Doxxing

Wat is doxxing?

Doxxing, ook gespeld als ‘doxing’, is het openbaar maken van privé- of gevoelige informatie over iemand, meestal zonder hun toestemming, met als doel intimidatie, publieke vernedering of het toebrengen van schade. Stel je voor dat iemand je telefoon afpakt en dreigt al je privéberichten en foto’s te uploaden. Dit is wat doxxers zouden doen. Of het nu je persoonlijke gegevens of gevoelige bedrijfsinformatie is die in verkeerde handen valt, het ongewenst online publiceren van data kan ernstige gevolgen hebben.

Onlangs onthulde een billboardtruck bij Harvard de persoonlijke gegevens van studenten vanwege hun politieke standpunten. Als gevolg hiervan werden deze studenten slachtoffer van doxxing en professionele bedreigingen, waarbij hun namen, studiejaar, foto’s, woonplaatsen en lidmaatschappen van clubs werden gepubliceerd op zwarte lijsten, wat langdurige gevolgen voor hun persoonlijke en professionele leven met zich meebracht. Vergelijkbare incidenten deden zich later ook voor bij Columbia en de universiteit van Pennsylvania.

Maar doxxing gaat niet alleen over politiek en sociale onderwerpen. Elke individu of organisatie zou serieuze preventieve maatregelen moeten nemen tegen doxxing om zowel gebruikersdata als de bedrijfsintegriteit te beschermen tegen mogelijke compromittering. Om jezelf te wapenen met de beste verdedigingsstrategieën, is het van cruciaal belang goed geïnformeerd te blijven.

Hoe werkt doxxing?

Doxxing werkt door persoonlijke of privé-informatie over een individu te verzamelen en deze vervolgens openbaar te maken, meestal online. Hierbij kunnen verschillende methoden worden gebruikt om informatie te verzamelen, waaronder het doorspitten van social media en meer kwaadaardige tactieken.

Social media

Een van de eenvoudigste manieren om informatie te verzamelen is de social mediaprofielen van het doelwit door te spitten. Mensen delen vaak onbedoeld veel persoonlijke informatie op Facebook, Instagram en Twitter. Van volledige namen en verjaardagen tot woon- of werkplekken. Als je een openbaar profiel hebt, is het voor iedereen makkelijk te zien wie je vrienden en familie zijn, waar je werkt, met wie je werkt en wat je graag doet in je vrije tijd. Hoewel je deze informatie met de beste bedoelingen deelt, kunnen sommige mensen misbruik maken van je openheid online.

Maar naast de voor de hand liggende visuele inspectie van alles wat je op je social media plaatst, kunnen doxxers ook de metadata van je foto’s inspecteren – technische informatie in bestanden – om informatie te verkrijgen zoals tijd en locatie, wat hen helpt te bepalen waar je was toen je het bericht plaatste.

Webonderzoeken

Het web biedt een schat aan informatie die doxxers kunnen gebruiken voor hun eigen agenda. Persoonlijke websites, blogs of artikelen kunnen informatie over iemand prijsgeven. Informatie kan ook worden verkregen uit openbare registers en andere online databases, die adressen, telefoonnummers en zelfs eigendomsakten kunnen bevatten. Forums en communities zijn ook een hotspot voor informatie. Doxxers kunnen door reacties, berichten of profielen op verschillende online forums of groepen waar het doelwit actief is, zoeken naar aanwijzingen om meer te weten te komen over hun identiteit of persoonlijke leven.

Cybercriminelen kunnen ook de puzzelstukjes samenvoegen met informatie die ze hebben verkregen van overheidswebsites, zoals gemeentelijke registers, zakelijke en huwelijksvergunningen en kiezersregistratielijsten, die allemaal persoonlijke informatie bevatten. IP-website trackers en omgekeerde telefoonnummers kunnen doxxers ook helpen bij het verzamelen van informatie over hun doelwit.

Phishing

In meer extreme doxxing-gevallen kan iemand phishing e-mails of berichten sturen en zich voordoen als een betrouwbare iemand om het doelwit te verleiden om gevoelige informatie te onthullen. Doelwitten trappen vaak in de social engineering tactieken die door hackers worden gebruikt en geven per ongeluk hun inloggegevens door. Daarmee krijgen doxxers ongeautoriseerde toegang krijgen tot hun persoonlijke accounts en alle persoonlijke gegevens die daarin zijn opgeslagen.

