Guide anti-doxxing : protégez votre identité

Le doxxing est une pratique violente sur internet qui consiste à rechercher et à diffuser des informations privées ou identifiables sur un individu afin de le harceler et de le traumatiser. Ces attaques peuvent s’accompagner de violences dans le monde réel et de la diffusion d’informations désobligeantes sur un individu et/ou un mouvement.

Les personnes hostiles peuvent obtenir ces informations en effectuant des recherches dans des bases de données publiques, en épeluchant les réseaux sociaux tels que Facebook ou en faisant du piratage.

Les pratiques ci-dessous vous aideront à vous protéger contre ces attaques et doivent être maintenues pour préserver votre résilience numérique.

Apprenez comment éviter que quelqu’un ne révèle vos informations les plus personnelles

→ Qu’est-ce que le doxxing ?

Le doxxing est une cyber-attaque qui consiste à découvrir la véritable identité d’un internaute. L’attaquant révèle alors les détails de cette personne afin que d’autres puissent la cibler par des attaques malveillantes.

Le doxxing consiste à analyser les informations publiées en ligne par la victime afin de l’identifier et de la harceler ultérieurement. Voici notre guide anti-doxxing. 

→ Définition

Le terme « doxxing » vient de l’expression « dropping dox » qui était une tactique de vengeance utilisée par les pirates informatiques lorsqu’ils lâchaient des informations malveillantes sur un rival. Aujourd’hui, le doxxing est utilisé pour faire honte ou punir les personnes qui préfèrent rester anonymes, en raison de leurs croyances controversées ou d’autres types d’activités non conventionnelles.

Vous vous rappelez l’histoire de Hansel et Gretel ? Le petit Hansel apprit le plan de la forêt et utilisa des miettes de pain pour laisser sa trace sur la route. Après avoir été abandonnés dans les bois, lui et sa soeur Gretel n’eurent plus qu’à suivre la piste de miettes de pain pour retrouver leur chemin.

→ Remonter les miettes de pain jusqu’à la source

Cette utilisation de miettes de pain, c’est exactement ce que font les personnes malveillantes lorsqu’elles tentent de pirater quelqu’un.

La plupart d’entre nous sommes négligents avec les informations que nous partageons sur internet. Nous laissons derrière nous une traînée de miettes de pain qu’un cybercriminel peut utiliser pour découvrir notre véritable identité, puis déployer une série d’attaques malveillantes.

C’est ce qu’on appelle le doxxing, qui a déjà mis en péril la vie de plusieurs personnes.

Qui ciblent les Doxxers ?

Exemples de doxxing

→ L’histoire d’un troll sur Reddit

Michael Brutsch utilisait le pseudo en ligne Violentacrez sur le forum de messagerie Reddit. Au fil des ans, il s’était forgé une réputation de troll grâce à ses messages sur le site. Par exemple, il avait créé des sous-reddits sur la misogynie ou des photos sexualisées de femmes mineures.

Pendant longtemps, Michael Brutsch a réussi à garder secrète son identité en ligne. Mais le journaliste de Gawker, Adrian Chen, a réussi à relier Michael Brutsch à Violentacrez puis a rendu l’information publique. En d’autres termes, Michael Brutsch a été doxxé.

Chen a pu faire ce doxxing facilement parce que Michael Brutsch avait pris des risques avec son identité. D’une part, il rencontrait des utilisateurs de Reddit dans la vie réelle, lors de rencontres et de fêtes. Lors des séances de photos, il demandait juste que son visage soit flouté. Il animait aussi un podcast, dont Chen s’est servi pour passer un appel téléphonique et vérifier que sa voix correspondait.

Après avoir été doxxé, Brutsch a fini par perdre son emploi et subir une humiliation publique, aggravée par sa décision de faire une interview sur CNN.

