Seguramente no estarás al tanto sobre el término «doxing», sin embargo es algo que está ocurriendo a diario porque nos encontramos ante un mundo donde la tecnología avanza, pero también lo hace la ciberdelincuencia.
¿Qué es el Doxing?…
Pues sencillamente es el nombre que se le ha dado a la práctica de andar recopilando y compartiendo información en formato digital de los usuarios sin su consentimiento.
Los ciberdelincuentes adquieren dicha información realizando búsquedas en bases de datos online públicas, investigando en los perfiles de redes sociales de los internautas y llevando a cabo ataques de ingeniería social (campañas maliciosas a través de correos electrónicos, SMS o llamadas en las que suplantan la identidad de compañías u organismos para obtener información confidencial de las personas).
Debido a que no requiere conocimientos especiales ni demasiados recursos, el doxing se ha convertido en una práctica muy común. Además, las herramientas que se usan tienden a ser legítimas y públicas.
¿Cuál es el propósito de obtener toda esa información?…
Se trata de una práctica fraudulenta con el propósito a posteriori del ciberacoso, la extorsión o la coacción. Además, los delincuentes también pueden utilizar la información para acceder a los perfiles en redes sociales de las víctimas y suplantar así su identidad.
Generalmente, el doxing se practica contra dos grupos específicos de personas:
- Políticos, artistas y personajes públicos: a los que se desea dañar la reputación o vulnerar la intimidad de su ámbito personal. Los ciberdelincuentes pueden hacer públicas la dirección de su domicilio, fotografías o vídeos de su vida privada, etc.
- Menores de edad: en este caso, la información suele ser recopilada por niños o adolescentes que pretenden ridiculizar a otro menor o acosarlo en redes sociales. Las plataformas más habituales y usadas por ellos se están actualizando con nuevas funciones que pueden utilizarse para practicar ciberacoso o cyberbullying contra alguien. Además, los acosadores también crean perfiles falsos en redes sociales con los que se hacen pasar por la víctima para burlarse de ella o hacerle daño públicamente.
Fuentes desde la que se obtiene información y datos personales…
Los motores de búsqueda…
Los motores de búsqueda pueden proporcionar bastante información personal y el uso de sus funciones de búsqueda avanzada puede ayudar a los investigadores a encontrar la información correcta más rápido.
Además del nombre y los apellidos, el nombre de usuario también puede delatar los hábitos online de una persona. La práctica común de usar el mismo apodo en varios sitios web facilita las cosas a los detectives del ciberespacio, quienes pueden usarlo para agregar comentarios y publicaciones desde cualquier recurso público.
Las Redes Sociales…
Las redes sociales, incluidas las especializadas como LinkedIn, contienen una gran cantidad de datos personales y currículums vitaes.
Cualquier perfil público con datos reales es un expediente para el ciberdelincuente. Si es un perfil privado, es decir, abierto solamente para los amigos, basta una investigación meticulosa para recopilar datos, ya sea a través de los comentarios, las publicaciones de los amigos, etc.. No digamos el hecho de que un ciberdelincuente se haga pasar por un reclutador de empleo, algo muy visto actualmente incluso en la Red Social de Facebook: los anuncios de empleo falsos.
La Ingeniería Social…
Un sello distintivo de muchos ataques, la ingeniería social, se aprovecha de la naturaleza humana para ayudar a los ciberdelincuentes a obtener la información que buscan. Usando la información disponible públicamente sobre una marca como punto de partida, se puede contactar con la víctima y persuadirla para que entregue su propia información. Por ejemplo, puede aparecer disfrazado de administrador médico o representante de un banco para tratar de sacar información a una víctima, una estrategia que funciona mucho mejor si se utilizan pinceladas de verdad.
Las Fuentes Oficiales…
Las personas públicas tienden a tener más dificultades para mantener el anonimato en la red, pero eso no significa que otras personalidades famosas sean los únicos que necesitan proteger su información personal.
Se puede usar a un directivo de una empresa para traicionar la confianza de una posible víctima de doxing, utilizando, por ejemplo, su nombre completo y una foto en la página corporativa Acerca de nosotros o información de contacto completa en un sitio departamental. Parece inocente, pero la información general de la empresa te acerca a la persona geográficamente y la foto puede llevarte a su perfil en la red social.
Las actividades comerciales también suelen dejar rastros en Internet y, por ejemplo, hay bastante información sobre los fundadores de empresas a disposición del público en muchos países.
