La Electronic Frontier Foundation publica una guía en dos partes sobre cómo prevenir la exposición maliciosa de información personal y cómo reaccionar cuando el ataque ya comenzó
Una dirección. Un número de teléfono. El nombre de una empresa. Una propiedad registrada. Una fotografía publicada años atrás. Un nombre de usuario repetido en diferentes plataformas.
Individualmente, cada dato puede parecer irrelevante.
Reunidos, relacionados y colocados en manos de una persona que pretende intimidar, acosar o causar un daño, pueden convertirse en algo completamente diferente: un mapa de nuestra identidad, nuestras relaciones y nuestra vida fuera de Internet.
Ese es el problema que aborda la Electronic Frontier Foundation (EFF) en una investigación práctica publicada en dos partes sobre seguridad frente al doxxing.
La primera entrega, Doxxing Safety Pt I: Prevention and Footprint Management, se concentra en la prevención y en la reducción de la huella digital. La segunda, Doxxing Safety Part II: Incident Response, analiza qué hacer cuando la exposición o el hostigamiento ya está ocurriendo.
El enfoque resulta especialmente relevante porque rompe con una idea extendida sobre la seguridad informática.
Para obtener información suficiente para perjudicar a alguien no siempre es necesario hackear una computadora.
A veces basta con buscar.
Qué es el doxxing
La EFF define el doxxing como la divulgación deliberada de información personal destinada a acosar, intimidar o desencadenar una sucesión de daños contra una persona.
En la segunda parte lo describe también como la difusión deliberada de información personal con el propósito de acosar o poner a alguien en peligro.
La característica más inquietante del fenómeno es el origen que puede tener esa información.
El atacante puede acceder a datos que ya estaban disponibles públicamente y posteriormente reunirlos y amplificar su difusión.
No necesariamente existe una intrusión informática.
Puede existir agregación maliciosa de información accesible.
Esa diferencia es fundamental para comprender el problema.
OSINT: reconstruir una persona a partir de fragmentos
La primera parte de la investigación dedica especial atención a OSINT, sigla de Open Source Intelligence o inteligencia de fuentes abiertas.
La EFF explica que OSINT comprende herramientas y metodologías destinadas a investigar y recuperar información disponible en fuentes abiertas.
La organización resume el mecanismo de una manera especialmente gráfica: consiste en ir reuniendo fragmentos de información hasta formar “un dossier sobre una persona”.
Y advierte sobre una dualidad importante:
OSINT puede estar en el corazón de las campañas de doxxing, pero esas mismas técnicas pueden utilizarse defensivamente para descubrir qué información sobre nosotros está disponible en Internet.
La herramienta, por lo tanto, no determina por sí misma la finalidad.
La diferencia está en quién investiga, para qué lo hace y cómo utiliza el resultado.
El primer ejercicio: investigarse a uno mismo
De la metodología propuesta por la EFF surge una recomendación sencilla pero poderosa: observar nuestra propia identidad digital desde la perspectiva de alguien que intenta reconstruirla.
¿Qué aparece al buscar nuestro nombre?
¿Qué cuentas antiguas siguen abiertas?
¿Qué nombre de usuario utilizamos en diferentes servicios?
¿Dónde aparece nuestro domicilio?
¿Qué sociedades o actividades profesionales están vinculadas públicamente con nuestro nombre?
¿Existen fotografías nuestras indexadas en otros sitios?
¿Nuestros datos aparecieron en alguna filtración?
¿Una cuenta aparentemente anónima puede relacionarse con nuestra identidad real mediante un nombre de usuario reutilizado?
La prevención del doxxing comienza, de este modo, con una auditoría de la propia exposición.
Las filtraciones que nunca desaparecen completamente
Otra fuente de riesgo son las grandes filtraciones de información.
Cuando una empresa sufre una intrusión y los datos de sus clientes son extraídos, explica la EFF, esa información puede terminar incorporándose a bases de datos procedentes de brechas de seguridad y posteriormente circular, venderse o reutilizarse ilegalmente.
La persona afectada puede no haber cometido ningún error.
Su información queda expuesta debido a una falla de seguridad de un tercero.
La EFF menciona herramientas que permiten comprobar si determinados datos identificativos aparecen en filtraciones conocidas.
Conocer esa circunstancia no permite necesariamente borrar el pasado, pero puede permitir reaccionar: modificar una dirección de correo, cambiar un número telefónico o adoptar medidas adicionales de seguridad.
Aquí aparece uno de los problemas estructurales de la privacidad contemporánea:
podemos proteger cuidadosamente nuestros propios dispositivos y, aun así, nuestros datos pueden quedar expuestos por la inseguridad de una organización que los almacenaba.
El gran dilema de los registros públicos
Para el mundo jurídico y notarial, probablemente éste sea uno de los puntos más interesantes de toda la investigación.