→ L’histoire d’un nazi doxxé

Le paysage politique actuel étant ce qu’il est, un grand nombre de personnes se battent contre les organisations nazies et néonazies qui attirent l’attention, tant en ligne que hors ligne. Dans le but de faire taire des programmes dangereux, le nombre de justiciers en ligne a augmenté de façon alarmante. De nombreux utilisateurs de forums néonazis ont été doxxés, harcelés en ligne et même renvoyés à cause de leurs opinions (exemple ici en 2019).

Bien que la cause puisse sembler valable, le doxxing est et reste un acte de vigilance en ligne ou d’auto-répression qui n’est jamais bon. Kyle Quinn, un professeur de l’Arkansas, a été accusé à tort de participer à la marche néo-nazie de Charlottesville. Du jour au lendemain, M. Quinn a découvert que son image était partagée par des milliers de personnes sur les médias sociaux et il a été bombardé de messages sur Twitter et Instagram. Pire encore, ses employeurs ont été contactés par des doxxers exigeant le licenciement de M. Quinn.

Comment le doxxing et le swatting mènent à la tragédie

Une autre pratique liée au Doxxing est le Swatting. Le Swatting consiste à faire une fausse dénonciation à la police (Swatt en anglais) pour faire intervenir les agents armés au domicile de quelqu’un. Une victime qui se fait doxxer peut également être victime de swatting. Les pirates informatiques malveillants trouvent l’adresse d’une personne et font de fausses alertes à la bombe ou d’autres incidents graves, puis la police se présente au domicile des victimes sans méfiance.

En décembre 2017, un tel incident a entraîné la mort d’Andrew Finch, originaire du Kansas. Finch a été tué par un policier qui répondait à une fausse dispute de violence domestique. En 2019, en France, un joueur de Fortnite a vu les forces de l’ordre intervenir chez lui suite à une fausse dénonciation de crime (source).

D’autres pirates publient sur des forums publics des photos de femmes nues en précisant leur adresse et leur numéro de téléphone.

Sur Instagram, une de mes amies a écrit une série de commentaires critiques sur les photos d’un célèbre compte Instagram. Ses commentaires ont touché un point sensible, si bien que les administrateurs ont riposté en révélant publiquement son nom, le nom de son partenaire, son numéro de téléphone et son adresse, avec l’instruction explicite de la harceler. Les fans ont dûment suivi les instructions et ont insulté mon amie par des commentaires racistes, ont mis au jour certaines de ses entreprises commerciales et l’ont menacée de révéler son numéro de sécurité sociale. Le harcèlement a fini par s’arrêter mais seulement après qu’elle ait franchi des étapes juridiques compliquées et émis des avis de retrait.

Révélations faites par les Doxxers

Ce qui vous trahit auprès des Doxxers

Les cybercriminels et les trolls peuvent être très ingénieux dans la façon dont ils vous doxxent. Ils peuvent utiliser un seul indice, puis le suivre jusqu’à ce qu’ils démêlent lentement votre identité en ligne.

→ Trahis par vos messages

Ce qu’il faut savoir, c’est que plus vous écrivez sur des forums et autres réseaux, plus vous avez de chances de révéler accidentellement des informations personnelles vous concernant. Si vous utilisez les réseaux sociaux, c’est encore plus dangereux.

Vous n’avez même pas besoin de dire où vous vivez. Il est possible de déterminer approximativement votre lieu de résidence par élimination.

Par exemple, vous écrivez un message disant que vous n’habitez pas en Amérique. Dans un autre, vous dîtes que vous voulez visiter un autre continent et que votre prochain ce sera l’Asie. En seulement deux statuts, le cybercriminel fait le rapprochement que vous vivez probablement en Europe.

Dans un autre message, vous dites que Walmart n’est pas présent dans votre pays, mais que Carrefour est la chaîne de magasins dominante. Votre localisation possible a été réduite à 3 ou 4 pays. Au fur et à mesure que le doxxer passe en revue vos informations, il découvre peu à peu le pays dans lequel vous vivez, et même votre ville.

→ Packet sniffing

Le « Packet sniffing » est une méthode de piratage par laquelle le doxxer intercepte vos données sur internet telles que des courriers électroniques, des mots de passe, des données de cartes bancaires, etc.