Insiders

Soms kunnen persoonlijke wrokgevoelens mensen die dicht bij je staan – vrienden, familie of collega’s – veranderen in onbedoelde informanten. Stel je dit scenario voor: iemand uit je naaste omgeving die heel veel over je weet, maakt de bewuste beslissing om alles te onthullen. Je kunt je de  enorme impact op je leven waarschijnlijk wel voorstellen.

Na het verkrijgen van deze gegevens gaan doxxers over tot de digitale publicatie. Ze kunnen de persoonlijke gegevens van het slachtoffer verspreiden over websites, forums en social mediaplatforms. Ze kunnen ook een stap verder gaan en de informatie direct naar de inner circle van het doelwit te sturen – vrienden, familie en collega’s. Het doel is het intimideren, vernederen of anderszins schaden van het slachtoffer, met alle gevolgen van dien. Van onophoudelijke intimidatie en angstaanjagende bedreigingen tot stalking, identiteitsdiefstal, reputatieschade en zelfs fysieke schade.

Wat is realtime doxxing?

Realtime doxxing is een nog serieuzere vorm van schadelijke praktijk van doxxing, gekenmerkt door zijn directheid. In dit scenario verzamelt en publiceert de doxxer persoonlijke informatie van iemand op het moment dat deze beschikbaar komt, vaak tijdens live online evenementen zoals videostreams of social media chats. 

De impact van realtime doxxing wordt versterkt omdat het zeer snel gebeurt, waardoor het doelwit weinig tot geen tijd heeft om te reageren of zichzelf te verdedigen. Deze snelle actie is vaak bedoeld om het doelwit onmiddellijk te intimideren, te verstoren of het zwijgen op te leggen en soms om invloed uit te oefenen op de uitkomst van het live evenement waar ze deel van uitmaken.

In veel gevallen zullen realtime doxxing-aanvallen de huidige locatie van het doelwit vrijgeven, wat niet alleen zorgen oproept op het gebied van cyberbeveiliging maar ook fysieke veiligheidsrisico’s met zich meebrengt. Zakenmagnaat Elon Musk ondervond bijvoorbeeld onlangs realtime doxxing, waarbij een student genaamd Jack Sweeney een “@ElonJet” account creëerde om Musk’s privéjet te volgen terwijl het vliegt. Dit account liet bots vluchtgegevens schrapen en op Twitter posten. Musk bood de student een geldelijke beloning van $5,000 om het account te stoppen, maar uiteindelijk werd het verbannen.

Is doxxing illegaal?

Het is duidelijk dat doxxing verwoestende effecten kan hebben en maatschappelijk gezien als ongewenst wordt beschouwd, maar is het ook illegaal? Het antwoord op deze vraag is niet zo eenvoudig. In bepaalde rechtsgebieden kan het delen van iemands privégegevens leiden tot zware juridische straffen. In andere regio’s bestaat echter geen specifieke wetgeving die het kwaadwillig delen van privégegevens reguleert. De legaliteit hangt dus af van zowel de locatie als de specifieke omstandigheden van elk geval.

In Europa varieert het juridische standpunt over doxxing per land, maar het wordt over het algemeen beïnvloed door bredere Europese Unie (EU) wetten over gegevensbescherming en privacy, zoals de Algemene Verordening Gegevensbescherming (AVG). Onder de AVG kan ongeautoriseerd delen van persoonlijke informatie worden beschouwd als een schending van de regels voor gegevensbescherming, wat kan leiden tot aanzienlijke boetes en juridische gevolgen.

In de Verenigde Staten is er geen specifieke wetgeving die doxxing landelijk verbiedt. Sommige staten zoals Californië hebben stappen ondernomen om bewoners te beschermen door wetten in te voeren die zijn gericht op cyberveiligheid en elektronische intimidatie, waar doxxing onder kan vallen. Artikel 653.2 van het Californische strafwetboek wordt gebruikt om vormen van indirecte cyberpesterijen te vervolgen door het plaatsen van schadelijke informatie op het web, wat wordt behandeld als een overtreding en kan leiden tot boetes en zelfs gevangenisstraf.

In Nederland is ‘het gebruik van persoonsgegevens voor intimiderende doeleinden’ sinds 1 januari 2024 strafbaar gesteld.

