Co to jest doxing (doxxing)? Jak się chronić? Czy jest karalny?

Doxing (doxxing) to celowe zbieranie prywatnych informacji o konkretnej osobie z różnych źródeł w internecie i ich publiczne ujawnienie bez zgody tej osoby. Nazwa pochodzi od angielskiego documents (skrót docs – dox). Sprawca łączy pozornie niewinne dane rozproszone po sieci (nick z forum, zdjęcie z Instagrama, numer telefonu z ogłoszenia) i składa je w szczegółowy profil ofiary, który następnie publikuje.

Doxing nie wymaga zaawansowanych narzędzi hakerskich. Większość danych sprawcy znajdują metodami OSINT (Open Source Intelligence), czyli analizą publicznie dostępnych źródeł. Wystarczy cierpliwość, umiejętność wyszukiwania i znajomość mechanizmów działania sieci.

Jak przebiega doxing?

Typowy atak zaczyna się od jednego punktu zaczepienia: nicku, adresu e-mail, numeru telefonu albo zdjęcia. Sprawca szuka tego samego identyfikatora w innych serwisach, łączy znalezione fragmenty i stopniowo buduje coraz pełniejszy obraz. Źródłami danych są najczęściej profile w mediach społecznościowych (zwłaszcza te z otwartymi ustawieniami prywatności), fora internetowe, serwisy ogłoszeniowe, rejestry firm, a także bazy danych z wcześniejszych wycieków (dostępne np. w dark webie).

Część sprawców sięga po socjotechnikę: manipulują pracownikami firm lub serwisów, żeby wyłudzić dodatkowe informacje o ofierze. Inni korzystają z danych pochodzących z włamań na serwisy internetowe lub skradzionych baz haseł.

Dobrze ilustruje to prosty przykład. Andrzej pod nickiem „jaszo740″ kłóci się na forum wędkarskim. Jego oponent wpisuje ten nick w Google i znajduje identyczny profil na forum motoryzacyjnym: ten sam wiek, to samo miasto, podobny styl pisania. W starym ogłoszeniu o sprzedaży opon Andrzej zostawił numer telefonu. Od tego momentu efekt śnieżnej kuli robi resztę: numer prowadzi do konta na Twitterze, ono do profilu na Facebooku bez żadnych ograniczeń widoczności, a tam zdjęcia, lista znajomych i szczegóły z życia prywatnego.

Na końcu przychodzi publikacja. Zebrane dane trafiają na fora, media społecznościowe lub anonimowe serwisy, skąd trudno je usunąć.

Kto stoi za doxingiem?

Za doxingiem nie stoi jeden typ sprawcy. Motywacje są różne i właśnie to sprawia, że zjawisko jest tak trudne do przewidzenia. Najczęściej są to osoby działające z osobistej zemsty lub urazy: ex-partnerzy, uczestnicy internetowych kłótni, odrzuceni wielbiciele. Doxingiem posługują się też aktywiści polityczni i ideologiczni, traktujący ujawnienie danych jako formę „kary” za niepożądane poglądy.

Zdarza się, że za atakiem stoją zorganizowane grupy internautów, spontanicznie podejmujące „śledztwa” wobec osób uznanych za winne jakiegoś przewinienia (rzeczywistego lub wyimaginowanego). W części przypadków motywacją jest po prostu chęć zysku: sprawca grozi publikacją danych i żąda okupu.

Wspólnym mianownikiem jest natomiast to, że sprawcy zazwyczaj dobrze znają internet. Nie muszą być hakerami, ale wiedzą, jak szukać informacji, jak łączyć dane z różnych źródeł i jak je rozpowszechnić w sposób maksymalnie szkodliwy dla ofiary.

Kto najczęściej pada ofiarą doxingu?

Ofiarą doxingu może zostać każdy użytkownik internetu, ale niektóre grupy są narażone bardziej niż inne. Szczególnie często atakowane są osoby publiczne: youtuberzy, streamerzy, dziennikarze i politycy. Wysokie ryzyko dotyczy też aktywistów (zwłaszcza tych zajmujących się kontrowersyjnymi tematami), osób angażujących się w głośne dyskusje online oraz nastolatków, wobec których doxing bywa narzędziem cyberprzemocy szkolnej.

