan, almacenan, procesan, usan, comparten, eliminan, transfieren y se deshacen de los datos personales. Según lo estipulado en el RGPD, cualquier organización hallada culpable de violar estas regulaciones podría enfrentarse a multas de hasta 20 millones de euros o un 4% de sus ingresos anuales, según lo que sea mayor.

En los EE. UU., los estados han adoptado leyes para penalizar actividades amenazantes perpetradas electrónicamente, incluyendo correos electrónicos, textos y publicaciones en medios sociales, clasificándolas como parte de ataques de doxing contra personas. Incluso aunque no siempre se hagan públicos los casos, existen repercusiones legales asociadas a la ejecución de tales actividades, y en la mayoría de los casos doxear se considera una actividad ilegal y sancionable.

Las repercusiones del doxing pueden ser muy amplias, dejando a los afectados en un estado de angustia psicológica a causa del miedo a ser rastreados o amenazados por desconocidos en posesión de su información privada. El daño a la reputación también es posible si los empleadores o asociados se topan con datos delicados publicados sin consentimiento. Además, el coste financiero de la recuperación de daños debido a robo de identidad y fraude de tarjeta de crédito podrían causar la sensación de encontrarse entre la espada y la pared.

El ciberacoso mediante mensajes directos que contengan amenazas o insultos en plataformas de redes sociales podrían crear una atmósfera en la que los individuos se sientan menospreciados ante sus pares que obtengan acceso a estas publicaciones. Además, divulgar datos de direcciones físicas hace posible el acoso directo, exponiendo potencialmente a la gente en riesgo físico.

Si usted cae víctima del doxing, es decir, es doxeado, es fundamental tomar acciones rápidamente para protegerse a usted mismo o a su organización de más daños.

Notificar a las autoridades

El primer paso después de ser doxeado es notificar a las autoridades. Dependiendo de la gravedad del ataque y las amenazas potenciales, puede ser necesario emprender acciones legales; por tanto, se recomienda contactar a la policía local para recibir ayuda y orientación. Las acciones legales pueden ser obligatorias en casos donde haya base para presentar cargos criminales contra los atacantes.

Monitorizar la actividad online

También es clave monitorizar las cuentas de redes sociales asociadas con su empresa o marca en caso de que los atacantes publiquen contenidos online difamatorias acerca de usted o su organización. Si esto llegara a ocurrir, es necesario reportar las publicaciones o comentarios ofensivos y eliminarlos de todas las plataformas. Configure alertas en Google para recibir notificaciones cuando aparezca contenido online relacionado con su nombre, lo que le permitirá tomar la delantera a potenciales atacantes.

Proteger sus datos

Es importante también proteger cualquier dato expuesto cambiando las contraseñas de todas las cuentas asociadas con el perfil de un usuario afectado (incluyendo direcciones de correo electrónico). Además, es necesario asegurarse de que toda la información delicada almacenada en servidores de la empresa esté cifrada mediante protocolos de cifrado fuerte. Esto ayuda a evitar los accesos no autorizados, incluso si los hackers se las arreglan para burlar las medidas de seguridad de datos implementadas por el equipo de TI de la organización. Por último, haga seguimiento a las direcciones IP que hayan accedido recientemente a las redes corporativas para ayudar a detectar actividades sospechosas antes de que causen daños graves.

Utilizar sistemas y políticas de prevención

Recuerde que, al enfrentarse a amenazas a la ciberseguridad, como el doxing, siempre es mejor prevenir que lamentar. Invierta el tiempo necesario para crear unas sólidas políticas de gestión de datos por los empleados y analizar los sistemas de seguridad de la compañía. Al hacerlo, las organizaciones pueden minimizar sus posibilidades de caer víctimas de ataques a futuro lanzados por adversarios decididos que busquen debilidades dentro de redes que podrían explotarse.

Es imperativo estar alerta y tomar las medidas esenciales al reaccionar a un doxer. Una vez que se logre la vigilancia, aprender cómo evitar el doxing puede ser el siguiente paso en la salvaguarda personal.

Para protegerse y no ser doxeado, fortifique su seguridad online y restrinja cuántos datos personales estén accesibles públicamente. Existen múltiples estrategias para lograr esto.

