Qu’est-ce que le doxing, est-il illégal et comment s’en protéger ou le signaler ?

Qu’est-ce que le doxing ?

Le doxing (également orthographié « doxxing ») désigne le fait de révéler les informations personnelles d’une personne en ligne. Le doxing est une forme de harcèlement en ligne qui consiste à exposer publiquement le vrai nom, l’adresse, l’emploi ou d’autres informations d’identification d’une personne sans son consentement. L’objectif du doxing est d’humilier, d’intimider, de harceler ou de nuire d’une autre manière à la victime.

Pourquoi est-il appelé doxing ?

Le terme « doxing » vient du mot « documents ». La culture des pirates informatiques des années 1990 a raccourci le terme en « docs », puis en « dox », le « dropping dox » faisant référence à la récupération de documents ou d’informations personnelles (comme l’adresse physique d’une personne) pour ensuite les publier sur Internet. C’est le collectif de hackers Anonymous qui l’a fait connaître au grand public.

Que désigne le doxing ?

Aujourd’hui, le doxing désigne la publication en ligne des informations d’une personne sans son autorisation. Il peut également s’appliquer à la découverte de la véritable identité qui se cache derrière un nom d’utilisateur anonyme, et à son exposition en ligne.

Certaines attaques de doxing sont motivées par le harcèlement ou la vengeance, tandis que d’autres visent des personnes qui publient anonymement des commentaires racistes en ligne ou qui sont prises en train de promouvoir un discours de haine.

Cette pratique date de plusieurs décennies, mais elle est encore employée de nos jours, et peut être très dangereuse. Une fois que l’adresse physique, le lieu de travail, le numéro de téléphone, l’adresse e-mail ou d’autres informations relatives à une personne sont connus, celle-ci peut devenir une cible facile.

Les attaques par doxing vont des plus bénignes, comme de fausses inscriptions à des listes de diffusion ou des livraisons de pizzas, aux plus dangereuses, comme le harcèlement de la famille ou de l’employeur de la victime, le harcèlement physique, le swatting, l’usurpation d’identité, les menaces et autres formes de cyberharcèlement.

Comment fonctionne le doxing ?

Les auteurs de doxing épluchent les sites Internet à la recherche de petits éléments d’information sur une personne, puis les assemblent pour révéler la véritable identité qui se cache derrière un pseudonyme. Ces données peuvent inclure le nom de la victime, son adresse physique, son adresse e-mail, son numéro de téléphone, etc. Ils peuvent aussi acheter et vendre des informations sur le Dark Web.

Les plus petits éléments d’information peuvent, une fois rassemblés, dévoiler l’identité de la personne derrière un pseudonyme.

Habituellement, le doxing commence par une dispute en ligne avant de s’intensifier jusqu’à ce qu’une des personnes impliquées recherche des informations sur son adversaire. Récemment, le doxing est devenu un outil populaire pour mener des guerres culturelles, avec des activistes ciblant ceux qui ont un point de vue opposé au leur. Beaucoup de célébrités, personnalités politiques et journalistes ont été victimes de doxing, avec pour conséquence des manifestations en ligne et même des menaces de mort.

Le doxing s’appuie principalement sur la recherche d’informations privées. Et si beaucoup de gens pensent qu’Internet est anonyme, ce n’est pas du tout le cas. Il existe de nombreuses façons d’être identifié en ligne.

Le doxing est-il illégal ?

Il n’existe pas de lois spécifiques contre le doxing en soi, il n’est donc pas illégal dans la plupart des juridictions. Au contraire, la légalité du doxing est déterminée au cas par cas. Si la compilation ou la publication d’informations accessibles au public est rarement illégale, il existe d’autres délits dont les auteurs de doxing peuvent être accusés, comme le harcèlement, l’usurpation d’identité ou l’incitation à la violence.

Récemment, les gouvernements du monde entier ont commencé à adopter ou à proposer des lois anti-doxing. L’État américain du Kentucky a adopté une loi anti-doxing en 2021, de même que Hong Kong.

Aux États-Unis, l’Interstate Communications Statute (décret sur les communications interétatiques) et l’Interstate Stalking Statute (décret sur le harcèlement interétatique) peuvent aussi s’appliquer à certaines formes de doxing. Le doxing peut également constituer une violation des conditions d’utilisation de certains sites Web. Par exemple, Twitter interdit de publier les informations privées d’une autre personne sans son autorisation.

