Doxxing, c'est quand un attaquant divulgue une collection de vos informations personnelles en ligne, généralement avec la puissance des foules de haine Internet derrière eux. Pour la victime, l'impact peut aller de l'embarras du public à des incidents d'écrasement mortels.
Qu'est-ce que Doxxing?
Doxxing (parfois orthographié doxing) est la collecte d'informations personnelles sur des individus et leur diffusion sur Internet. L'intention est de causer à l'individu doxxed une sorte de problème ou d'embarras ou de l'ouvrir aux abus et aux trolls des autres. Il s'agit d'une menace en ligne simple mais puissante pour votre vie privée et, dans certains cas, pour votre sécurité.
Le Doxxing n'est pas nouveau. Le nom vient du terme documents de dumping. Les documents ont été raccourcis en docs, qui rime avec dox, et ainsi doxxing a été inventé. Il existe sous différentes formes depuis les années 1990 alors qu'il s'agissait d'un outil réservé aux hackers. Il était principalement utilisé pour causer des problèmes aux pirates informatiques rivaux. Il s'est transformé en une arme que même les internautes occasionnels peuvent utiliser contre n'importe qui d'autre.
Les acteurs de la menace recherchent la cible, recueillent des informations, puis rendent ces informations publiques. Si la cible est un individu, les informations diffusées sont déjà disponibles sur Internet quelque part – si vous savez où les chercher – et appartiennent au domaine public. Il n’ya pas de piratage, juste des recherches.
Hacktivistes et Doxxing
Le terme hacktiviste a été inventé pour la première fois par un membre de la Culte de la vache morte, un groupe de hackers qui se réunissait dans un abattoir abandonné à Lubbock, au Texas, au milieu des années 1990. C'est un mot-valise qui rejoint le piratage et l'activiste.
Les hacktivistes se considèrent comme des cyber-guérilleros luttant du côté de la justice et de la société. Ils mènent des attaques contre des organisations qui – en ce qui les concerne – méritent d'être punies ou, du moins, méritent que des informations privées concernant leur conduite professionnelle soient rendues publiques. Les hacktivistes cibleront également des individus au sein d'une organisation.
Par exemple, le Anonyme collectif et ses partisans sur le 4Chan site Web peut lancer des campagnes massives contre les victimes doxed. 4Chan compte des millions de membres. Ils peuvent livrer un tsunami de trolling en ligne, d'appels téléphoniques de farce et de courriels menaçants ou abusifs. Ils demanderont également qu'une victime soit renvoyée de son travail ou démise de ses fonctions publiques.
Les hacktivistes peuvent utiliser des techniques de piratage traditionnelles pour obtenir des documents d'entreprise sensibles.
Ransomware et Doxxing
Le ransomware est une cybercriminalité dans laquelle tout le réseau de la victime est chiffré et une rançon en crypto-monnaie est demandée en échange de la clé de déchiffrement. Certaines entreprises ne paient pas la rançon, elles effacent leurs systèmes et restaurent leurs données à partir de sauvegardes à la place.
Les victimes de ransomware qui refusent de payer la rançon sont parfois soumises au chantage des acteurs de la menace avec la publication de documents d'entreprise sensibles à moins qu'elles ne paient une rançon de crypto-monnaie. Cela combine le doxxing d'entreprise avec un ransomware.
L'impact potentiel
Il n’est pas exagéré de dire que la vie des gens a été ruinée par le doxxing. Les attaques de Doxxing ont amené les victimes à subir des campagnes de masse de honte et d'humiliation publiques, elles ont perdu leur emploi, se sont séparées de leurs partenaires, ont dû fermer leur présence en ligne et même se cacher.
Et bien sûr, parfois la victime est un individu innocent et mal identifié. Dans un cas de saisie de titre un professeur de l'Université de l'Arkansas a été nommé à tort comme participant à un rassemblement pour la suprématie blanche de Charlottesville, au Texas.