Protección por contraseñas seguras

Las contraseñas seguras (o contraseñas fuertes) son clave para protegerse de ataques de doxing. Para un nivel óptimo de seguridad, las contraseñas deben contener una combinación de mayúsculas y minúsculas, números y símbolos con al menos 8 caracteres de longitud. Usar contraseñas diferentes para cada cuenta es fundamental para garantizar que, si una contraseña queda expuesta, las demás permanezcan seguras.

Dele un vistazo a nuestro curso acerca de las prácticas recomendadas para contraseñas.

Autenticación de múltiples factores

La autenticación de dos factores (2FA) y la autenticación de múltiples factores (MFA) añaden capas de seguridad adicionales porque obligan a los usuarios a suministrar una combinación de nombre de usuario y contraseña, y además otro tipo de verificación, como un código enviado por SMS o correo electrónico, antes de poder acceder a su cuenta. Esto dificulta mucho a los atacantes el obtener acceso no autorizado, incluso si logran echarles el guante a las credenciales de la persona mediante el doxing u otros medios.

Limitar la información compartida online

Otra manera de protegerse contra los doxers es limitar la cantidad de información personal que comparte online, especialmente en foros online, páginas de redes sociales, o grupos de discusión, en donde la gente puede buscar objetivos usando palabras clave relacionadas con la ubicación, cargo o intereses. Tenga cuidado también al publicar fotos, y evite poner detalles que pudieran servir para identificar dónde vive o trabaja a menos que sea necesario.

No solo es fundamental proteger su información, sino también la de los que le rodean. Los amigos o familiares que no comprendan bien lo fácil que puede resultar para agentes malintencionados hallar su información personal también deben ser capacitados en buenas prácticas de higiene de datos.

La detección de los doxers es una parte fundamental de la protección contra los ciberataques. El personal de TI, los expertos en ciberseguridad, propietarios de empresas y líderes corporativos deben comprender las tácticas de los doxers para detectar y abordar eficazmente las amenazas potenciales.

Monitorización de seguridad

Una manera de detectar a los potenciales doxers es monitorizar las cuentas de redes sociales y otras plataformas online. Esto incluye la revisión frecuente de perfiles para detectar actividades sospechosas, como nuevos seguidores o publicaciones con información personal acerca de un individuo u organización. Cualquier conducta dudosa debe ser informada rápidamente para permitir que se tomen las medidas necesarias. Adicionalmente, se deben realizar regularmente auditorías de seguridad para identificar vulnerabilidades que pudiesen haber sido pasadas por alto.

Análisis de registros de tráfico

Otro método para detectar a los doxers es analizar los registros de tráfico de la red para identificar patrones o actividades inusuales que pudiesen indicar malas intenciones por parte de fuentes externas. Por ejemplo, grandes cantidades de datos enviados desde una única fuente podrían sugerir un intento no autorizado de recopilar información delicada acerca de los sistemas y redes de una organización. La monitorización de este tipo de actividades puede ayudar a los equipos de TI a identificar potenciales amenazas antes de que se vuelvan problemas serios para la posición de seguridad de la empresa.

Capacitación y entrenamiento a empleados

Para protegerse del doxing, las empresas deben capacitar a sus empleados en la importancia de abstenerse de compartir demasiada información personal online y usar contraseñas seguras al acceder a cuentas delicadas, como las páginas web de instituciones financieras. Los empleados deben estar advertidos acerca de no hacer clic en enlaces enviados por remitentes desconocidos, porque esto podría ponerlos en riesgo de robo de identidad u otros delitos informáticos como el phishing.

El doxing es una seria amenaza para la seguridad y privacidad online. Para mitigar el riesgo de ser doxeado, es fundamental tomar medidas como cambiar y reforzar contraseñas regularmente, usar autenticación de múltiples factores, monitorizar la presencia online y mantener capacitados a los empleados para que puedan detectar acciones de doxing.

Proofpoint es una empresa líder en ciberseguridad a nivel mundial que puede ayudarle a implementar estas medidas para protegerse de acciones criminales informáticas como el doxing. Descubra más acerca de Proofpoint y sus tecnologías impulsadas por IA, y de cómo sus plataformas defensivas pueden combatir el doxing, pérdida de datos y otras amenazas de seguridad.