Le doxing est-il passible de prison ?

Oui, vous pouvez aller en prison si vous êtes auteur de doxing. Bien que le doxing en lui-même ne soit pas illégal, il peut contribuer à une autre infraction pénale comme le harcèlement, la traque, l’intimidation, l’usurpation d’identité ou l’incitation à la violence. Pour les personnes condamnées à une peine d’emprisonnement, le doxing fait généralement partie d’une stratégie plus vaste impliquant plusieurs infractions pénales.

Que faire si j’ai été doxé ?

Si vous avez été victime de doxing ou si vous le soupçonnez, vous devez enrayer la propagation de vos informations personnelles au plus vite. Voici ce que vous devez faire si vous pensez être victime de doxing :

• Recueillez des preuves.
  Prenez des captures d’écran de tout ce qui pourrait servir d’élément à la police.

• Verrouillez vos comptes.
  Créez de nouveaux mots de passe forts pour vos comptes et stockez-les en toute sécurité dans l’un des meilleurs gestionnaires de mots de passe. Activez l’authentification multifactorielle pour renforcer vos paramètres de confidentialité sur tous vos comptes en ligne.

• Demandez de l’aide à vos proches.
  Le doxing peut être une véritable épreuve psychologique. Évitez de tout gérer seul et parlez-en à votre famille ou à vos amis.

• Changez de numéro de téléphone.
  Selon les informations divulguées, il peut être judicieux de changer de numéro de téléphone, de nom d’utilisateur ou tout autre élément permettant de vous identifier.

• Protégez-vous contre les fuites de données.
  Avast BreachGuard vous prévient si vos informations personnelles sont exposées lors d’une fuite de données ou si elles apparaissent sur le Dark Web. Il peut aussi vous aider à supprimer vos informations des bases de données des courtiers pour limiter le nombre d’informations stockées sur vous.

Comment et où signaler le doxing ?

Pour limiter l’impact de l’incident de doxing, signalez-le aux autorités compétentes. L’auteur du doxing peut être suspendu, banni ou même poursuivi en justice, ce qui signifie qu’il ne pourra plus divulguer vos informations ou cibler d’autres victimes.

Voici comment signaler un incident de doxing :

1. Tout d’abord, signalez l’attaque de doxing aux plateformes qui hébergent vos informations. Les sites comme Facebook et Twitter ont des conditions de service qui interdisent le doxing et doivent suspendre le compte de l’auteur du doxing.

2. Ensuite, signalez les cybercrimes potentiels. Dans de nombreux cas, le doxing peut constituer une infraction pénale. Si vous avez été menacé ou victime d’un autre type de harcèlement criminel, portez plainte auprès de votre poste de police local. En recueillant des preuves documentaires par le biais de captures d’écran ou de téléchargements de pages Web, vous aiderez également la police à prendre des mesures opportunes et appropriées.

Comment se préserver du doxing

Faire l’objet de doxing peut constituer un véritable traumatisme. La règle d’or pour éviter le doxing est de minimiser les informations disponibles sur vous en ligne. Apprenez à masquer votre adresse IP, à sécuriser vos comptes sur les réseaux sociaux et à rester anonyme en ligne.

Protégez votre adresse IP.

Masquez facilement votre adresse IP en utilisant un VPN ou un proxy pour accéder à Internet. Ces outils vous raccordent à un serveur avant de se connecter à Internet. Ainsi, toute personne tentant de découvrir votre adresse IP ne verra que l’adresse IP du VPN ou du serveur proxy, la vôtre restant cachée.

Les proxys Web basés sur un navigateur sont souvent gratuits, mais ne protègent que le trafic de votre navigateur. Un VPN comme le VPN Avast SecureLine chiffre l’intégralité de votre connexion Internet. Il empêche quiconque de voir votre activité en ligne, ce qui est particulièrement important si vous utilisez un réseau Wi-Fi public non sécurisé.

Le VPN Avast SecureLine vous permet également de modifier votre emplacement virtuel à tout moment, vous offrant ainsi un anonymat renforcé et une confidentialité solide en ligne.

