Qu’est-ce que le doxing, est-il illégal et comment l’éviter ?

Qu’est-ce que le doxing ?

Le doxing (également orthographié doxxing) désigne le fait de révéler les informations personnelles d’une personne en ligne. Le doxing est une forme de harcèlement en ligne qui consiste à exposer publiquement le vrai nom, l’adresse, l’emploi ou d’autres données d’identification d’une personne. Le doxing se produit sans le consentement de la victime, dans le but de l’humilier ou de la harceler.

Cette article contient :

Cette article contient :

Voir tous les Security articles

Cette article contient :

Le terme « doxing » vient du mot « documents ». La culture des pirates informatiques des années 1990 a raccourci le terme en « docs », puis en « dox », le « dropping dox » faisant référence à la récupération de documents ou d’informations personnelles (comme l’adresse physique d’une personne) pour ensuite les publier sur Internet. C’est le collectif de hackers Anonymous qui l’a fait connaître au grand public.

Que désigne le doxing ?

Aujourd’hui, le doxing désigne la publication en ligne des informations d’une personne sans son autorisation. Il peut également s’appliquer à la découverte de la véritable identité qui se cache derrière un nom d’utilisateur anonyme, et à son exposition en ligne.

Certaines attaques de doxing sont motivées par le harcèlement ou la vengeance, tandis que d’autres visent des personnes qui publient anonymement des commentaires racistes en ligne ou qui sont prises en train de promouvoir un discours de haine.

Cette pratique date de plusieurs décennies, mais elle est toujours employée et peut être très dangereuse. Une fois que l’adresse physique, le lieu de travail, le numéro de téléphone, l’adresse e-mail ou d’autres informations d’une personne sont connus, celle-ci peut devenir une cible facile.

Les attaques par doxing vont des plus bénignes, comme de fausses inscriptions à des listes de diffusion ou des livraisons de pizzas, aux plus dangereuses, comme le harcèlement de la famille ou de l’employeur de la victime, le harcèlement physique, le swatting, l’usurpation d’identité, les menaces et autres formes de cyberharcèlement.

Comment fonctionne le doxing ?

Les auteurs de doxing épluchent les sites Internet à la recherche de petits éléments d’information sur une personne, puis les assemblent pour révéler la véritable identité qui se cache derrière un pseudonyme. Ces données peuvent inclure le nom de la victime, son adresse physique, son adresse e-mail, son numéro de téléphone, etc. Ils peuvent aussi acheter et vendre des informations sur le Dark Web.

Les plus petits éléments d’information peuvent, une fois rassemblés, dévoiler l’identité de la personne derrière un pseudonyme.

Habituellement, le doxing commence par des disputes en ligne avant de s’intensifier jusqu’à ce qu’une des personnes impliquées recherche des informations sur son adversaire. Récemment, le doxing est devenu un outil populaire pour mener des guerres culturelles, avec des activistes ciblant ceux qui ont un point de vue opposé au leur. Beaucoup de célébrités, personnalités politiques et journalistes ont été victimes de doxing, avec pour conséquence des manifestations en ligne et même des menaces de mort.

Le doxing s’appuie principalement sur la recherche d’informations privées. Et si beaucoup de gens pensent qu’Internet est anonyme, ce n’est pas du tout le cas. Il existe de nombreuses façons d’être identifié en ligne.

Le doxing est-il illégal ?

Il n’existe pas de lois spécifiques contre le doxing en soi, il n’est donc pas illégal dans la plupart des juridictions. Au contraire, la légalité du doxing est déterminée au cas par cas. Si la compilation ou la publication d’informations accessibles au public est rarement illégale, il existe d’autres délits dont les auteurs de doxing peuvent être accusés. Ces crimes comprennent le harcèlement, le vol d’identité ou l’incitation à la violence.

Récemment, les gouvernements du monde entier ont commencé à adopter ou à proposer des lois anti-doxing. L’État américain du Kentucky a adopté une loi anti-doxing en 2021, de même que Hong Kong.