Pour ce faire, le doxxer se connecte à un réseau tel que le réseau Wi-Fi, brise ses mesures de sécurité et intercepte toutes les données qui entrent et sortent. Puisqu’il a accès à ces données en temps réel, tout ce que vous tapez dans un formulaire s’affiche simultanément sur son écran.

→ Comment se protéger contre le « packet sniffing » ?

→ Les informations que vous laissez sur les réseaux sociaux

Ross Ulbricht a été le fondateur du tristement célèbre site « Silk Road », qui faisait le commerce de drogues, d’armes, etc. Pour dissimuler son identité, il utilisait le surnom de « Dread Pirate Roberts ». La police a pu établir un lien entre Ross Ulbricht et Dread Pirate Roberts en partie parce que ces deux « personnages » se disaient libertaires, adeptes de l’Institut Mises, et que tous les deux voulaient créer « une simulation économique de ce que serait la vie dans un monde sans recours systémique à la force ».

Au cours de son procès, Ross Ulbricht a construit sa défense en prétendant qu’il avait donné le compte de Dread Pirate Roberts et que quelqu’un d’autre l’utilisait pour trafiquer de la drogue. Mais affirmer que c’était de simples « coïncidences » n’a pas fonctionné et les juges l’ont condamné à perpétuité.

→ Les métadonnées de vos fichiers

Les fichiers Microsoft Word ou Excel comportent des « métadonnées ». Ce sont des informations sur le document que vous pouvez trouver en cliquant avec le bouton droit de la souris sur un fichier Microsoft Office -> Propriétés -> Détails.

Cette section contient des données sur l’auteur du fichier, sa date, l’ordinateur d’origine, la société qui l’a créé et même le temps total d’écriture.

En jetant simplement un coup d’œil sur ces métadonnées, un doxxer peut en apprendre beaucoup sur vous.

Il n’y a pas que les fichiers Microsoft Office qui se souviennent des métadonnées, les photos ont quelque chose de similaire appelé données EXIF. Celles-ci contiennent des données concernant le modèle d’appareil photo ou de téléphone, la résolution, l’emplacement (si vous avez activé le GPS) et l’heure à laquelle la photo a été prise.

→ Remonter l’adresse IP

Les enregistreurs d’adresses IP sont des outils utilisés sur internet pour renifler l’adresse IP d’une personne. Ces enregistreurs attachent un code invisible à un message ou à un courriel, et une fois que le destinataire ouvre le message, le code suit son adresse IP et la renvoie secrètement à l’enregistreur d’IP.

But du Doxxing

Comment empêcher le doxxing

→ Supprimez tous les comptes orphelins qui vous concernent

N’oubliez pas que les trolls vont utiliser toutes les informations qu’ils ont sur vous en ligne pour accéder au plus grand nombre de comptes que vous possédez. Les comptes orphelins ou les comptes que vous n’avez pas utilisés depuis longtemps peuvent vous rendre vulnérable car s’ils utilisent un mot de passe ancien et moins sécurisé, ils pourront révéler des données sur vous qui pourront être utilisées sur d’autres comptes. Soyez prudent et fermez-les. Vous pouvez obtenir une liste des comptes desquels vous avez peut-être oublié de vous désinscrire en vous rendant sur le site https://namechk.com.

→ Protégez votre adresse IP avec un VPN/Proxy

VPN est l’abréviation de Virtual Private Network, il s’agit d’un véritable filtre pour votre trafic internet. En gros, le trafic de votre PC ou autre appareil entre dans le VPN et acquiert ses propriétés d’identification, c’est-à-dire son adresse IP, son emplacement et toute autre donnée similaire. Le vpn chiffre vos données et les rend telles que même votre fournisseur d’accès internet ne peut pas connaître votre adresse IP. Un enregistreur d’IP, par exemple, ne révélerait pas votre véritable IP personnelle, mais l’IP du VPN.