Pour tenter d'identifier ceux qui avaient assisté à la marche, les opposants au rassemblement ont examiné des images et des photographies. L'un des marcheurs portait un t-shirt Arkansas Engineering. C'était une étape facile de vérifier personnel enseignant de le site Web de l'Université.
Le professeur agrégé Kyle Quinn avait une ressemblance passagère avec l'homme du rassemblement, il a donc été publiquement déclaré être l'homme de la photo. Ses collègues, amis et famille ont été bombardés et bombardés de messages de colère et d'abus, et des demandes ont été envoyées à l'Université pour renvoyer Quinn.
Pour Quinn, il était facile de prouver qu’il n’était pas l’homme sur la photo. Heureusement, il assistait à une fonction universitaire à plus de 1000 miles de là au moment du rassemblement et son innocence était incontestable.
UNE erreur de la police Un homme innocent a été identifié à tort comme un cycliste qui avait blessé un enfant sur une piste cyclable à Bethesda, dans le Maryland. Ils ont affiché la date incorrecte sur un appel pour information. Peter Weinburg – l'homme innocent – avait emprunté la piste cyclable à la date que la police a utilisée dans son appel, mais pas à la date réelle de l'agression.
Weinburg a été rapidement victime d'un doxxing, avec un contrecoup d'une telle férocité que la police a dû patrouiller dans les environs de son domicile pour le protéger. Doxxing peut trop facilement amener l'intimidation et la pêche à la traîne en ligne dans le monde réel.
Doxxing et Swatting
Swatting fait des fausses communications à la police pour la convaincre d’envoyer une équipe d’intervention armée au domicile d’une victime.
Les attaques par écrasement nécessitent que quelqu'un usurpe l'identité de la victime. Ils décrivent un crime qu'ils vont commettre ou qu'ils ont déjà commencé. UNE Special Weapons and Tactics (SWAT) ou une autre équipe armée des forces de l'ordre assistent à la scène. C’est une situation critique avec des agents chargés de l’application de la loi et une victime complètement confuse.
En 2017, en colère contre un pari de 1,50 USD sur un jeu de Call of Duty, Casey Viner a demandé à Tyler Barriss, tapageur et canular connu, d'écraser un autre joueur en ligne. Ils ont doxxed la victime mais ont récupéré une adresse expirée. Barriss a lancé un appel de canular et a envoyé une équipe d'intervention armée à la mauvaise adresse. Andrew Finch, sans aucun lien avec le différend sur le pari, a été abattu. Barriss purge une peine de 20 ans.
Comment les Doxxers obtiennent vos informations
Les doxxers peuvent rechercher de nombreux endroits pour tenter de découvrir une victime.
Intelligence Open Source
Le renseignement open source est toute information qui peut être obtenue légalement sur un individu à partir d'Internet. Puisqu'aucun crime n'a été commis lors de la collecte de l'information, et parce que l'information est factuelle – en supposant que la victime a été correctement identifiée – de nombreuses formes de doxxing ne sont pas illégales.
La recherche d'informations sur les listes électorales ou les registres est par exemple parfaitement légale. Ce sont des informations du domaine public. C’est ce que le Open source veux dire. C'est une source d'information ouverte, par opposition à une source fermée. Il n’a aucune connexion avec les logiciels open source. Cela étant dit, il existe plusieurs progiciels gratuits et open source qui peuvent être utilisés pour collecter des informations open source sur des individus.
Courtiers en données
Les entreprises qui collectent, stockent et profitent du référencement croisé et de la vente de vos données sont appelées courtiers en données. Tout ce que vous faites intéresse quelqu'un, en particulier les sociétés de marketing Big Data. Si vous recherchez quelque chose en ligne, recherchez un achat ou achetez quelque chose en ligne, les détails de ces actions sont un contenu vendable pour les courtiers en données.