Aux États-Unis, l’Interstate Communications Statute (décret sur les communications interétatiques) et l’Interstate Stalking Statute (décret sur le harcèlement interétatique) peuvent aussi s’appliquer à certaines formes de doxing. Le doxing peut également constituer une violation des conditions d’utilisation de certains sites Web. Par exemple, Twitter interdit de publier les informations privées d’une autre personne sans son autorisation.

Le doxing est-il passible de prison ?

Oui, vous pouvez aller en prison si vous êtes auteur de doxing. Bien que le doxing en lui-même ne soit pas illégal, il peut contribuer à une autre infraction pénale comme le harcèlement, la traque, l’intimidation, l’usurpation d’identité ou l’incitation à la violence. Pour les personnes condamnées à une peine d’emprisonnement, le doxing fait généralement partie d’une stratégie plus vaste impliquant plusieurs infractions pénales.

Types de doxing

Les auteurs de doxing disposent d’un éventail de méthodes pour collecter des informations sur leurs victimes. Ils peuvent trouver votre adresse IP, passer au peigne fin vos profils sur les réseaux sociaux, acheter des données à des courtiers dédiés, utiliser des campagnes de phishing et même intercepter votre trafic Internet.

Doxing IP/FAI

Le doxing via IP (ou via FAI) consiste à obtenir votre adresse IP, qui est liée à votre emplacement physique. Ensuite, l’auteur de doxing utilise des techniques d’ingénierie sociale pour inciter votre fournisseur d’accès à Internet (FAI) à lui divulguer davantage d’informations vous concernant.

En utilisant une application d’usurpation d’appel pour masquer son numéro de téléphone derrière celui du FAI, l’auteur de doxing peut appeler votre fournisseur et se faire passer pour un membre de son équipe d’assistance technique. Il peut alors utiliser votre adresse IP pour demander le reste de vos informations client, qui incluent :

• Votre nom complet

• Votre adresse e-mail

• Votre numéro de téléphone

• Votre numéro de compte FAI

• Votre date de naissance

• Votre adresse postale

• Votre numéro de sécurité sociale

Cela nécessite plusieurs étapes, une certaine capacité de manipulation et un employé crédule, mais lorsque ce type d’escroquerie au support technique fonctionne, l’auteur de doxing peut obtenir de nombreuses données confidentielles en un seul coup de fil.

Doxing via les réseaux sociaux

Le doxing via les réseaux sociaux consiste à collecter des informations personnelles à partir de vos comptes sur les réseaux sociaux. Ces données peuvent inclure votre adresse, votre lieu de travail, vos amis, vos photos, ce que vous aimez et n’aimez pas, les lieux que vous avez visités, les noms des membres de votre famille et de vos animaux domestiques, etc.

Certaines de ces informations peuvent même fournir aux auteurs de doxing les réponses à vos questions de sécurité, qu’ils peuvent utiliser pour s’introduire dans vos autres comptes en ligne. C’est pour cela que vous devriez configurer tous vos comptes en mode privé.

Si vous êtes sur des plates-formes sociales en ligne telles que Reddit, 4Chan, Discord, YouTube ou autres, créez des noms d’utilisateur et des mots de passe différents sur chaque service. Si vous utilisez le même identifiant sur plusieurs plates-formes, un auteur de doxing pourrait relier vos comptes pour dresser un tableau détaillé de vos activités. Enfin, soyez toujours prudent lorsque vous révélez des informations personnelles sur les réseaux sociaux.

Doxing à l’aide des courtiers en données

Certains auteurs de doxing achètent des informations personnelles sur leurs cibles auprès de courtiers en données. En général, ces entreprises revendent leurs renseignements à des annonceurs, mais il existe aussi des moteurs de recherche de personnes proposant des dossiers complets à n’importe qui.

Les courtiers en données peuvent collecter leurs informations à travers divers canaux : documents publics (acte de mariage, permis de conduire, registre électoral...), cartes de fidélité (pour connaître vos habitudes d’achat en ligne et hors ligne), historique de recherche (recherches, sites visités, téléchargements). Ils peuvent même acheter des informations à d’autres courtiers en données.

De nombreuses données sont accessibles au public et risquent d’être utilisées contre vous par un auteur de doxing.