Évitez les options de connexion tierces

De nombreux sites et applications vous encouragent à vous connecter à travers Facebook, Google, LinkedIn ou un autre service tiers. Si vous le faites, ces sites peuvent demander plus d’informations sur vous. Et plus vous reliez de sites à vos comptes en ligne, plus il est facile pour quelqu’un de compiler vos informations personnelles.

Le fait de se connecter à différents sites via son compte Facebook ou Google peut rendre particulièrement vulnérable à une violation de données. Si le mot de passe de votre compte fuite, un hacker peut accéder à tous les sites pour lesquels vous l’utilisez. Pour les pirates, il sera d’autant plus facile de collecter des données, et pour vous, il sera encore plus difficile de verrouiller vos comptes.

Paramétrez bien vos comptes de réseaux sociaux

Vos profils sur les réseaux sociaux peuvent en dire long sur vous : emplacement (parfois même votre adresse complète), parcours professionnel, date de naissance, amis, famille, photos, intérêts, etc. En publiant autant d’informations sur Internet, vous pouvez vous exposer au doxing.

Même si vous ne pensez pas avoir d’ennemis, mieux vaut verrouiller vos comptes. Découvrez comment configurer Facebook en mode privé et envisagez de désindexer vos profils des moteurs de recherche. Pensez aussi à renforcer vos paramètres de confidentialité sur Instagram et sur tous vos autres réseaux sociaux.

Utilisez des pseudonymes sur les forums en ligne

Si vous êtes sur Reddit ou d’autres forums, utilisez un pseudonyme pour rester anonyme. N’utilisez jamais votre vrai nom comme nom d’utilisateur et n’utilisez pas d’informations d’identification personnelle dans votre pseudo.

Lorsque vous créez de nouveaux comptes, choisissez un nom d’utilisateur unique pour chaque service que vous utilisez. Si vous réutilisez un pseudonyme sur plusieurs sites, un auteur de doxing pourrait connecter vos comptes et les exploiter à la recherche d’indices sur votre identité. Vous pouvez masquer votre identité numérique avec le navigateur privé d’Avast.

Déposez des demandes de suppression de données

Les courtiers en données compilent et vendent des quantités de données personnelles. Ces sociétés détiennent des fichiers volumineux qui peuvent inclure votre historique de navigation, vos habitudes d’achat en ligne et hors ligne, vos antécédents médicaux, financiers et criminels, et bien plus encore.

Et comme les violations de données sont inévitables, comme celle d’Equifax, vos informations peuvent être divulguées au monde entier. Et si vos données atterrissent sur le Dark Web, elles risquent d’y rester à jamais.

Vous pouvez contacter individuellement les courtiers en données pour leur demander de vous retirer de leur base de données. Légalement, ils sont obligés de s’y conformer, mais le processus peut être très long. Et il est presque impossible d’identifier tous les courtiers qui détiennent vos données.

Avast BreachGuard se charge de contacter les courtiers en données en votre nom avant que vos informations personnelles ne puissent être exposées, et fait toutes les démarches pour vous. Il surveille aussi le Dark Web pour vous alerter immédiatement de toute fuite.

Activez l’authentification à facteurs multiples

Si vous utilisez uniquement des mots de passe pour sécuriser vos profils de réseaux sociaux et vos sites Web, vous vous exposez au risque de doxing et d’autres cyberattaques. L’authentification multifactorielle (AMF) renforce la sécurité en exigeant d’autres facteurs pour vérifier votre identité, comme une confirmation par SMS ou un code créé dans une application d’authentification.

Même si vos comptes n’ont jamais été piratés, un seul mot de passe ne suffit plus. Les pirates informatiques sont de plus en plus doués pour déchiffrer les mots de passe à l’aide de méthodes telles que l’enregistrement des touches et le password spraying (l’utilisation de mots de passe courants). Sans AMF, vos profils et vos données privées sont plus exposés à l’usurpation d’identité, au doxing et à d’autres menaces.

Faites les recherches vous-même

Pour mieux vous défendre contre les auteurs de doxing, mettez-vous à leur place. En vous doxant, vous aurez une idée de toutes vos données personnelles disponibles en ligne et de la facilité avec laquelle elles peuvent être obtenues. À partir de là, vous pouvez élaborer des stratégies pour minimiser ou éliminer votre exposition.

Voici quelques moyens de vous doxer vous-même :

• Faites une recherche de vous-même sur Google.