Surtout, installez un réseau privé virtuel sur votre téléphone pour protéger votre accès au réseau. Cela permet de privatiser le trafic de votre réseau et de contourner le filtrage effectué par votre fournisseur d’accès internet. Cela permet également de s’assurer que les trolls ne peuvent pas vous trouver en utilisant votre adresse IP. Nous recommandons NordVPN, mais quel que soit le VPN que vous utilisez, lisez toujours sa politique de confidentialité pour vous assurer que ce service ne vend pas, ne stocke pas ou ne partage pas vos données et qu’il les protégera s’il est réquisitionné par l’État.

Un serveur proxy est un peu différent d’un VPN même s’il fonctionne à peu près selon les mêmes principes. D’une part, un proxy ne chiffre pas vos données comme le fait un VPN, de sorte qu’un FAI connaît votre adresse IP réelle à tout moment. Comme votre trafic n’est pas crypté, il est également plus vulnérable aux autres méthodes d’interception.

Un VPN est génial parce qu’il peut offrir la confidentialité, mais certains utilisateurs vantent les mérites du navigateur TOR pour plus d’anonymat. Au lieu de passer par les serveurs d’un VPN, votre trafic internet est canalisé par trois ordinateurs qui ne stockent aucune donnée pendant son transit. Le problème c’est qu’il attire les regards, et que vous ne pouvez pas choisir quels sont les 3 noeuds qui relayeront votre connexion. De plus il ne supporte pas toujours les sites lourds en fichiers multimédia. Si vous le faîtes, nous recommandons d’utiliser TOR au moins une fois par jour afin qu’il fasse partie de votre utilisation quotidienne et qu’il ne « dénote » pas lorsque vous devrez l’utiliser dans une situation d’urgence.

→ Evitez les connexions grâce à Facebook ou Google

La plupart des applications et des sites qui demandent une inscription proposent désormais les boutons « Connexion avec Facebook » ou « Connexion avec Google ». Ces méthodes de connexion vous permettent de vous inscrire sur le site web en utilisant l’adresse électronique que vous avez utilisée pour créer votre compte Facebook ou Google.

En faisant ça, vous donnez automatiquement au site web les informations contenues dans votre compte Facebook ou Google, telles que votre ville, votre emploi, votre numéro de téléphone, votre langue maternelle, vos informations familiales et plus encore.

Lorsque vous rentrez vos données manuellement, ce n’est pas aussi rapide mais au moins vous pouvez contrôler le type d’informations que le site possède sur vous.

Il est également important de suivre les meilleures pratiques de sécurité sur Facebook, sécuriser vos comptes et savoir comment les cybercriminels piratent les mots de passe de Facebook, Instagram et Snapchat.

Le Doxxing est-il illégal ?

Attention : pas illégal si vos informations sont déjà diffusées publiquement !

Par contre la diffamation publique est illégale

→ N’utilisez pas votre adresse électronique personnelle pour vous inscrire sur des forums ou d’autres sites similaires

Il y a de fortes chances que votre courriel principal ressemble à cela : [prénom][nom de famille]@gmail.com/yahoo.com/outlook.com.

C’est une combinaison simple et d’allure professionnelle. Cependant, elle révèle immédiatement votre identité si quelqu’un l’apprend.

Dans la plupart des cas, les forums sont dotés de mesures de sécurité faibles, ce qui permet à des pirates informatiques malveillants de s’y introduire et de divulguer les courriels utilisés pour enregistrer les comptes. Si en plus le site web affiche publiquement les courriels des utilisateurs, il suffit alors à un pirate de consulter votre profil d’utilisateur public !

Conseil simple : utilisez un courriel différent de votre courriel principal lorsque vous vous inscrivez sur des forums ou des chats électroniques.

→ Cachez les données personnelles contenues dans le WHOIS de votre site

Posséder un blog ou un site web exige que vous enregistriez le domaine internet avec certaines informations personnelles. Ces informations sont ensuite stockées dans une base de données appelée WHOIS.