Phishing (hameçonnage)

Le phishing consiste à utiliser des communications frauduleuses pour inciter les victimes à divulguer des informations personnelles sensibles. Les auteurs de doxing peuvent utiliser des attaques de spear phishing contre des personnes spécifiques pour collecter des informations sur des victimes ciblées. Si le phishing a souvent l’usurpation d’identité pour but ultime, les informations obtenues peuvent tout aussi bien être utilisées dans des attaques de doxing.

Apprenez à reconnaître et à éviter les escroqueries par phishing visant votre identifiant Apple et d’autres attaques de ce type, et vous empêcherez les auteurs de doxing de vous tromper. Et pour une protection encore plus efficace, utilisez le meilleur logiciel antivirus possible, qui bloquera les attaques de phishing et vous protégera des pièces jointes malveillantes. Le logiciel antivirus d’Avast bloque les attaques de phishing, les logiciels espions et toutes les autres menaces qui peuvent exposer votre identité.

Sniffing

Le sniffing consiste à intercepter le trafic Internet entre l’expéditeur et le destinataire. Le trafic Internet circule en petits paquets de données. Un sniffer est un outil logiciel ou matériel capable de capter ces paquets et de lire les données qu’ils contiennent. Un auteur de doxing peut utiliser le sniffing afin d’intercepter le trafic Internet d’une personne et le passer au peigne fin pour trouver des informations personnelles.

Le moyen le plus simple pour vous protéger du sniffing est de télécharger un VPN, pour chiffrer vos activités sur le Web.

Recherches WHOIS

Le WHOIS est un service qui permet à quiconque d’obtenir des informations sur le propriétaire d’un domaine Internet. Vous pouvez configurer vos informations WHOIS pour qu’elles soient privées, mais si vous oubliez de le faire, votre nom, votre adresse, votre numéro de téléphone et votre adresse e-mail seront accessibles à toute personne qui consulte votre nom de domaine.

Qu’est-ce que le swatting ?

Le swatting consiste à appeler la police pour signaler une urgence grave, comme une alerte à la bombe ou une prise d’otages, à l’adresse de la victime. Une équipe du SWAT se rend sur place, pensant que l’urgence est réelle. Les streamers sont souvent la cible de swatting, les malfaiteurs cherchant à interrompre leurs diffusions en direct.

Bien qu’il puisse sembler être une simple farce immature, le swatting peut causer de graves dommages s’il est poussé trop loin. Un exemple tragique de swatting concerne un joueur adolescent contrarié par un pari de 1,50 $ perdu sur Call of Duty. Il a recruté un swatter connu qui a signalé une prise d’otages au domicile de son adversaire, mais avec une ancienne adresse où la victime visée n’habitait plus. Les policiers lourdement armés dépêchés sur place ont fini par tirer et tuer le résident non armé de 28 ans lorsque celui-ci a ouvert la porte.

Le swatting est un phénomène récent mais de plus en plus dangereux. Si la plupart des municipalités ne savent pas vraiment comment s’en préserver, la ville de Seattle (États-Unis) a décidé de prendre la situation en main. Elle a créé un registre anti-swatting pour que les personnes craignant d’être victimes de swatting y inscrivent leur adresse.

En cas d’appel ressemblant à une attaque de swatting, la police consulte ce registre avant d’intervenir. Cela signifie que la police sera un peu plus prudente pour agir, ce qui permettra d’éviter ces conséquences tragiques.

Exemples des conséquences du doxing

N’importe qui peut être victime de doxing : il suffit que quelqu’un ne vous apprécie pas ou soit suffisamment en désaccord avec vous pour se donner la peine de compiler et de divulguer vos informations. Parmi les victimes de doxing figurent les médecins qui pratiquent des IVG, des personnes innocentes accusées à tort de crimes, des membres de groupes racistes et des représentants des forces de l’ordre.

1997 : doxing anti-avortement

L’une des premières campagnes de doxing a débuté en 1997, lorsque des militants anti-avortement aux États-Unis ont ciblé des praticiens. Cet exemple de doxing insidieux impliquait un site Web appelé Nuremberg Files, qui publiait les informations personnelles de professionnels de santé pratiquant des IVG. En 2002, un tribunal a estimé que le site constituait une menace d’incitation à la violence, et il a été fermé.