El Mercado Negro…
Los métodos más sofisticados incluyen el uso de fuentes no públicas, como bases de datos comprometidas que pertenecen a entidades gubernamentales y empresas.
La venta de datos personales en la Dark Web, desde escaneos de pasaportes, hasta cuentas de aplicaciones bancarias.
Recopiladores de Datos Personales…
Los investigadores/ciberdelincuentes subcontratan parte de su trabajo a los brókers de información, empresas que venden datos personales recopilados de diversas fuentes. Una agencia de datos no es una empresa delictiva personalizada; los bancos utilizan datos de los corredores, al igual que las agencias de publicidad y contratación. Desafortunadamente, no a todos los brókers de información les importa quién compra los datos.
¿Qué podemos hacer si se filtran nuestros datos?…
Eva Galperin, directora de ciberseguridad de Electronic Frontier Foundation, sugiere que si te enteras de que se ha utilizado indebidamente tu información personal, debes ponerte en contacto con las redes sociales en las que los investigadores han publicado tus datos. Comienza con el servicio de atención al cliente o el soporte técnico. La divulgación de información privada sin el consentimiento del propietario constituye normalmente un incumplimiento del acuerdo de usuario. Esto no resolverá el problema por completo, sí debería reducir el daño potencial.
Eva también recomienda bloquear tus cuentas de redes sociales o encontrar a alguien que administre tus cuentas durante algún tiempo después de un ataque. Al igual que otras medidas disponibles posteriores a la infracción, esto no podrá deshacer los daños, pero sí te ayudaría a tranquilizarte y poder evitar algunas situaciones difíciles online.
Cómo protegerte del doxing…
Es mejor reducir la probabilidad de una filtración de datos que lidiar con sus consecuencias. Sin embargo, conseguir la inmunidad no es fácil. Por ejemplo, difícilmente puedes influir en los volcados o filtraciones de bases de datos gubernamentales o de redes sociales. Sin embargo, sí puedes dificultar el trabajo de los investigadores.
Nunca reveles tus secretos en Internet…
En la medida de lo posible, mantén siempre tus datos personales fuera de Internet (resulta complicado porque hoy día vivimos en el mundo de la era digital), especialmente tu dirección, número de teléfono y fotos. Asegúrate de que las fotos que publiques no contengan etiquetas geográficas y, de igual modo, que los documentos no contengan información privada.
Comprueba la configuración de tus cuentas las Redes…
Te recomendamos elegir una configuración de privacidad estricta en las redes sociales y los servicios que usas, «dejar los perfiles abiertos solo para amigos» y monitorizar tu lista de amigos con regularidad. Puedes utilizar las instrucciones paso a paso de nuestro portal para configurar tus redes sociales y otros servicios.
¿Cómo blindar la información frente al ‘doxing’?…
Usar una contraseña diferente para cada cuenta puede ser una molestia (no tiene por qué serlo), pero es una protección de vital importancia. Si usas la misma contraseña en todas partes y se filtra por error, ni siquiera la configuración de privacidad más estricta te va ayudar.
Los perfiles en redes sociales deben estar correctamente protegidos, por lo que es necesario revisar la configuración de privacidad establecida y modificarla si se requiere. Además, no es recomendable publicar información que pueda ser utilizada por terceras personas con fines maliciosos, como el número de teléfono, la dirección de la casa o del colegio de los menores, datos de localizaciones habituales, fotografías que puedan comprometer a algún miembro de la familia o a amigos, etc.
Debemos practicar de vez en cuando el «egosurfing» en Internet, es decir, introducir los datos personales en Google u otro buscador (nombre y primer apellido entre comillas) para saber qué información existe sobre nosotros en la Red. Esta práctica brinda la posibilidad de controlar dicha información, pudiendo eliminar o solicitar la supresión de contenido privado o inapropiado con el fin de proteger nuestra identidad digital.
Revisar los permisos que otorgamos a las aplicaciones descargadas y conceder únicamente los necesarios para el correcto funcionamiento de estas.
Instalar y mantener actualizados y en funcionamiento un antivirus y un antimalware para proteger la información del software malicioso.
Todas las redes sociales cuentan con herramientas de denuncia y centros de ayuda para frenar este problema. Internet Segura For Kids (is4k) ofrece toda esta información y, además, tiene una Línea de Ayuda en ciberseguridad, el teléfono gratuito 017, disponible para todo aquel que necesite orientación sobre el ciberacoso o cualquier otro delito.
