El doxxing es la divulgación deliberada de información personal con el fin de hostigar, acosar, intimidar o desatar una cadena de daños contra alguien. Es difícil protegerse de ello, porque el imbécil que lo hace suele valerse de medios legales y de acceso público. Las probabilidades juegan en contra de la gente común de internet cuando hay poca o ninguna legislación integral de privacidad de datos que nos proteja. La responsabilidad de protegernos recae en cada uno de nosotros, pero la buena noticia es que hay mucho que puedes hacer para reducir tu huella digital y recuperar el control de tus datos.

Este artículo es la primera parte de una serie de dos entregas sobre seguridad y respuesta ante el doxxing. Esta primera parte se centra en la prevención y en las formas de reducir tu huella general. La segunda se centra en la respuesta a incidentes, es decir, en los pasos a seguir si estás en medio de un caso de doxxing. Habrá cierta superposición y repetición entre ambos artículos, así que vale la pena leer los dos y familiarizarse con los pasos con bastante anticipación.

OSINT

La inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) es un término amplio dentro de la seguridad de la información. Se refiere a las herramientas y los medios a nuestro alcance para investigar y obtener información. OSINT está en el corazón de las campañas de doxxing, pero también es una pieza importante del proceso para prevenirlas. Por lo general describe una metodología para ir juntando retazos de información hasta armar un expediente sobre alguien.

Existen herramientas sofisticadas y multipropósito (como Maltego o Lampyre) que combinan muchos puntos de datos en gráficos y conjuntos de datos fáciles de consultar. Por útiles que resulten para las pruebas de penetración tradicionales o las campañas corporativas de OSINT, funcionan mejor en investigaciones centradas en organizaciones, donde se cruzan detalles como organigramas de correos de empleados, perfiles de LinkedIn y mapas de redes empresariales. Puede que no se ajusten a las necesidades de la gente común ni de quienes trabajan en movimientos de liberación. En su lugar, recomendamos consultar distintas listas de recursos OSINT que indexan un montón de herramientas diferentes, y usar esos recursos para armarte tu propia lista de cuáles te pueden resultar más útiles. 

Muchos de los recursos que mencionamos abajo, si no todos, aparecen en esas guías y entran ellos mismos en la categoría OSINT. Es importante señalar que las herramientas que mencionamos en este artículo solo son vigentes al momento de su publicación. Las ideas de fondo tienen una vida útil mucho más larga que cualquier herramienta tecnológica. Dicho eso, y sin ningún orden en particular:

Bases de datos de filtraciones

Cuando hackean a una empresa y se filtran los datos de sus clientes, esa información suele terminar en "bases de datos de filtraciones": depósitos de datos de personas disponibles para su venta y reutilización en mercados ilegales en línea. Por lo sensible de ese tipo de información, puede acabar usándose en campañas de doxxing. Algunos recursos, como haveibeenpwned, registran datos identificatorios expuestos en esas bases y facilitan que cada persona verifique si su información está incluida. Otros, como DeHashed, ofrecen un seguimiento parecido, pero de pago. 

Quizá no tengas control sobre la seguridad digital de una empresa que podría poner en riesgo tus propios datos, pero sí puedes averiguar si tu información ya anda circulando por ahí. Eso te da la oportunidad de controlar qué tan vigentes son esos datos (por ejemplo, cambiando tu dirección de correo o tu número de teléfono). Hacerlo es tremendamente incómodo pero, por desgracia, puede ser el único margen de acción que te queda cuando la inseguridad digital de otra empresa pone en riesgo tu propia seguridad.

Registros públicos

Los registros públicos (padrones electorales, registros de propiedad, registros de empresas, información de licencias médicas y más) plantean un dilema. Es de interés público que exista cierto nivel de transparencia sobre esa información. Por otro lado, poner ese tipo de información personal identificable al alcance de quienes tienen malas intenciones puede tener consecuencias graves. 

En vez de exigir una solicitud formal por vía judicial, los sitios espejo hacen que esa información sea fácil de encontrar en línea. Esos sitios suelen tener formularios donde puedes pedir que retiren tu información. Eso no necesariamente hace desaparecer los registros, pero sí elimina una capa de comodidad para acceder a ellos.

Algunos estados tienen programas llamados "Programas de Confidencialidad del Domicilio" que les dan a las personas el derecho de sustituir su dirección por una dirección sustituta, con lo que los registros siguen siendo públicos pero ese dato en concreto queda potencialmente oculto.

Redes sociales

Revisar y ajustar la configuración de seguridad y privacidad de tus distintas cuentas de redes sociales siempre es buena idea, pero es especialmente importante si estás en proceso de minimizar tu huella digital. Considera poner tu visibilidad en "privado" u "oculto" (los términos y los detalles dependen de cada aplicación) para que solo las personas que tú apruebes puedan ver tu cuenta.