Hoewel doxxing wereldwijd over het algemeen wordt afgekeurd door instellingen, is het ontbreken van wetgeving in veel landen – vooral buiten Europa – reden tot bezorgdheid. Maar met de voortdurende technologische vooruitgang en voortdurende verfijning van beveiligingsprotocollen, wordt verwacht dat doxxing een belangrijk onderwerp van discussie blijft. Deze gesprekken kunnen leiden tot betere algemene beveiligingsmaatregelen voor burgers en het verbeteren van de algehele bescherming. 

Sommige grote bedrijven nemen ook stappen om doxxing te veroordelen binnen hun privacybeleid. X, voorheen bekend als Twitter, is daar een goed voorbeeld van. Het bedrijf heeft in het verleden veel doxxing-gevallen meegemaakt, wat heeft geleid tot een bijgewerkt beleid voor persoonlijke informatie. Hierin staat dat het online delen van iemands privégegevens zonder toestemming, inbreuk maakt op hun privacy en de regels van het bedrijf. Gebruikers die dit beleid schenden, wordt gevraagd om de inhoud te verwijderen. Hun accounts kunnen worden vergrendeld en in ernstige gevallen kunnen ze zelfs worden geschorst.

Belangrijkste doelwitten van doxxing-aanvallen

Iedereen, van individuen tot zakelijke figuren, kan slachtoffer worden van een doxxing-aanval. Helaas worden gewone mensen vaak doelwit vanwege persoonlijke geschillen, vetes of zelfs willekeurig cyberpesten. Als ze deel uitmaken van een specifieke raciale, religieuze of sociale groep, kunnen ze worden gedoxxed vanuit haat of discriminatie. Volgens een studie uit 2020 van The Economist Intelligence Unit is het aannemelijk dat dat vrouwen vaker te maken hebben met doxxing aangezien 45% van de ondervraagde jonge vrouwen aangeeft online geweld te hebben meegemaakt.

Een ander potentieel doelwit van doxxing-aanvallen zijn personen die cryptocurrency gebruiken of aanzienlijke vermogens bezitten. Het schenden van hun anonimiteit en het onthullen van privé-informatie kan bijzonder aantrekkelijk zijn voor doxxers. Ook CEO’s, leidinggevenden en andere sleutelfiguren binnen bedrijven kunnen om verschillende redenen worden aangevallen. Denk bijvoorbeeld aan zakelijke rivaliteit of activisme. Hun persoonlijke en professionele reputaties kunnen hierdoor schade oplopen.

Cybercriminelen hebben hun bereik vergroot met doxxing-aanvallen, waarbij ze niet alleen argeloze individuen en kantoorpersoneel targeten, maar ook publieke figuren. Beroemdheden, politici en andere prominente personen lopen vaak risico vanwege hun publieke aanwezigheid, die zowel fans als tegenstanders kan aantrekken. Publieke figuren die zich uitspreken over sociale, politieke of milieukwesties worden soms gedoxxed door degenen die het niet eens zijn met hun opvattingen of activiteiten. Ook activisten, demonstranten, journalisten, bloggers, online persoonlijkheden, gamers, klokkenluiders, wetshandhavers en militair personeel zijn populaire doelwitten voor doxxers die hun slachtoffers willen intimideren, diskwalificeren en beschadigen.

De verwoestende effecten van doxxing

De effecten van doxxing kunnen behoorlijk moeilijk zijn om mee om te gaan, zowel online als offline. Wanneer iemand wordt gedoxxed, worden ze vaak geconfronteerd met een voortdurende stroom van online intimidatie. Denk aan een waterval van kwetsende berichten, bedreigingen en cyberpesten. Dit kan een ernstige tol eisen van iemands mentale welzijn. Maar de problemen beperken zich niet tot de digitale wereld. In de echte wereld kan het blootleggen van je adres en telefoonnummer leiden tot stalken of intimidatie in het echte leven, waardoor je je onveilig voelt in je eigen omgeving. Ook je reputatie kan schade oplopen. Valse informatie kan worden vermengd met je persoonlijke gegevens, waardoor je er slecht uitziet voor anderen. Dit kan schadelijk zijn voor je relaties, je kansen op een baan en hoe mensen je in het algemeen waarnemen.

Bovendien, zodra iets op het web staat, is er geen garantie dat het ooit volledig kan worden gewist. Zelfs nadat een kwaadaardige webpost is verwijderd, is het heel goed mogelijk dat de informatie ergens is gekopieerd, dat er een screenshot van is gemaakt of dat het is gearchiveerd, waardoor deze gemakkelijk opnieuw kan worden gepubliceerd. Dat betekent dat zodra je contact-/bankgegevens of andere vertrouwelijke informatie uitlekken, dit niet ongedaan kan worden gemaakt. 