Une source d'information typique pour un courtier de données est le partenariat avec d'autres organisations. Ils sont autorisés à transmettre vos coordonnées et les détails de vos transactions à leurs partenaires car vous l'avez accepté lorsque vous avez utilisé leur site. Une liste des personnes avec lesquelles ils partageront vos données est enfouie dans les petits caractères des conditions générales ou de la politique de confidentialité de nombreux sites Web.
Enregistrements Whois
L'enregistrement d'un domaine nécessite que vous remplissiez un formulaire. Les données de ce formulaire sont accessibles à tous. Certains bureaux d'enregistrement proposent de masquer ou de restreindre les données moyennant des frais, mais tous ne fournissent pas ce service.
Vous pouvez utiliser l'un des nombreux services whois sur Internet pour rechercher les entrées dans la base de données whois. Certains systèmes d'exploitation offrent un accès direct à la base de données whois, permettant aux requêtes d'être exécutées par programmation.
EN RELATION: Comment utiliser la commande whois sous Linux
Des médias sociaux
La personne moyenne publie une énorme quantité d'informations qui peuvent être utilisées pour les identifier, sa famille, la localité où elle vit, son adresse, son numéro de téléphone, les personnes avec lesquelles elle s'associe, où elle travaille, ce qu'elle fait pendant votre temps libre, et bientôt. Tout cela peut être utilisé pour reconstituer votre identité et fournir des indices aux acteurs de la menace pour trouver plus d'informations sur vous.
Vous pourriez donner d'autres informations sans vous en rendre compte. Les images que vous publiez en ligne peuvent contenir des données incorporées, avec l'heure, la date et le lieu où l'image a été prise dans le métadonnées du fichier image.
Violations de données
Les violations de données semblent être une réalité quotidienne. Ces bases de données divulguées peuvent contenir une multitude d'informations, notamment votre nom, mot de passe, numéro de sécurité sociale, adresse personnelle, coordonnées bancaires, détails de carte de crédit, adresses e-mail, numéros de téléphone fixe et cellulaire, et ainsi de suite. Tout cela se retrouve sur le Dark Web et les forums de hackers.
Si quelqu'un connaît votre nom et le voisinage général dans lequel vous vivez, il peut rechercher dans les bases de données divulguées et trouver des candidats potentiels qui pourraient être vous. Le croisement des informations contenues dans les violations de données avec les informations dont ils disposent déjà à votre sujet leur permet de vérifier rapidement s'ils vous ont identifié ou non.
Ingénierie sociale
L'ingénierie sociale est un moyen pour les fraudeurs de renforcer la confiance et la familiarité avec leur victime, tout en extrayant lentement des informations d'eux sans que la victime s'en rende compte. Cela peut se produire dans le monde numérique sur les plateformes de médias sociaux ou dans le monde physique.
Doxxing en tant que service
Doxxing-as-a-Service est disponible sur le Dark Web. Ils mèneront une attaque doxxing sur la victime et leur factureront des frais pour que leurs informations personnelles soient supprimées.
Comment vous protéger contre le Doxxing
Soyez prudent. Tout ce que vous dites ou publiez sur Internet peut être fouillé et agité en public par ceux qui cherchent à vous miner ou à vous attaquer.
N'utilisez pas votre vrai nom
Lorsque vous rejoignez un site de réseau social, un forum ou toute autre plateforme en ligne, choisissez un nom d'utilisateur qui ne reflète pas votre véritable identité. Si vous vous disputez ou si quelqu'un s'indigne des opinions que vous avez exprimées et que c'est le type de personne qui envisagera de vous faire du xxisme, vous serez mieux protégé avec un nom d'utilisateur totalement indépendant.
Utilisez un VPN
Un VPN aidera à maintenir votre anonymat. Votre adresse IP n'est pas exposée aux plateformes, services et sites Web auxquels vous vous connectez. Cela rend le back-tracing beaucoup plus difficile. Il crypte également votre trafic, ce qui rendra l'utilisation du Wi-Fi public beaucoup plus sécurisée.