• Faites une recherche photo inversée.

• Vérifiez vos profils sur les réseaux sociaux.

• Recherchez vos informations sur les sites de courtiers en données.

• Vérifiez vos CV, vos biographies sur les sites web et vos sites web personnels.

La recherche en ligne d’informations que vous avez révélées sur vous-même peut vous donner une idée des informations que quelqu’un pourrait utiliser pour vous cibler.

Configurez des alertes Google

Si vos données apparaissent soudainement en ligne, cela peut signifier que vous avez été victime de doxing. Les alertes Google permettent de vous avertir si Google trouve de nouveaux résultats avec vos données. Configurez des alertes Google avec votre nom complet, votre adresse, votre numéro de téléphone et d’autres données. Bien que les alertes Google ne soient pas totalement exhaustives, elles n’en restent pas moins efficaces.

Comment savoir si vous êtes victime de doxing ?

Si vous avez été victime de doxing, vous le saurez dès que vos informations seront rendues publiques. Si vous ne détectez pas la divulgation de vos données vous-même, votre entourage vous en informera probablement. Parallèlement, vous risquez d’être harcelé sur les réseaux sociaux, par e-mail, par téléphone ou même en personne, en fonction des informations divulguées.

Si vous recevez des messages de menaces, verrouillez tous vos comptes en ligne. Vérifiez si votre compte Facebook a été piraté et si votre compte Gmail est bien sécurisé. S’il est également bon de savoir si vos informations personnelles sont en vente sur le Dark Web, il n’est pas facile d’y accéder sans un logiciel spécial, comme le navigateur Tor. Et quand bien même, où chercher ?

C’est là qu’intervient le logiciel de surveillance du Dark Web. Avast BreachGuard peut effectuer une analyse du Dark Web et vous alerter si vos informations personnelles ont été exposées. Ensuite, il vous aide à réagir rapidement pour protéger votre confidentialité.

Avast BreachGuard analyse le Web pour voir si vos informations personnelles ont été exposées.

Comment les auteurs de doxing trouvent-ils des informations personnelles ?

Les auteurs de doxing se servent d’un éventail de méthodes pour collecter des informations sur leurs victimes. Ils peuvent trouver votre adresse IP, passer au peigne fin vos profils sur les réseaux sociaux, acheter des données à des courtiers dédiés, utiliser des campagnes de phishing et même intercepter votre trafic Internet.

Voici les techniques les plus courantes utilisées par les auteurs de doxing pour recueillir vos informations :

• Le doxing via IP ou via FAI consiste à obtenir votre adresse IP, qui est liée à votre emplacement physique. Ensuite, l’auteur de doxing utilise des applications d’usurpation de numéro de téléphone, ainsi que des techniques d’ingénierie sociale, pour accomplir une escroquerie au support technique et inciter votre fournisseur d’accès à Internet (FAI) à lui divulguer des informations telles que votre numéro de téléphone, votre adresse e-mail, votre date de naissance ou votre numéro de sécurité sociale.

• Le doxing via les réseaux sociaux consiste à collecter les informations personnelles que vous partagez sur vos comptes de réseaux sociaux. Il peut s’agir de réponses à des questions générales, dont les auteurs de doxing peuvent se servir pour répondre à des questions de sécurité afin d’accéder à vos autres comptes en ligne. C’est pour cela que vous devriez configurer tous vos comptes sur les réseaux sociaux en mode privé, et créer des noms d’utilisateur et des mots de passe différents pour les plateformes sociales telles que Facebook, Twitter, TikTok, Reddit, 4Chan, Discord, YouTube, etc.

• On parle de doxing à l’aide des courtiers en données lorsque les auteurs de doxing achètent les informations personnelles de leurs victimes auprès de courtiers en données, qui recueillent ces informations à partir de registres accessibles à tous, de cartes de fidélité, d’historiques de recherche en ligne et d’autres sources. En général, ces entreprises revendent leurs renseignements à des annonceurs, mais il existe aussi des moteurs de recherche de personnes proposant des dossiers complets à n’importe qui.

  De nombreuses données sont accessibles au public et risquent d’être utilisées contre vous par un auteur de doxing.