La EFF reconoce expresamente que los registros públicos plantean un dilema.
Menciona, entre otros, registros electorales, inmobiliarios, societarios y de licencias profesionales.
La transparencia de determinada información responde a intereses públicos legítimos.
Pero la EFF advierte simultáneamente que facilitar información personalmente identificable a personas con intenciones maliciosas puede provocar “graves consecuencias”.
Aquí aparece una tensión jurídica que trasciende ampliamente al doxxing:
¿cómo compatibilizar publicidad, transparencia y seguridad personal en una sociedad donde millones de registros pueden ser consultados, copiados, agregados y correlacionados digitalmente?
El problema no necesariamente reside en que un dato sea público.
Puede residir en la extraordinaria facilidad tecnológica para reunir miles de datos públicos que antes permanecían materialmente dispersos.
Publicidad no significa inocuidad
Durante décadas, muchos sistemas registrales funcionaron bajo una limitación práctica.
La información podía ser pública, pero encontrarla requería conocer el registro correcto, presentar una solicitud, desplazarse físicamente o realizar búsquedas separadas.
Internet modificó radicalmente esa ecuación.
La EFF señala la existencia de sitios que replican registros y facilitan su localización mediante búsquedas sencillas.
Aunque retirar información de uno de esos sitios no elimina necesariamente el registro original, sí puede eliminar una capa de facilidad de acceso.
La diferencia parece pequeña, pero conceptualmente es enorme.
La publicidad jurídica de un dato y su indexación global e instantánea no son necesariamente fenómenos equivalentes.
Éste es un debate que los sistemas jurídicos deberán afrontar cada vez con mayor profundidad.
Redes sociales: nosotros también construimos el expediente
Otra parte del dossier puede provenir de las propias personas.
Fotografías, viajes, lugares de trabajo, familiares, cumpleaños, amistades, automóviles, instituciones educativas, restaurantes frecuentados y ubicaciones pueden terminar conformando un patrón.
La EFF recomienda revisar las configuraciones de privacidad y seguridad de las redes sociales y considerar limitar la posibilidad de descubrimiento de las cuentas.
También aconseja revisar dónde se han utilizado determinados nombres de usuario, especialmente cuando una persona lleva muchos años en Internet.
El nombre de usuario aparentemente insignificante puede funcionar como un hilo conductor entre plataformas diferentes.
Data brokers: el mercado de nuestra identidad
La EFF reserva algunas de sus críticas más severas para los data brokers.
Estas empresas recopilan, organizan y comercializan información sobre personas procedente de numerosas fuentes.
Desde la perspectiva del doxxing, el problema resulta evidente: aquello que para una compañía constituye un activo comercial puede convertirse para un agresor en infraestructura de investigación.
La organización recomienda solicitar la eliminación de información directamente a estos intermediarios cuando exista esa posibilidad.
También señala que hacerlo manualmente puede ser un proceso agotador y consumir mucho tiempo.
El problema revela una contradicción característica de la economía digital.
La misma información que permite segmentar publicidad, evaluar consumidores o construir perfiles comerciales puede servir para identificar, localizar o intimidar personas.
Cuando nuestro rostro también puede buscarse
La investigación incorpora otra dimensión: los servicios de búsqueda inversa de imágenes y reconocimiento facial.
Actualmente es posible proporcionar una fotografía a determinados servicios y buscar dónde aparece un rostro en Internet.
Esto puede servir defensivamente para descubrir fotografías propias difundidas sin autorización.
Pero existe un costo potencial.
La EFF advierte que utilizar voluntariamente algunos de estos servicios supone permitir que nuestra imagen sea procesada por sus sistemas.
Por ello plantea la decisión como una evaluación de riesgos: en determinadas situaciones de hostigamiento dirigido puede considerarse que el beneficio de localizar imágenes difundidas sin consentimiento justifica esa exposición adicional.
No existe, por tanto, una receta universal.
Existe un modelo de amenaza.
Privacidad como trabajo colectivo
Una de las ideas que atraviesa ambas partes de la investigación puede traducirse así:
“La privacidad es un deporte de equipo.”
La EFF recomienda involucrar personas de confianza cuando existe riesgo de hostigamiento coordinado.
La razón es práctica.
Una persona puede encargarse de vigilar determinadas plataformas; otra, registrar incidentes; otra, configurar alertas; otra, reforzar las cuentas digitales.
Esto adquiere todavía mayor importancia cuando el ataque ya comenzó.
Segunda parte: el ataque comenzó
La segunda publicación cambia completamente de escenario.
Ya no pregunta únicamente cómo reducir nuestra exposición.
Pregunta qué hacer cuando estamos siendo víctimas de doxxing.
La primera recomendación es aparentemente elemental: documentar.