Le problème c’est que cette base de données est publique, ce qui signifie que tout le monde peut voir les informations utilisées pour enregistrer votre site web, y compris les adresses, les numéros de téléphone, etc.

Sachez qu’en payant une petite somme, vous pouvez cacher certaines de vos informations personnelles de la vue du public. Pour modifier vos informations, il vous suffit de vous rendre sur le site où vous avez enregistré votre nom de domaine et d’examiner les options proposées pour rendre vos informations privées.

→ Retirez-vous des annuaires

Certains sites internet fonctionnent comme les Pages Jaunes. Ils scrutent internet pour y trouver des données et les rassemblent en un seul endroit. Il peut s’agir d’une adresse, d’un profil issu des réseaux sociaux, de photos, d’un numéro de téléphone, d’un courriel.

La plupart des entreprises offrent un moyen de vous exclure et de supprimer toute information qu’elles possèdent à votre sujet, mais elles rendent cette opération aussi difficile et longue que possible pour garder vos données.

Le service que nous vous recommandons est JustDeleteMe. Ce site regroupe toutes les manières et tous les liens utiles pour vous désabonner et vous désinscrire des gros sites.

→ Assurez-vous que Google ne possède pas d’information personnelle vous concernant

Cela peut être une entreprise assez difficile, car il faut se confronter à l’une des plus grandes entreprises du monde.

Il vous suffit de chercher votre nom sur Google et de voir si vous êtes révélé au grand jour que ce soit sur un forum, Reddit, les réseaux sociaux, les messageries ou tout autre site similaire.

Supprimez toutes les informations que vous trouvez, y compris les comptes qui n’ont plus d’importance pour vous. Si vous n’y avez plus accès, demandez à l’administrateur de chaque site web de le faire pour vous.

Quelle est la quantité d’informations que Google possède sur vous ? Consultez votre historique Google en tapant https://myactivity.google.com/myactivity dans votre navigateur lorsque vous êtes connecté à un compte Google. Cette entreprise connaît généralement votre position (vous pouvez trouver votre carte Google personnelle avec tous les lieux que vous avez visités).

Sécurisez votre compte Google en suivant les règles suivantes :

Enfin, ne révélez pas trop de choses sur vous-même lorsque vous utilisez votre téléphone et vérifiez les autorisations de vos applications.

Notre guide pour sécuriser votre vie privée en ligne se trouve ici.

Doxxing : non-éthique – Cas d’illégalités

→ Connaissez vos droits et utilisez la loi

Si vous vivez dans l’Union Européenne ou en Argentine, vous bénéficiez d’un « droit à l’oubli ». Ce droit vous permet de demander à un moteur de recherche de supprimer les résultats vous concernant.

Les options juridiques disponibles aux États-Unis sont plus limitées, mais Google, pour sa part, vous offre la possibilité de supprimer les contenus qui vous nomment.

Conclusion

Vous pourriez dire que vous êtes à l’abri du doxxing parce que vous n’avez rien à cacher. Mais est-ce vraiment le cas ?

Nous n’insinuons pas que vous faîtes quoi que ce soit d’immoral. Mais nous pensons que chacun a certains aspects de sa vie qu’il préfère garder privés. Ces aspects sont peut-être inoffensifs, mais ils doivent rester privés. Ils peuvent aller de la dissimulation d’une surprise à un commentaire sur votre conjoint ou à la dissimulation d’une opinion politique à vos collègues de travail. Chacun a quelque chose qu’il veut garder pour lui-même ou partager avec une communauté spécifique.

Il y a beaucoup de personnes en colère sur internet qui comptent sur le doxxing pour « gagner » une dispute. Tout commentaire en apparence anodin de votre part peut susciter la colère d’une foule sur internet.

Évitez de vous faire doxxer. Suivez les étapes décrites dans ce guide anti-doxxing pour rester en sécurité et anonyme. Pour un niveau de sécurité supplémentaire, pensez à changer de système d’exploitation au profit d’un autre soucieux de votre vie privée.