2013 : doxing des attentats du marathon de Boston

Suite aux attentats qui se sont déroulés lors du marathon de Boston en 2013, des milliers de personnes se sont réunies sur le site du réseau social Reddit et ont tenté d’identifier l’auteur de l’attentat. Les utilisateurs ont fini par identifier à tort puis doxer plusieurs suspects, dont aucun n’était impliqué dans l’attentat.

2017 : doxing anti-fasciste

Quelques années plus tard, en 2017, des suprémacistes blancs ont défilé à Charlottesville, en Virginie, motivant certains contre-manifestants à doxer les participants. Plusieurs néo-nazis ont perdu leur emploi suite à l’annonce de leur participation à l’événement. Mais d’autres personnes innocentes ont été soupçonnées à tort de participer à la marche et inondées de courriers haineux et de menaces.

2019 : doxing contre la police à Hong Kong

Pendant les longues manifestations à Hong Kong entre 2019 et 2020, les manifestants ont effectué un doxing sur des milliers de policiers, ainsi que des partisans des forces de l’ordre de la ville. Les journalistes et les manifestants eux-mêmes ont également été victimes de doxing alors que les troubles se poursuivaient dans la ville.

2022 : doxing de Keffals

Récemment, Keffals, une activiste transgenre canadienne et créatrice de contenu, a été victime d’une campagne de doxing et de swatting très médiatisée, qui a duré plusieurs mois. Elle a été arrêtée après avoir été faussement accusée de comploter pour tuer sa mère et des membres du conseil municipal de London (en Ontario). Une fois libérée, le harcèlement de ses détracteurs a continué.

Keffal a déménagé plusieurs fois, mais ses adresses ont toutes été doxées. Après avoir récupéré son adresse, les harceleurs lui envoyaient des dizaines de commandes de livraison de nourriture adressées à son nom de naissance. Même après avoir quitté le Canada pour partir en Irlande du Nord, le doxing et le swatting ont continué.

La légitimité du doxing reste discutable : si la plupart des informations sont déjà disponibles sur Internet, il peut rapidement devenir néfaste lorsque des personnes innocentes sont impliquées.

Que faire si j’ai été doxé ?

Si vous avez été victime de doxing ou si vous le soupçonnez, vous devez enrayer la propagation de vos informations personnelles au plus vite. Voici quelques mesures simples à prendre immédiatement si vous pensez avoir été victime de doxing :

1. Recueillez des preuves. Prenez des captures d’écran de tout ce qui pourrait servir d’élément à la police.

2. Signalez le doxing aux plates-formes qui hébergent vos informations. Les sites comme Facebook et Twitter ont des conditions de service qui interdisent le doxing et doivent suspendre le compte de l’auteur du doxing.

3. Signalez le cybercrime, car le doxing est souvent un cybercrime, aux autorités locales compétentes.

4. Verrouillez vos comptes. Créez de nouveaux mots de passe forts pour vos comptes et stockez-les en toute sécurité dans l’un des meilleurs gestionnaires de mots de passe. Protégez vos comptes grâce à l’authentification à facteurs multiples, et renforcez vos paramètres de confidentialité sur tous vos comptes.

5. Demandez de l’aide à vos proches. Le doxing peut être une véritable épreuve psychologique. Évitez de tout gérer seul et parlez-en à votre famille ou à vos amis.

6. Changez de numéro de téléphone. Selon les informations divulguées, il peut être judicieux de changer de numéro de téléphone, de nom d’utilisateur ou tout autre élément permettant de vous identifier.

7. Protégez vos données contre les fuites. Avast BreachGuard peut surveiller le Dark Web et vous prévenir si vos informations personnelles y circulent. Il peut aussi supprimer vos informations des bases de données des courtiers pour limiter le nombre d’informations stockées sur vous.

Comment se préserver du doxing

Faire l’objet de doxing peut constituer un véritable traumatisme. La règle d’or pour éviter le doxing est de minimiser les informations disponibles sur vous en ligne. Apprenez à masquer votre adresse IP, à sécuriser vos comptes sur les réseaux sociaux et à rester anonyme en ligne.