Crear un registro del incidente
La EFF recomienda mantener un incident log, es decir, un registro cronológico del incidente.
No necesita ser sofisticado.
Debe permitir registrar rápidamente dónde ocurrió algo, fecha y hora, descripción de la conducta, identificación o descripción del posible agresor y otras personas involucradas.
La documentación puede resultar útil si posteriormente intervienen autoridades.
Desde una perspectiva probatoria, esta recomendación posee enorme importancia.
Cuando una campaña se desarrolla durante días o semanas y atraviesa distintas plataformas, la víctima puede encontrarse posteriormente con decenas o cientos de publicaciones, mensajes y amenazas.
Reconstruir retrospectivamente esa secuencia puede resultar mucho más difícil.
Preservar evidencia desde el comienzo puede ser tan importante como intentar eliminar el contenido.
Esta última consideración es un análisis jurídico derivado de la metodología de documentación propuesta por la EFF, no una afirmación textual de la organización.
No enfrentarse solo al agresor
La EFF vuelve a insistir en la organización colectiva de la respuesta.
Personas de confianza pueden asumir funciones específicas: observar determinados espacios, registrar acontecimientos, configurar alertas, reforzar redes sociales o, en determinados contextos, contactar a las autoridades.
El objetivo es evitar que la víctima tenga que exponerse continuamente al contenido hostil mientras simultáneamente intenta proteger todas sus cuentas y documentar el ataque.
Observar sin interactuar
Cuando resulta necesario vigilar espacios donde se organiza el hostigamiento, la EFF recomienda hacerlo de forma privada y segura.
Menciona específicamente el navegador Tor para determinadas tareas de recopilación de información y aconseja no interactuar con las personas presentes en esos espacios.
La finalidad no es confrontar.
Es obtener conciencia situacional.
Alertas sobre nuestro propio nombre
Otra recomendación consiste en configurar alertas de búsqueda.
La EFF menciona Google Alerts como ejemplo para recibir avisos cuando un término determinado —como el propio nombre— aparece recientemente indexado.
La organización advierte, sin embargo, que este mecanismo tiene limitaciones.
Una campaña anónima puede no aparecer.
También menciona herramientas más sofisticadas para seguir campañas coordinadas, pero advierte que los sistemas automatizados pueden perder lenguaje indirecto o referencias sutiles.
La automatización ayuda.
No sustituye completamente el análisis humano.
Blindar las cuentas públicas
Cuando una cuenta debe permanecer activa, la EFF recomienda revisar inmediatamente sus configuraciones de privacidad y seguridad.
Una de las medidas centrales es habilitar autenticación de dos factores cuando todavía no esté activada.
En redes sociales también puede considerarse convertir temporalmente una cuenta en privada, limitar quién puede acceder a ella, silenciar determinadas palabras y bloquear usuarios.
En algunos casos, la organización considera que cerrar temporalmente una cuenta atacada puede ser la mejor alternativa.
Especialmente si existen indicios de que esa cuenta está proporcionando información utilizada posteriormente contra la víctima.
Volver sobre los registros públicos
Una vez iniciado el ataque, la segunda parte recomienda regresar al trabajo realizado durante la prevención.
Revisar nuevamente registros electorales, societarios, judiciales e inmobiliarios.
Examinar sitios que reproducen esos datos.
Intentar limitar su accesibilidad cuando sea posible.
Y, cuando no pueda eliminarse la información, conocer exactamente qué sabe potencialmente el agresor.
Ésta es una distinción estratégica importante.
Si no podemos hacer desaparecer un dato, todavía podemos incorporarlo a nuestra evaluación del riesgo.
El riesgo del SWATing
La investigación aborda también una de las consecuencias potencialmente más peligrosas de una campaña coordinada: el SWATing.
Se trata, según explica la EFF, de una táctica mediante la cual un agresor realiza una denuncia falsa ante la policía buscando provocar una intervención policial en el domicilio de la víctima.
En determinadas circunstancias, la organización considera que podría ser conveniente advertir previamente a las autoridades sobre la existencia de la campaña y la posibilidad de llamadas fraudulentas.
La EFF introduce, sin embargo, una cautela importante: reconoce que para algunas personas contactar a las fuerzas de seguridad puede empeorar la situación.
Por ello no presenta esta decisión como una recomendación universal.
Preparar un plan antes de necesitarlo
La EFF incorpora el concepto PACE:
Primary – Alternate – Contingency – Escape/Emergency.
Puede traducirse como:
Primario – Alternativo – Contingencia – Escape/Emergencia.
La idea consiste en diseñar anticipadamente distintas respuestas según la gravedad de la situación.
No improvisar bajo presión.
Definir de antemano qué hacer, quién debe hacerlo y qué alternativa existe si la primera estrategia falla.