Veel slachtoffers van doxxing veranderen hun inloggegevens waar mogelijk en investeren in preventie van identiteitsdiefstal om zich te beschermen. Anders kunnen cybercriminelen je informatie gebruiken om zich voor te doen als jou, wat kan leiden tot financiële en juridische problemen.

Voorbeelden van doxxing-aanvallen uit de praktijk

Om het voortdurende gevaar van doxxing beter te begrijpen, helpt het om te kijken naar praktijkvoorbeelden van doxxing-aanvallen en de impact die ze hebben op mensenlevens. Doxxing richt zich zowel op individuele internetgebruikers als op bedrijven, waarbij in alle gevallen gevoelige gegevens worden gepubliceerd.

Activist aangevallen door meedogenloze doxxers

Individuen met een groot online volgersbestand zijn een makkelijk doelwit voor doxxers, die op social media naar aanwijzingen zoeken om een persoonlijk profiel van hun slachtoffer samen te stellen. Keffals, een transgender activist en streamer uit Canada, maakte in 2022 uit de eerste hand kennis met doxxing tijdens een maandenlange campagne. Het begon allemaal met een swatting-incident, waarbij Keffals ten onrechte werd beschuldigd van het plannen van de moord op haar moeder en leden van de gemeenteraad. Keffals werd gearresteerd en vrijgelaten, maar de tegenstanders bleven doorgaan met het lastigvallen, wat leidde tot haar verhuizing naar verschillende locaties. Elk verblijf werd gedoxxed, waarbij de blootgestelde adressen ongevraagde voedselbestellingen ontvingen en er meer swatting-pogingen werden ondernomen. Dit is een verontrustend voorbeeld van hoever sommige doxxers bereid zijn te gaan om hun doelwitten ongemak te bezorgen en directe schade toe te brengen.

Geopolitiek en valse beschuldigingen brengen een journalist in gevaar

Karima Brown, een journalist en presentator uit Zuid-Afrika, werd in 2019 gedoxxed nadat ze per ongeluk een bericht bedoeld voor haar producer naar een WhatsApp-groep van de politieke partij Economic Freedom Fighters (EFF) stuurde. De EFF beheerde de groep zodat journalisten mediaverklaringen konden krijgen, maar partijleider Julius Malema beschuldigde Karima van spionage en tweette vervolgens haar telefoonnummer naar ongeveer 2,3 miljoen volgers op social media. Brown meldde dat ze grafische berichten ontving waarin werd gedreigd met mishandeling en moord. Een hoge rechtbank in Johannesburg deed uiteindelijk de uitspraak dat deze doxxing zaak in strijd was met de Kieswet van Zuid-Afrika.

Technologiebedrijf getroffen door doxxing-hackers

Zelfs technologiereuzen kunnen de gevolgen van doxxing ondervinden. X belandde begin 2023 in de schijnwerpers van doxxing, toen maar liefst 200 miljoen e-mailadressen van hun gebruikers op een hackerforum werden onthuld, nadat hackers een losgeld van $200.000 eisten. Deze inbreuk bracht gebruikers in de phishing- en hackarena, met de gepubliceerde gegevens als een VIP-pas voor potentiële identiteitsmisbruikers.

Hoe voorkom je doxxing

Doxxing preventie moet een topprioriteit zijn voor zowel individuen als organisaties. Dit vereist een combinatie van proactieve maatregelen om je online aanwezigheid en persoonlijke informatie te beschermen. Hier zijn enkele essentiële stappen om jezelf en je werkplek te helpen beschermen tegen doxxing:

• Beperk blootstelling op social media. Controleer je online profielen, inclusief social media accounts, forums en websites om ervoor te zorgen dat je niet onbewust teveel persoonlijke informatie deelt.
• Schakel multifactorauthenticatie in (MFA). Gebruik MFA waar mogelijk om een extra beveiligingslaag toe te voegen aan je online accounts en het risico van ongeautoriseerde toegang door doxxers te verminderen.
• Gebruik sterke wachtwoorden. Kies unieke wachtwoorden voor al je online accounts. Gebruik een betrouwbaar wachtwoordbeheerprogramma dat veilig je inloggegevens kan genereren en opslaan. Als je een wachtwoord moet onthouden, zoals het wachtwoord van je wachtwoordmanager, gebruik dan mnemonische regels om het gemakkelijker te maken.
• Verwijder metadata uit foto’s en bestanden. Om metadata te verwijderen, open je het bestand op je computer, klik je met de rechtermuisknop op Eigenschappen en selecteer je de optie om eigenschappen en persoonlijke informatie te verwijderen. Let op: dit werkt alleen op Windows en op een desktop. Om elders bestanden te verwijderen, is het snelste wat je kunt doen door een app te downloaden die dat doel dient.
• Wees voorzichtig met openbare wifi. Openbare wifi-netwerken, zoals die in cafés, luchthavens en hotels zijn meestal open en onveilig. Ze hebben geen encryptie en beveiligingsmaatregelen, waardoor het makkelijker wordt voor doxxers om gegevens te onderscheppen.
• Maak onderscheid tussen persoonlijke en professionele online profielen. Controleer en verscherp de privacy-instellingen op al je social media-accounts om de zichtbaarheid van je persoonlijke informatie te beperken tot alleen degenen die je vertrouwt. Wees alert op wie je berichten en profielgegevens kan zien.
• Gebruik een virtueel privénetwerk (VPN). Een VPN kan helpen om je internetverbinding te anonimiseren door je IP-adres te maskeren, waardoor het moeilijker wordt voor doxxers om je online activiteiten te traceren.
• Wees op je hoede voor phishing pogingen. Controleer dubbel voordat je bijlagen downloadt of klikt op links van onbekende bronnen, omdat dit phishing-e-mails of berichten kunnen zijn.
• Hou je digitale footprint in de gaten. Voer periodiek zoekopdrachten uit op zoekmachines om te zien welke informatie over jou publiekelijk  beschikbaar is. Als je gevoelige informatie vindt, heb je het recht om de eigenaar van de website te vragen deze te verwijderen.
• Wees alert in online gemeenschappen en forums. Gebruik versleutelde berichten-apps, robuuste netwerkbeveiliging en bijgewerkte malware-software. Beperk het delen van locatiegegevens en denk na over je publiek voordat je iets post.
• Let op e-mailbeveiliging. E-mailbeveiligingsoplossingen gebruiken geavanceerde filtertechnieken om spam, phishing en andere verdachte e-mails te identificeren en te blokkeren. Dit verkleint de kans om in de val te lopen voor doxxing-pogingen die verborgen zijn in je inbox.

Het verminderen van doxxing-risico’s in de moderne wereld: Hoe kun je je organisatie beschermen?

Stel je doxxing voor als die ongewenste gast die probeert je online feestje te verstoren. Het gaat allemaal om het achterhalen van je persoonlijke informatie en die zonder jouw toestemming op internet te verspreiden. Wanneer dit met kwaadaardige bedoelingen gebeurt, kan doxxing leiden tot verschillende negatieve gevolgen zoals intimidatie, bedreigingen, stalking, identiteitsdiefstal en schade aan iemands reputatie of persoonlijke veiligheid. Daarom zijn bewustwording van doxxing en preventiestrategieën zo belangrijk voor zowel individuen als organisaties die hierdoor kunnen worden getroffen.

SoSafe biedt gepersonaliseerde bewustwordingstraining via een boeiend e-learning platform om ervoor te zorgen dat werknemers, het management en iedereen daartussen op de hoogte zijn van doxxing en vergelijkbare cyberbeveiligingsrisico’s. Maar als je een stap verder wilt gaan en je nieuwe kennis wilt testen, bereiden de phishing simulaties van SoSafe – met honderden sjablonen voor verschillende soorten aanvallen – jouw organisatie voor op echte aanvallen.

Om het bewustzijnsniveau van je werknemers hoog te houden en ervoor te zorgen dat ze altijd op de hoogte blijven van de nieuwe tactieken van cybercriminelen, heeft SoSafe een nieuwe Rapid Awareness chatbot genaamd Sofie gelanceerd. Sofie maakt realtime waarschuwingen en berichten die direct geïntegreerd zijn in MS Teams om cyberbeveiliging bovenaan de agenda te houden.

Al deze middelen vergroten het bewustzijn en versterken de cyberbeveiliging en bieden essentiële bescherming nu de dreigingen van doxxing-aanvallen blijven toenemen.