• Le phishing consiste à utiliser des communications frauduleuses pour inciter les victimes à divulguer des informations personnelles sensibles. En apprenant à reconnaître et à éviter les escroqueries par phishing visant votre identifiant Apple et autres attaques de spear phishing, vous empêcherez les auteurs de doxing de vous tromper. Mais pour bénéficier d’une protection renforcée, utilisez un logiciel antivirus haut de gamme comme Avast Antivirus Gratuit pour bloquer les attaques de phishing, les logiciels espions et d’autres menaces qui peuvent exposer votre identité.

• Le sniffing consiste à intercepter le trafic Internet entre l’expéditeur et le destinataire. Un auteur de doxing peut utiliser des outils de sniffing afin d’intercepter le trafic Internet d’une personne et le passer au peigne fin pour trouver des informations personnelles. Le moyen le plus simple pour vous protéger du sniffing est de télécharger un VPN, pour chiffrer votre connexion Internet.

• Les recherches WHOIS permettent aux auteurs de doxing d’exploiter le service WHOIS, qui permet à quiconque d’obtenir des informations sur le propriétaire d’un domaine Internet. Vous pouvez configurer vos informations WHOIS pour qu’elles soient privées, mais si vous oubliez de le faire, votre nom, votre adresse, votre numéro de téléphone et votre adresse e-mail seront accessibles à toute personne qui consulte votre nom de domaine.

• Le piratage est toujours une option dont les auteurs de doxing peuvent se servir pour obtenir vos informations personnelles, s’ils ne peuvent pas les obtenir à partir de sources de données publiques. Les techniques de piratage courantes associées au doxing comprennent l’utilisation d’un code intrusif pour exécuter des exploits de type Zero Day, la diffusion de virus et malwares, le lancement d’attaques par force brute ou d’autres formes de déchiffrement de mots de passe.

Types de doxing

Tous les types de doxing impliquent la divulgation d’informations privées sur une personne, mais leur objectif et leur nature spécifiques diffèrent. Voici les principales catégories de doxing :

Harcèlement des célébrités

Les célébrités et autres personnalités publiques de premier plan sont souvent la cible de campagnes de doxing, en raison de griefs réels ou supposés à leur encontre, ou d’un simple harcèlement. Elles constituent des cibles particulièrement tentantes compte tenu de l’intérêt que leur porte le public. Les conséquences de la divulgation de l’adresse personnelle d’une célébrité ou d’informations personnelles compromettantes ou sensibles la concernant peuvent être catastrophiques.

Doxing ciblé

Le doxing ciblé consiste à désigner une personne spécifique comme victime, soit pour ce qu’elle représente, soit pour ce qu’elle a (soi-disant) fait. Le doxing ciblé peut faire partie d’une campagne coordonnée de cyberharcèlement, être le résultat d’une vengeance personnelle ou servir de châtiment pour des transgressions apparentes. Il arrive que les auteurs de doxing soient eux-mêmes victimes de doxing dans le cadre d’une vengeance réciproque.

Doxing erroné

Le doxing est souvent utilisé par les « justiciers en ligne » pour démasquer les auteurs d’actes répréhensibles ou par les militants politiques afin de cibler leurs adversaires. Mais cette pratique met en péril la réputation, l’emploi, voire la vie des victimes et, trop souvent, des erreurs sont commises en associant des personnes innocentes à des situations dans lesquelles elles ne sont pas impliquées. Les conséquences tragiques du « doxing erroné » sont mises en évidence par le suicide de Sunil Tripathi, qui avait été considéré à tort comme l’auteur de l’attentat à la bombe de Boston.

Swatting

Le swatting est une forme particulièrement extrême de doxing, selon laquelle l’auteur du doxing connaît l’emplacement de la victime et passer un faux appel aux services d’urgence, dans le but d’amener la police armée à se rendre à l’adresse de la victime. Le swatting est non seulement illégal, mais il est potentiellement mortel, comme ce fut le cas pour un jeune homme de 28 ans, non armé, abattu par la police en réponse à de fausses informations faisant état d’une prise d’otages à son domicile.

Exemples concrets de doxing

N’importe qui peut être victime de doxing : il suffit que quelqu’un ne vous apprécie pas ou soit suffisamment en désaccord avec vous pour se donner la peine de compiler et de divulguer vos informations. Parmi les victimes de doxing figurent les médecins qui pratiquent des IVG, des personnes innocentes accusées à tort de crimes, des membres de groupes racistes et des représentants des forces de l’ordre.