Jednym z najbardziej znanych przypadków doxingu na dużą skalę jest afera GamerGate z 2014 roku. Twórczyni gier Zoë Quinn stała się celem zmasowanego ataku po tym, jak jej były partner opublikował w sieci obszerny wpis z prywatnymi informacjami na jej temat. Użytkownicy forów 4chan i Reddit podchwycili sprawę i rozpoczęli kampanię nękania: ujawniono adres domowy Quinn, numer telefonu i prywatne zdjęcia. Quinn otrzymywała groźby gwałtu i śmierci, a w efekcie musiała opuścić własne mieszkanie. Atak rozszerzył się na inne kobiety z branży gier, w tym krytyczkę Anitę Sarkeesian i deweloperkę Briannę Wu. Wobec części z nich zastosowano również swatting.

GamerGate pokazał, że doxing to nie „żart” ani abstrakcyjne zagrożenie. Konsekwencje dla ofiar były realne: konieczność zmiany miejsca zamieszkania, wieloletnia terapia, wycofanie się z życia publicznego. Sprawa przyciągnęła uwagę FBI, choć ostatecznie nikomu nie postawiono zarzutów.

Czy doxing jest karalny w Polsce?

W polskim prawie nie ma osobnego przepisu penalizującego doxing, ale sprawca może odpowiadać na podstawie kilku regulacji. Najważniejszy to art. 190a Kodeksu karnego (stalking). Jeśli publikacja danych prowadzi do uporczywego nękania ofiary lub istotnie narusza jej prywatność, sprawcy grozi kara pozbawienia wolności od 6 miesięcy do 8 lat. Gdy ofiara w wyniku nękania targnie się na własne życie, kara rośnie do 2-15 lat. Ten sam artykuł obejmuje też podszywanie się pod inną osobę w celu wyrządzenia jej szkody.

Ujawnienie cudzych danych osobowych bez zgody może też stanowić naruszenie RODO. Ofiara ma prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych oraz domagać się odszkodowania na drodze cywilnej. Z kolei art. 107 ustawy o ochronie danych osobowych przewiduje karę grzywny, ograniczenia wolności lub pozbawienia wolności do 2 lat za bezprawne przetwarzanie danych.

W praktyce kwalifikacja prawna zależy od okoliczności konkretnego przypadku, więc warto skonsultować się z prawnikiem specjalizującym się w cyberprzestępczości.

Jak się chronić przed doxingiem?

Pełna ochrona nie jest możliwa, ale można znacząco utrudnić sprawcy zadanie.

Zacznij od ustawień prywatności w mediach społecznościowych. Na Facebooku i Instagramie ogranicz widoczność postów, zdjęć i informacji profilowych do znajomych. Dzięki temu dane nie będą indeksowane przez wyszukiwarki.

Stosuj różne pseudonimy na różnych platformach. Jeśli na każdym forum, w każdej grze i w każdym serwisie używasz tego samego nicku, wystarczy jedno wyszukiwanie, żeby połączyć wszystkie Twoje aktywności.

Oddziel dane prywatne od internetowych. Załóż osobny adres e-mail i (jeśli to możliwe) osobny numer telefonu wyłącznie do rejestracji w serwisach online. Do jednorazowych rejestracji korzystaj z tymczasowych skrzynek (np. 10 Minute Mail).

Korzystaj z VPN, żeby ukryć swój prawdziwy adres IP podczas aktywności w sieci. Adres IP może zdradzić Twoją przybliżoną lokalizację, a na niektórych platformach (komunikatory, gry, fora) jest widoczny dla innych użytkowników lub administratorów.

Sprawdź, czy Twoje dane nie wyciekły. Strona haveibeenpwned.com pozwala sprawdzić, czy Twój adres e-mail pojawił się w znanych wyciekach baz danych. Jeśli tak, zmień hasła do powiązanych kont.

Zrób kontrolowany doxing na sobie. Wpisz w Google swoje imię i nazwisko, pseudonimy, numery telefonów i adresy e-mail. Sprawdź, co da się znaleźć, i podejmij działania: usuń stare konta, ogłoszenia, komentarze. W UE masz prawo złożyć do Google wniosek o usunięcie nieaktualnych lub naruszających prywatność wyników wyszukiwania (tzw. prawo do zapomnienia).

Co to jest swatting?

Swatting to ekstremalna forma wykorzystania danych zdobytych w drodze doxingu. Sprawca składa fałszywe zgłoszenie alarmowe (np. o zakładnikach lub bombie) pod adresem ofiary, co skutkuje interwencją uzbrojonych jednostek specjalnych. Zjawisko to, choć najbardziej rozpowszechnione w USA, zdarzało się również w Europie. Swatting doprowadził już do śmierci niewinnych osób i stanowi jedno z najpoważniejszych zagrożeń związanych z ujawnianiem prywatnych danych w sieci.

Najczęstsze pytania