La organización describe estos documentos como una especie de protocolo preparado previamente para reaccionar si el doxxing escala hacia mayores niveles de daño o peligro.
El teléfono puede convertirse en una llave maestra
El riesgo tampoco termina en las redes sociales.
La EFF advierte sobre el SIM swapping.
En este ataque, una persona intenta hacerse pasar por la víctima ante la compañía telefónica para obtener control sobre su número.
Una vez conseguido, ese número puede utilizarse para intentar recuperar o apropiarse de otras cuentas que dependen del teléfono como mecanismo de autenticación.
La recomendación es incorporar contraseñas o PIN adicionales en cuentas especialmente sensibles —incluidas las bancarias y las vinculadas con telefonía móvil— cuando los proveedores permitan hacerlo.
El punto demuestra por qué el doxxing no debe analizarse solamente como publicación de datos.
La información obtenida puede convertirse en materia prima para otros ataques.
De la exposición digital al riesgo físico
Las dos publicaciones permiten observar una progresión.
Primero existe información dispersa.
Después alguien la recopila.
La relaciona.
Identifica a la persona.
Localiza cuentas, familiares, actividades o domicilio.
Difunde esa información.
Otros actores pueden incorporarse.
Y la campaña puede abandonar finalmente el espacio digital.
Ésta es precisamente la razón por la cual reducir el doxxing a una cuestión de “privacidad en redes sociales” resulta insuficiente.
Puede involucrar seguridad digital, protección de datos, reputación, evidencia electrónica, responsabilidad de plataformas, registros públicos y, en los escenarios más graves, seguridad física.
El derecho frente al poder de correlacionar
Existe una pregunta jurídica de fondo que las investigaciones de la EFF permiten formular:
¿un dato sigue teniendo jurídicamente la misma naturaleza cuando deja de estar aislado y pasa a formar parte de un perfil exhaustivo construido mediante correlación automatizada?
Nombre, profesión, sociedad comercial, inmueble y fotografía pueden provenir de fuentes legítimas.
Pero su agregación puede revelar mucho más que cada elemento por separado.
La digitalización produce, por tanto, un cambio cualitativo.
No solamente existen más datos.
Existe una capacidad incomparablemente mayor para relacionarlos.
Éste es uno de los desafíos centrales que enfrentan los sistemas contemporáneos de protección de datos y publicidad registral.
La paradoja de nuestra identidad digital
La sociedad digital exige identificarnos constantemente.
Creamos perfiles profesionales para trabajar.
Publicamos información para desarrollar actividades comerciales.
Registramos empresas.
Adquirimos propiedades.
Participamos en redes sociales.
Aparecemos en bases de datos.
Aceptamos términos y condiciones.
Entregamos números telefónicos para verificar identidades.
Cada acción puede tener una justificación independiente.
Pero el resultado acumulativo es una huella.
Y esa huella puede revelar mucho más de lo que conscientemente decidimos publicar.
Minimizar no significa desaparecer
La EFF no plantea que la única manera de estar seguro sea abandonar Internet.
Su planteamiento es más realista.
La segunda parte concluye precisamente señalando que las personas pueden continuar compartiendo información en línea sin comprometer innecesariamente su seguridad.
La clave está en recuperar capacidad de decisión.
Saber qué existe.
Eliminar lo innecesario.
Dificultar el acceso a determinados datos.
Separar identidades cuando resulte conveniente.
Proteger las cuentas.
Preparar respuestas.
Documentar incidentes.
Y comprender el propio modelo de amenaza.
Una cuestión que excede a la ciberseguridad
El doxxing revela finalmente una paradoja de nuestro tiempo.
La información puede haber sido obtenida legítimamente y utilizarse ilegítimamente.
Puede ser pública y simultáneamente peligrosa.
Puede haber sido publicada voluntariamente diez años atrás y convertirse hoy en una pieza decisiva para identificar a una persona.
Puede proceder de un registro creado para garantizar transparencia y terminar incorporada a una campaña de intimidación.
Puede haber sido entregada confidencialmente a una empresa y reaparecer años después debido a una filtración.
El problema, por lo tanto, no reside exclusivamente en quién posee nuestros datos.
También reside en qué puede hacer alguien cuando consigue reunirlos.
Ésa es probablemente una de las enseñanzas más importantes de la investigación publicada por la Electronic Frontier Foundation.
En Internet, la privacidad ya no puede medirse únicamente preguntando:
“¿Qué información publiqué?”
También debemos preguntarnos:
“¿Qué puede descubrir alguien cuando conecta toda la información disponible sobre mí?”
Y esa diferencia —entre el dato aislado y la identidad reconstruida— se está convirtiendo en uno de los grandes desafíos jurídicos, tecnológicos y sociales de la vida digital.