Doxing/Doxxing

Doxing, ook wel geschreven als doxxing, is een vorm van cyberaanval waarbij iemand zonder toestemming persoonlijke informatie van een ander openbaar maakt op internet. Denk aan gegevens zoals een huisadres, telefoonnummer, e-mailadres, werkplek of zelfs financiele gegevens. De term komt van het Engelse woord "docs" (documenten) en verwijst naar het verzamelen en verspreiden van persoonlijke documenten en data.

Het doel van doxing is vrijwel altijd intimidatie, chantage of wraak. Slachtoffers worden blootgesteld aan cyberpesten, bedreigingen en in sommige gevallen fysiek geweld. Sinds 1 januari 2024 is doxing in Nederland officieel strafbaar gesteld, met een maximale gevangenisstraf van twee jaar of een geldboete van maximaal 22.500 euro.

Hoe werkt doxing?

Bij doxing doorloopt de aanvaller doorgaans een aantal stappen om persoonlijke informatie te verzamelen over het doelwit. Dit begint vaak met het doorzoeken van openbare bronnen zoals sociale media, openbare registers en websites waar je ooit gegevens hebt achtergelaten.

De meest voorkomende methoden die aanvallers gebruiken zijn:

• Social media scraping: Het systematisch doorzoeken van profielen op platforms zoals Facebook, LinkedIn, Instagram en X. Veel mensen delen onbewust genoeg informatie om een compleet profiel samen te stellen.
• WHOIS-lookups: Bij domeinnamen die niet privaat geregistreerd zijn, kunnen aanvallers de naam, het adres en telefoonnummer van de eigenaar achterhalen via openbare WHOIS-databases.
• Phishing en social engineering: Aanvallers sturen nep-e-mails of berichten om je te verleiden gevoelige informatie te delen. Dit kan gecombineerd worden met social engineering technieken.
• Datalekken: Eerder gelekte databases bevatten vaak e-mailadressen, wachtwoorden en andere persoonlijke gegevens. Deze worden verhandeld op het dark web.
• IP-tracking: Door je IP-adres te achterhalen kan een aanvaller je locatie bij benadering bepalen. Dit kan via directe links, e-mails of chatberichten.
• Openbare registers: Kadaster, Kamer van Koophandel en andere overheidsregisters bevatten informatie die aanvallers kunnen gebruiken.

Zodra de aanvaller voldoende gegevens heeft verzameld, publiceert hij deze op forums, sociale media of speciale doxing-websites. In sommige gevallen worden de gegevens direct naar een vijandige groep gestuurd met de oproep om het slachtoffer lastig te vallen.

Hoe herken je doxing?

Doxing herkennen is niet altijd eenvoudig, omdat het vaak pas duidelijk wordt als de schade al is aangericht. De gevolgen kunnen varieren van online intimidatie tot fysieke bedreigingen aan je huisadres. Bekende Nederlandse voorbeelden zijn politici en politieagenten van wie het thuisadres werd verspreid, waardoor zij en hun gezinnen direct gevaar liepen. Toch zijn er signalen waar je op kunt letten:

• Onbekende contactpogingen: Als je plotseling berichten of telefoontjes krijgt van onbekenden die details over je leven kennen, kan dit een teken zijn dat je gegevens ergens online staan.
• Dreigementen met openbaarmaking: Als iemand dreigt om je persoonlijke gegevens te publiceren tenzij je aan bepaalde eisen voldoet, is er sprake van een doxing-dreiging.
• Verdachte activiteit op accounts: Ongeautoriseerde inlogpogingen of wachtwoordresets kunnen erop wijzen dat iemand probeert toegang te krijgen tot je accounts om informatie te verzamelen.
• Mentions op sociale media: Als je naam of gegevens plotseling opduiken in berichten van onbekenden, kan dit wijzen op doxing.
• Google Alerts: Door een Google Alert in te stellen op je eigen naam, adres en telefoonnummer word je automatisch gewaarschuwd als deze gegevens ergens online verschijnen.

Het is belangrijk om regelmatig te checken welke informatie er over je te vinden is. Door je eigen naam te googelen krijg je een eerste indicatie van je digitale voetafdruk.

Hoe bescherm je je tegen doxing?

