Doxing, il nemico della privacy

• Cos’è il doxing?

• Tipologie e metodi di doxing

• Come avviene il doxing?

• Esempi famosi di doxing

• Il doxing è una pratica illegale?

• Tutelarsi dal doxing

In informatica, il doxing o doxxing è una pratica che prevede di diffondere via Internet informazioni personali e sensibili riguardanti una persona fisica con l’intento di generare un attacco malevolo.

Il doxing è un attacco alla sfera privata della persona condotto da un hacker.

Questa pratica prevede la pubblicazione e quindi, la distribuzione di informazioni personali tra cui:

• Il vero nome, o vari pseudonimi;
• L’indirizzo di residenza;
• Il luogo di lavoro;
• Il numero di telefono;
• Fotografie pubblicate sui social, o privatamente inviate a qualcuno;
• Fedina penale;
• Le conversazioni private;
• Dettagli personali imbarazzanti;
• I dati relativi al conto bancario della vittima.

La pratica doxxing esisteva ed era già diffusa ancora prima della nascita di Internet. Recentemente, la pratica di doxing è stata impiegata anche dal gruppo Anonymus nel 2015, il quale ha pubblicato una lista di presunti membri del Ku Klux Klan.

Dagli anni novanta in poi, il termine doxing è entrato d’uso comune per indicare la pratica di divulgazione di informazioni personali su Iternet contro la volontà delle vittime.

Infatti, persino tra diverse organizzazioni di criminali informatici avverse, l’attività di doxxing era impiegata per “svelare l’identità segreta” dei singoli membri: l’uno “distribuiva i documenti” dell’altro.

Fu così che il termine “docs” (documenti) si è trasformato in “dox”, e alla fine è diventato un verbo a sé (ovvero senza il prefisso “drop”).

Gli attacchi di doxing non sono tutti uguali.

I più pericolosi attacchi doxxing consistono in molestie ai familiari, il furto d’identità, minacce o forme di cyberbullismo, arrivando addirittura all pura persecuzione.

Notoriamente, l’attaccante riesce a raccogliere quante più informazioni possibili sulla vittima attraverso diverse fonti:

• Cyberstalking sugli account dei social media
  

  Gli account personali all’interno delle piattaforme social sono una preziosa fonte di informazioni e svolgono un ruolo fondamentale negli attacchi doxing: chiunque può visitarli e carpire ogni dettaglio.
  Un utente malintenzionato, vedendo che il profilo è aperto e visibile può approfittarne per trarne ogni informazioni utile.

• Ricerche WHOIS sui nomi di dominio

  Durante la registrazione di un sito web di un’azienda, il webmaster può scegliere se fornire o meno informazioni delicate come numeri di telefono, indirizzi di casa e dell’ufficio, la propria e-mail. Basta una rapida ricerca per scoprire queste informazioni, anche per chi è alle prime armi con le attività di hacking;

• Tracciamento dei nomi utente
  

  I cybercriminali hanno il potere di tracciare i nomi utenti sulle app e siti, generando un profilo basato sul comportamento del bersaglio. Quest’azione risulta un gioco da ragazzi per siti di scambi d’opinione come Twitter e Reddit: gli utenti mirati credono di essere anonimi ma le loro caratteristiche (credo politico, cura della scrittura, citazioni, preferenze cinematografiche ecc.) sono individuabili con efficacia. Tutte queste informazioni sono raccolte insieme, come arma principale di ricatto;

• Furto di dati da registri pubblici
  

  Sono facilmente consultabili online, dalle piattaforme di uffici e sedi anagrafiche.
  Questi sono utili, per esempio, ai datori di lavoro per fare una ricerca su un candidato, per verificare se ha precedenti penali o se i titoli di studio sono reali. Purtroppo, chiunque può accedere a questi registri;

• Phishing
  

  Il doxer, fingendo di essere una piattaforma che usate, ad esempio, può chiedervi via e-mail il nome utente, password e carte di credito.
  Può anche indurvi a cliccare su un link sospetto, con l’obiettivo di passare al setaccio il vostro dispositivo;

• L’utilizzo di siti intermediari dedicati al targeting degli annunci

  Raccolgono dati degli utenti, tendenze e abitudini di ricerca. Sebbene le agenzie pubblicitarie lo utilizzino spesso, chiunque può accedere a questo enorme set di dati. Quando il doxer cerca un singolo utente, può facilmente tracciare il dispositivo utilizzando le coordinate GPS e gli indirizzi IP;

• Servizi di ricerca telefonica inversa
  

  Se il proprio numero di cellulare è disponibile online, sarà possibile l’arrivo di spam e truffe.
  Quando il numero è stato identificato, può essere utilizzato per una ricerca inversa per scoprire maggiori informazioni sul suo proprietario;

• Sniffer
  

  Analizzano e monitorano il traffico di rete, usati anche per filtrare le informazioni provenienti da una particolare fonte. Dopo la violazione dei protocolli di sicurezza della rete, possono raccogliere informazioni come password e credenziali.