Soyez prudent avec les médias sociaux
Presque tout ce que vous publiez sur les réseaux sociaux peut être utilisé comme indice de votre véritable identité. Les photographies de la façade de votre maison, par exemple, permettent aux doxxers de vérifier qu'ils ont trouvé la bonne adresse en comparant cette photo avec l'image sur Google Street View pour l'adresse qu'ils soupçonnent d'être la vôtre.
Utilisez les contrôles de confidentialité sur la plate-forme de médias sociaux pour restreindre autant que possible l'accès à vos publications et autorisez uniquement les amis et la famille de confiance à se connecter et à voir vos mises à jour. N'acceptez pas les demandes de connexion d'étrangers. Demandez-vous, pourquoi voudraient-ils se connecter à vous?
Demander la suppression de vos données
Tout le monde peut demander aux courtiers en données de supprimer vos informations personnelles de leurs bases de données.
Google, Bing, Yahoo et d'autres moteurs de recherche vous permettent de demander que vous soyez supprimé des résultats de recherche. Mais sachez qu'ils ne se conforment pas toujours. S'ils soutiennent que les informations servent un intérêt légitime pour le public, ils ne supprimeront pas vos données.
Si vous êtes citoyen européen, vous pouvez demander la suppression des données de toute organisation qui, selon vous, détient vos informations personnellement identifiables. le Règlement général sur la protection des données vous donne le droit de voir quelles données une entreprise détient sur vous et, si vous le souhaitez, de supprimer ces données. Et cela ne couvre pas seulement les organisations européennes. Le RGPD couvre toute organisation, quelle que soit sa géographie, qui traite, stocke ou transmet des données de citoyens européens.
Même avec le RGPD, vous n’avez pas carte blanche droit à la suppression des données, mais vous avez le droit d'en faire la demande. Une organisation doit avoir une raison convaincante et valable de continuer à conserver vos données si vous leur avez demandé de les supprimer. Par exemple, vous ne pouvez pas essayer de faire supprimer vos données d'une personne avec laquelle vous avez un bail en cours ou un plan de location-vente. Le fait que vous soyez au milieu d'un contrat financier serait une raison acceptable pour eux de refuser la suppression des données.
Si la perspective de contacter de nombreux sites Web et de demander à être supprimé vous fait perdre le cœur, vous pouvez envisager d'utiliser des services de suppression de données tels que Supprime moi ou Canard de la vie privée. Moyennant des frais, ces sociétés vous retireront de toutes les sociétés de courtage de données, de recherche sur le Web et d'autres sociétés de trading de données courantes, et réduiront considérablement votre empreinte en ligne. Le site Web Privacy Duck vous explique même comment ils le font et vous montre comment vous pouvez fais-le pour toi, gratuitement.
Utiliser des adresses e-mail sacrificielles
Utilisez des fournisseurs de messagerie gratuits tels que ProtonMail et créez des adresses e-mail jetables. Utilisez-les comme e-mail d'inscription pour les réseaux sociaux et les autres plateformes que vous rejoignez. ProtonMail offre un autre degré de séparation car vous pouvez créer une adresse e-mail sans pour autant fournir une adresse e-mail existante pendant le processus.
Si vous êtes Doxxed
- Le signaler. Signalez-le au support client de la plateforme sur laquelle les informations ont été publiées et demandez leur retrait. La plate-forme peut avoir une politique sur le doxxing et l'affiche peut être interdite.
- Contactez la police. Si vous recevez des menaces ou des abus suite à un doxxing, signalez-le à la police. Si les informations publiées ne sont pas accessibles au public, un crime peut avoir été commis en les achetant et en les affichant.
- Enregistrer le doxxing. Prendre des captures d'écran des informations en ligne, conserver les e-mails abusifs et capturer les Tweets avant qu'ils ne soient supprimés fournira des informations que la police peut utiliser dans son enquête.
- Avertissez votre employeur, vos collègues, vos amis et votre famille. Ils peuvent faire l'objet de courriers haineux et d'abus simplement pour vous connaître ou pour vous employer.