Para tener un panorama rápido de las distintas cuentas que tienes registradas en línea, sobre todo si llevas mucho tiempo en internet, usa un buscador de nombres de usuario como What's My Name o Namechk para ver dónde están registrados tus nombres de usuario. Puede que no sean del todo precisos, pero son efectivos y rápidos. Estas herramientas también sirven si corres el riesgo de que te suplanten en línea y quieres tener un panorama de dónde puede estar ocurriendo.

Corredores de datos y eliminación de información

Los corredores de datos son empresas viles y perniciosas que representan un riesgo existencial para todo el mundo en la era digital. Hasta que esa industria deje de existir, nos toca a nosotros protegernos de las formas en que nos pone en peligro al vender información personal y sensible. La manera más efectiva de conseguir que eliminen tu información de sus depósitos es presentar las solicitudes a mano. El proyecto BADBOOL de Yael Grauer recopila y prioriza a los peores infractores de esta industria junto con los medios que puedes usar para pedirles que eliminen tus datos. El proceso puede ser agotador y llevar mucho tiempo, así que quizá valga la pena invertir en un servicio que lo automatice. Aunque se ha comprobado que son menos efectivos que hacerlo por cuenta propia, hay algunos servicios que destacaron por encima del resto en cuanto a eficacia cuando los evaluaron revisores independientes. Si resides en California, puedes darte de baja más fácilmente con la nueva y prometedora herramienta DROP.

Búsqueda inversa de imágenes y servicios de reconocimiento facial

Servicios como PimEyes y Lenso se subieron a la oportunidad de negocio de ofrecer reconocimiento facial como servicio. Contribuyen a investigaciones policiales y a sistemas de vigilancia policial predictiva, además de prestarles servicios comerciales a agresores y acosadores. La idea básica de su servicio: subes la foto de alguien (en este caso, la tuya) y el sistema usa tecnología de reconocimiento facial para determinar en qué otros lugares de internet ha aparecido esa persona. Si tu imagen está circulando en línea sin tu consentimiento, este servicio lo detectará. 

Participar por voluntad propia en estos servicios implica que tu imagen quede mapeada, escaneada y almacenada por sus sistemas. Pero si crees que estás sufriendo el tipo de acoso dirigido que incluye la difusión de tu imagen en línea contra tu voluntad, quizá valga la pena esa concesión.

Monitoreo adicional y automatizado

Esta sección tiene menos que ver con la minimización de datos y más con tender protecciones adicionales cuando el doxxing u otro acoso coordinado parecen inminentes. Si te mueves dentro del ecosistema de productos de Google, considera inscribirte en su Programa de Protección Avanzada, que ofrece varias funciones distintas para mantenerte a salvo a ti y a tu cuenta. 

Si eres blanco de ataques coordinados que van desde comunidades en línea hasta medios de comunicación que participan del hostigamiento, vale la pena que mires un servicio como Open Measures. Rastrea, mapea y analiza la propagación de información de odio en internet. Dan acceso gratuito a su API de código abierto, así que con algo de maña técnica puedes automatizar el proceso.

Involucra a otras personas

El acoso coordinado suele ser un proceso de ir encadenando blancos y tácticas hasta que se logra infligir un daño considerable. Eso significa que las personas de tu comunidad también corren riesgo. Como decimos siempre, la privacidad es un deporte de equipo. Involucra a otras personas en el proceso: en la unión está la fuerza. 

Una buena forma de hacerlo es pensar en las actividades que ustedes hacen como grupo. ¿Qué roles asume cada integrante? Busca la manera de repartir entre esas personas algunas de las responsabilidades que vayan surgiendo. Encuentren formas de hablar del tema y compartir estrategias, de preferencia usando tecnología segura como Signal. Pueden coordinar entre todos qué tareas asume cada quien, quizá tomándolas de este mismo artículo.

Es un proceso: guarda energías para el maratón, no para la carrera corta

El proceso de minimizar datos y recuperar el control sobre tu huella digital puede ser agotador y estresante. No subestimes el costo que puede tener para tu salud mental. Toma descansos, apóyate en tus amistades y date el tiempo de atender primero las partes más relevantes para tu modelo de amenazas. Puede que sientas que no hay nada que hacer para proteger tu privacidad digital, pero eso es apenas un síntoma del efecto psicológico que el capitalismo de la vigilancia tiene sobre sus víctimas. Hay mucho que puedes hacer para estar a salvo y proteger a otras personas y a ti mismo. Consulta este artículo y el proyecto Autodefensa contra la Vigilancia.