Le celebrità sono il bersaglio più frequente, ma chiunque può essere vittima di doxing.

Questo fenomeno non si limita esclusivamente a persone vulnerabili o professioni specifiche. Chiunque esprima un parere su Internet potrebbe potenzialmente diventare vittima di doxxing.

Condividendo la nostra quotidianità nelle nostre piattaforme, grazie alla crescente digitalizzazione, è aumentata la condivisione di dati finiti nelle mani dei cybercriminali.

Un utente con cui avete litigato può esaminare i vostri profili social, scrutare ogni vostra foto e post compromettente.
Salva ogni dettaglio imbarazzante. Fa gli screenshot alle chat, cerca di identificarvi chi siete nella vita reale con la precisione di un detective.

Tutte queste informazioni saranno date in pasto pubblicamente con l’obiettivo di danneggiarvi.

Nessuno è immune al doxing.

Anche chi è attento a non condividere informazioni sensibili, può essere colpito dal phishing e numerosi malware, ideati per rubare dati.

Questa pericolosa invasione della privacy, mirata alla gogna pubblica virtuale, può addirittura evolversi in una vera persecuzione. Rivelare l’identità segreta di chi lotta per i diritti umani, ad esempio, in paesi dove vige la censura e la repressione, può tramutarsi in una condanna.

Il doxing oltre a coinvolgere persone fisiche colpisce anche le associazioni, le ONG e le organizzazioni governative.

L’esempio più noto sono gli attacchi del gruppo hacker Anonymous, che hanno colpito governi di diversi paesi e associazioni criminali, divulgandone i dati riservati quando è stato ritenuto “necessario” da parte loro.
Nella “sede” italiana, Anonymous ha invitato persino le persone comuni a fare doxing, chiedendo dati riservati di individui sospetti coinvolti nei gruppi Telegram di revenge porn.

Fare doxing, anche in buona fede, è un’azione rischiosa.

Possiamo citare un esempio di doxing malriuscito oltreoceano: un gruppo di hacker ha rilasciato il nome di uno studente universitario, credendolo potenziale sospetto dell’attentato alla maratona di Boston. Si scoprì poi che il ragazzo era deceduto ancora prima dell’evento.

La maggior parte dei servizi e piattaforme online hanno politiche anti-doxing per preservare la sicurezza.

Se le informazioni sono già di dominio pubblico, o accessibili anche se “poco risapute”, il doxing non è illegale.

Invece, gli obiettivi come minacciare, intimidire, danneggiare l’immagine e l’onorabilità di qualcuno, diventano punibili a norma di Legge.
Ribadiamo che pubblicare informazioni personali o file privati rimane un reato.

Se qualcuno vuole metterci in ridicolo con informazioni scottanti, anche se “esposte”, come possiamo tutelarci?

Un criminale può riuscire ad ottenere informazioni riservate sulle vittime accedendo agli account e ai servizi che si utilizzano.
Per minimizzare i rischi di una violazione, basta seguire queste semplici regole:

• Cautela al condividere informazioni e materiale sui social network e nelle chat;
• Tenere gli account Facebook e Instagram privati;
• Non parlare dei dettagli della vita privata quando parlate con qualche sconosciuto via social;
• Non condividete i numeri di telefono;
• Non rendere disponibile la propria posizione geografica;
• Non riutilizzare mai le stesse password per tutti gli account;
• Proteggi i tuoi dispositivi con un PIN o una password;
• Usa l’autenticazione a due fattori, generalmente più sicura;
• Rimuovi profili, account e indirizzi e-mail obsoleti e non più attivi;
  
• Attenzione al phishing.

In caso di attacco doxing come comportarsi?

• Raccogliere e conservare le prove in maniera appropriata;
• Segnalare il problema alla piattaforma di social media dove sono stati pubblicati i dati;
• Blocca i contatti indesiderati;
• Chiedere aiuto alle forze dell’ordine;
•  Rivedere e aggiornare le impostazioni di privacy e sicurezza.