1997 : doxing anti-avortement

L’une des premières campagnes de doxing a débuté en 1997, lorsque des militants anti-avortement aux États-Unis ont ciblé des praticiens. Cet exemple de doxing insidieux impliquait un site Web appelé Nuremberg Files, qui publiait les informations personnelles de professionnels de santé pratiquant des IVG. En 2002, un tribunal a estimé que le site constituait une menace d’incitation à la violence, et il a été fermé.

2013 : doxing des attentats du marathon de Boston

Suite aux attentats qui se sont déroulés lors du marathon de Boston en 2013, des milliers de personnes se sont réunies sur le site du réseau social Reddit et ont tenté d’identifier l’auteur de l’attentat. Les utilisateurs ont fini par identifier à tort puis doxer plusieurs suspects, dont aucun n’était impliqué dans l’attentat.

2017 : doxing anti-fasciste

En 2017, des suprémacistes blancs ont défilé à Charlottesville, en Virginie, motivant certains contre-manifestants à doxer les participants. Plusieurs néo-nazis ont perdu leur emploi suite à l’annonce de leur participation à l’événement. Mais d’autres personnes innocentes ont été soupçonnées à tort de participer à la marche et inondées de courriers haineux et de menaces.

2019 : doxing contre la police à Hong Kong

Pendant les longues manifestations à Hong Kong entre 2019 et 2020, les manifestants ont effectué un doxing sur des milliers de policiers, ainsi que des partisans des forces de l’ordre de la ville. Les journalistes et les manifestants eux-mêmes ont également été victimes de doxing alors que les troubles se poursuivaient dans la ville.

2022 : doxing de Keffals

Récemment, Keffals, une activiste transgenre canadienne et créatrice de contenu, a été victime d’une campagne de doxing et de swatting très médiatisée, qui a duré plusieurs mois. Elle a été arrêtée après avoir été faussement accusée de comploter pour tuer sa mère et des membres du conseil municipal de London (en Ontario). Une fois libérée, le harcèlement de ses détracteurs a continué.

Keffal a déménagé plusieurs fois, mais ses adresses ont toutes été doxées. Après avoir récupéré son adresse, les harceleurs lui envoyaient des dizaines de commandes de livraison de nourriture adressées à son nom de naissance. Même après avoir quitté le Canada pour partir en Irlande du Nord, le doxing et le swatting ont continué.

La légitimité du doxing reste discutable : si la plupart des informations sont déjà disponibles sur Internet, il peut rapidement devenir néfaste lorsque des personnes innocentes sont impliquées.

Le doxing peut-il conduire à l’usurpation d’identité ?

Le doxing peut facilement engendrer une usurpation d’identité, en particulier si les données divulguées se retrouvent sur le Dark Web. Bien que la fraude ne soit pas l’objectif premier des auteurs de doxing, en rendant publiques les informations privées des victimes, ils facilitent la tâche des cybercriminels. En effet, ces derniers utilisent les données personnelles et les informations d’identification volées pour faire de fausses demandes de prêt ou commettre des fraudes à la carte de crédit ou autres escroqueries.

Votre identité peut faire l’objet de menaces provenant de toutes sortes de sources inattendues. C’est pourquoi il est si important de protéger vos comptes bancaires et vos autres comptes en ligne en évitant que vos données ne tombent entre de mauvaises mains.

Protégez vos données personnelles avec Avast BreachGuard

Avast BreachGuard protège vos informations de trois manières :

1. Surveillance 24 h/24 et 7 j/7
   BreachGuard scanne sans arrêt le Dark Web pour y détecter toute violation de données. Si vos informations fuitent, vous serez immédiatement prévenu et pourrez prendre les mesures nécessaires.

2. Demandes de suppression de données personnelles
   BreachGuard identifie les courtiers qui ont établi votre profil et leur envoie des demandes de suppression de données.

3. Protection des mots de passe
   BreachGuard analyse les mots de passe faibles ou réutilisés dans votre navigateur et veille à ce qu’aucun d’eux n’ait été exposé.

Téléchargez Avast BreachGuard dès aujourd’hui pour vous aider à renforcer vos défenses, protéger votre confidentialité et votre identité et empêcher vos informations personnelles d’être exposées ou utilisées contre vous.