Protégez votre adresse IP avec un VPN ou un proxy

Masquez facilement votre adresse IP en utilisant un VPN ou un proxy pour accéder à Internet. Ces outils vous raccordent à un serveur avant de se connecter à Internet. Ainsi, toute personne tentant de découvrir votre adresse IP ne verra que l’adresse IP du VPN ou du serveur proxy, la vôtre restant cachée.

Les proxys Web basés sur un navigateur sont souvent gratuits, mais ne protègent que le trafic de votre navigateur. Un VPN comme le VPN Avast SecureLine chiffre l’intégralité de votre connexion Internet. Il empêche quiconque de voir votre activité en ligne, ce qui est particulièrement important si vous utilisez un réseau Wi-Fi public non sécurisé.

Le VPN Avast SecureLine vous permet également de modifier votre emplacement virtuel à tout moment, vous offrant ainsi un anonymat renforcé et une protection solide.

Évitez les options de connexion tierces

De nombreux sites et applications vous encouragent à vous connecter à travers Facebook, Google, LinkedIn ou un autre service tiers. Si vous le faites, ces sites peuvent demander plus d’informations sur vous. Et plus vous reliez de sites à vos comptes en ligne, plus il est facile pour quelqu’un de compiler vos informations personnelles.

Le fait de se connecter à différents sites via son compte Facebook ou Google peut rendre particulièrement vulnérable à une violation de données. Si le mot de passe de votre compte fuite, un hacker peut accéder à tous les sites pour lesquels vous l’utilisez. Pour les pirates, il sera d’autant plus facile de collecter des données, et pour vous, il sera encore plus difficile de verrouiller vos comptes.

Paramétrez bien vos comptes de réseaux sociaux

Vos profils sur les réseaux sociaux peuvent en dire long sur vous : emplacement (parfois même votre adresse complète), parcours professionnel, date de naissance, amis, famille, photos, intérêts, etc. En publiant autant d’informations sur Internet, vous vous exposez au doxing.

Même si vous ne pensez pas avoir d’ennemis, mieux vaut verrouiller vos comptes. Découvrez comment configurer Facebook en mode privé et désindexer vos profils des moteurs de recherche. Pensez aussi à renforcer vos paramètres de confidentialité sur Instagram et sur tous vos autres réseaux sociaux.

Utilisez des pseudonymes sur les forums en ligne

Si vous êtes sur Reddit ou d’autres forums, utilisez un pseudonyme pour rester anonyme. N’utilisez jamais votre vrai nom comme nom d’utilisateur et n’utilisez pas d’informations d’identification personnelle dans votre pseudo.

Lorsque vous créez de nouveaux comptes, choisissez un nom d’utilisateur unique pour chaque service que vous utilisez. Si vous réutilisez un pseudonyme sur plusieurs sites, un auteur de doxing pourrait connecter vos comptes et les exploiter à la recherche d’indices sur votre identité. Vous pouvez masquer votre identité numérique avec le navigateur privé d’Avast.

Déposez des demandes de suppression de données

Les courtiers en données compilent et vendent des quantités de données personnelles. Ces sociétés détiennent des fichiers volumineux qui peuvent inclure votre historique de navigation, vos habitudes d’achat en ligne et hors ligne, vos antécédents médicaux, financiers et criminels, et bien plus encore.

Et comme les violations de données sont inévitables, comme celle d’Equifax, vos informations peuvent être divulguées au monde entier. Et si vos données atterrissent sur le Dark Web, elles risquent d’y rester à jamais.

Vous pouvez contacter individuellement les courtiers en données pour leur demander de vous retirer de leur base de données. Légalement, ils sont obligés de s’y conformer, mais le processus peut être très long. Et il est presque impossible d’identifier tous les courtiers qui détiennent vos données.

Avast BreachGuard se charge de contacter les courtiers en données en votre nom avant que vos informations personnelles ne puissent être exposées, et fait toutes les démarches pour vous. Il surveille aussi le Dark Web pour vous alerter de toute fuite.