Volledige bescherming tegen doxing is lastig, maar je kunt het risico aanzienlijk verkleinen door een aantal maatregelen te nemen. De basis begint bij het beperken van je digitale voetafdruk.

Privacy-instellingen aanscherpen: Controleer de privacy-instellingen van al je sociale media accounts. Zorg dat je profiel niet openbaar is en beperk wie je berichten en persoonlijke informatie kan zien. Verwijder oude accounts die je niet meer gebruikt.

Sterke authenticatie gebruiken: Gebruik unieke, sterke wachtwoorden voor elk account en schakel overal twee-factor-authenticatie in. Een wachtwoordmanager helpt je om dit beheersbaar te houden.

VPN gebruiken: Een VPN verbergt je werkelijke IP-adres, waardoor het voor aanvallers moeilijker wordt om je locatie te achterhalen. Gebruik een VPN zeker op openbare wifi-netwerken.

WHOIS-privacy activeren: Als je een domeinnaam bezit, activeer dan WHOIS-privacy zodat je persoonlijke gegevens niet zichtbaar zijn in openbare databases.

Voorzichtig delen: Deel nooit je huisadres, telefoonnummer of werkplek op openbare platforms. Wees ook voorzichtig met het delen van foto's die locatiegegevens bevatten via EXIF-data.

Regelmatig monitoren: Stel Google Alerts in op je naam en andere persoonlijke gegevens. Check regelmatig of je gegevens zijn gelekt via diensten zoals Have I Been Pwned.

Voor organisaties is het belangrijk om medewerkers te trainen in het herkennen van phishing pogingen die als voorbereiding op doxing kunnen dienen. Zorg voor een protocol voor het geval een medewerker slachtoffer wordt.

Als je slachtoffer wordt van doxing, documenteer dan alle bewijzen, doe aangifte bij de politie en neem contact op met de platforms waar je gegevens zijn gepubliceerd om verwijdering te verzoeken. Sinds 2024 is doxing een strafbaar feit in Nederland, waardoor de politie actie kan ondernemen.

Veelgestelde vragen over doxing

Is doxing strafbaar in Nederland?
Ja, sinds 1 januari 2024 is doxing strafbaar in Nederland. Er staat een maximale gevangenisstraf van twee jaar op, of een geldboete tot 22.500 euro. Bij doxing van personen met een publieke functie zoals politieagenten of politici wordt de straf met een derde verhoogd.

Wat is het verschil tussen doxing en een datalek?
Bij doxing is er sprake van opzet: iemand verzamelt en publiceert bewust je persoonlijke gegevens met als doel om schade aan te richten. Bij een datalek gaat het om het onbedoeld vrijkomen van gegevens door een beveiligingsfout of menselijke fout bij een organisatie.

Wat moet je doen als je gedoxt wordt?
Maak screenshots van alle gepubliceerde gegevens als bewijs. Doe aangifte bij de politie. Vraag het platform waar de informatie is geplaatst om verwijdering. Wijzig wachtwoorden van al je accounts. Informeer je omgeving zodat zij verdachte contactpogingen kunnen herkennen.

Kunnen bedrijven ook slachtoffer worden van doxing?
Ja, ook bedrijven en hun medewerkers kunnen doelwit zijn. Aanvallers publiceren dan bijvoorbeeld contactgegevens van directieleden of medewerkers. Bedrijven beschermen zich hiertegen met awareness-trainingen en strikte privacyprotocollen.

Hoe vind je of je gegevens online staan?
Google je eigen naam, adresgegevens en telefoonnummer regelmatig. Gebruik diensten zoals Have I Been Pwned om te controleren of je e-mailadres in datalekken voorkomt. Stel Google Alerts in voor automatische monitoring.

Beschermt een VPN volledig tegen doxing?
Een VPN helpt je IP-adres te verbergen, maar beschermt niet tegen alle vormen van doxing. Als je persoonlijke gegevens al openbaar zijn via sociale media of openbare registers, biedt een VPN daar geen bescherming tegen. Het is een onderdeel van een bredere aanpak.

Bescherming nodig tegen cyberdreigingen zoals doxing? Vergelijk endpoint security aanbieders op IBgidsNL.