Activez l’authentification à facteurs multiples

Si vous utilisez uniquement des mots de passe pour sécuriser vos profils de réseaux sociaux et vos sites Web, vous vous exposez au risque de doxing et d’autres cyberattaques. L’authentification multifactorielle (AMF) renforce la sécurité en exigeant d’autres facteurs pour vérifier vos profils, comme une confirmation par SMS ou un code créé dans une application d’authentification.

Même si vos comptes n’ont jamais été piratés, un seul mot de passe ne suffit plus. Les pirates informatiques sont de plus en plus doués pour déchiffrer les mots de passe à l’aide de méthodes telles que l’enregistrement des touches et le password spraying (l’utilisation de mots de passe courants). Sans AMF, vous exposez vos profils et vos données privées à l’usurpation d’identité, au doxing et à d’autres menaces.

Faites les recherches vous-même

Pour mieux vous défendre contre les auteurs de doxing, mettez-vous à leur place. En vous doxant, vous aurez une idée de toutes vos données personnelles disponibles en ligne et de la facilité avec laquelle elles peuvent être obtenues. À partir de là, vous pouvez élaborer des stratégies pour minimiser ou éliminer votre exposition.

Voici quelques moyens de vous doxer vous-même :

• Faites une recherche de vous-même sur Google

• Faites une recherche photo inversée

• Vérifiez vos profils sur les réseaux sociaux

• Recherchez vos informations sur les sites de courtiers en données

• Vérifiez vos CV, vos biographies sur les sites Web et vos sites Web personnels

La recherche en ligne d’informations que vous avez révélées sur vous-même peut vous donner une idée des informations que quelqu’un pourrait utiliser pour vous cibler.

Configurez des alertes Google

Si vos données apparaissent soudainement en ligne, cela peut signifier que vous avez été victime de doxing. Les alertes Google permettent de vous avertir si Google trouve de nouveaux résultats avec vos données. Configurez des alertes Google avec votre nom complet, votre adresse, votre numéro de téléphone et d’autres données. Bien que les alertes Google ne soient pas totalement exhaustives, elles n’en restent pas moins efficaces.

Comment savoir si vous êtes victime de doxing ?

Si vous avez été victime de doxing, vous le saurez dès que vos informations seront rendues publiques. Si vous ne détectez pas la divulgation de vos données vous-même, votre entourage vous en informera probablement. Parallèlement, vous risquez d’être harcelé sur les réseaux sociaux, par e-mail, par téléphone ou même en personne, en fonction des informations divulguées.

Si vous recevez des messages de menaces, verrouillez tous vos comptes en ligne. Vérifiez si votre compte Facebook a été piraté et si votre compte Gmail est bien sécurisé. S’il est également bon de savoir si vos informations personnelles sont en vente sur le Dark Web, il n’est pas facile d’y accéder sans un logiciel spécial, comme le navigateur Tor. Et quand bien même, où chercher ?

C’est là qu’intervient le logiciel de surveillance du Dark Web. Avast BreachGuard peut effectuer une analyse du Dark Web et vous alerter si vos informations personnelles ont été exposées. Ensuite, il vous aide à réagir rapidement pour protéger votre confidentialité.

Avast BreachGuard analyse le Web pour voir si vos informations personnelles ont été exposées.

Protégez vos données personnelles avec Avast BreachGuard

Avast BreachGuard protège vos informations de trois manières :

1. Surveillance 24h/24 et 7j/7

   BreachGuard scanne sans arrêt le Dark Web pour y détecter toute violation de données. Si vos informations fuitent, vous serez immédiatement prévenu et pourrez prendre les mesures nécessaires.

2. Suppression des informations personnelles

   BreachGuard identifie les courtiers qui ont établi votre profil et leur envoie des demandes de suppression de données.

3. Protection par mot de passe

   BreachGuard analyse les mots de passe faibles ou réutilisés dans votre navigateur et veille à ce qu’aucun d’eux n’ait été exposé.

Avec Avast dans votre camp, les auteurs de doxing n’ont aucune chance ! Téléchargez tout de suite Avast BreachGuard pour renforcer vos défenses, protéger votre confidentialité et empêcher vos informations personnelles d’être exposées ou utilisées contre vous.