doxing
Le imageboard anonime sono da tempo luoghi in cui gli utenti possono chattare sotto pseudonimo senza rivelare il vero nome. Ora, però, gli utenti di questi forum discutono e testano strumenti di IA per il doxing, ovvero per trovare, incrociare e pubblicare i dati degli utenti senza il loro consenso. Spesso tutto questo si accompagna ad atti di stalking nei confronti della vittima, alla violazione dei suoi account, a bullismo e ricatti, finendo per danneggiarne la reputazione o portare a conseguenze ancora peggiori.
In questo post spieghiamo come l’intelligenza artificiale aiuta gli utenti malintenzionati a divulgare i dati altrui e come difendere il diritto alla privacy online.
Come gli utenti malintenzionati scoprono informazioni sugli utenti
Gli analisti di Open Measures hanno segnalato che, da ottobre 2025, gli utenti di Soyjak.party, un’imageboard popolare tra i giovani di estrema destra, discutono dell’uso dell’IA per deanonimizzare altri utenti e la utilizzano a questo scopo. Le loro vittime sono spesso attivisti, blogger e membri di altri forum “ostili”.
Gli strumenti individuati dagli esperti funzionano direttamente nel browser e automatizzano quasi l’intero processo di raccolta delle informazioni su una vittima. Possono effettuare ricerche nelle fonti aperte e nei database di dati divulgati e sfruttano ogni nuovo indizio, ad esempio un indirizzo e-mail associato a un nome utente, per scavare ancora più a fondo. Inoltre, estraggono metadati da foto e video, stimano la posizione approssimativa di una persona in base agli indirizzi IP trovati e, infine, riuniscono tutto in un unico enorme dossier digitale. Questi strumenti di Soyjak.party non funzionano più, ma strumenti simili si stanno diffondendo su altre imageboard.
A febbraio 2026, alcuni ricercatori hanno dimostrato che a volte bastano normali conversazioni su un forum per rivelare l’identità degli utenti. Hanno riassunto i post di 338 utenti di Hacker News, eliminato nomi, nomi utente e link ai social media, quindi chiesto all’IA di scoprire chi si celasse dietro quei post. L’IA ha confrontato i dettagli su lavoro, interessi e storia personale con le informazioni disponibili online e ha identificato correttamente 226 persone, circa due terzi del campione. Il costo della deanonimizzazione si è rivelato irrisorio: da 1 a 4 dollari USA per utente.
A dire il vero, si sapeva come creare dossier digitali già prima del boom dell’IA generativa. Innanzitutto, esistono strumenti OSINT che cercano dati nelle fonti aperte. I primi a usarli sono stati giornalisti e investigatori, ma, come si può immaginare, ben presto anche gli utenti malintenzionati hanno imparato a padroneggiare questi strumenti. A differenza dei modelli e degli agenti di IA, i servizi OSINT tradizionali seguono script predefiniti e non possono “pensare” o prendere decisioni sul momento.
Un agente in cerca di vendetta: il caso OpenClaw
Se si pensa che per il doxing serva sempre una persona con cattive intenzioni, abbiamo una brutta notizia: a volte a regolare i conti può essere… l’intelligenza artificiale stessa.
Ecco una storia iniziata in modo del tutto innocuo. Un agente di IA in esecuzione sulla tanto pubblicizzata piattaforma OpenClaw ha proposto un miglioramento per Matplotlib, un popolare strumento per creare grafici e diagrammi. Le regole del progetto, però, non consentivano di accettare codice inviato da agenti di IA. Uno dei volontari del progetto, Scott Shambaugh, si è limitato a respingere la proposta dell’IA.
Si potrebbe pensare che la storia finisca qui. Non è così! L’agente di IA ha deciso che il rifiuto meritava un po’ di pubblicità, così ha pubblicato sul proprio blog un articolo di “denuncia” sullo sviluppatore (sì, hai letto bene: l’agente aveva un blog tutto suo). Ha raccolto informazioni su Shambaugh da fonti aperte, ha studiato la sua attività pubblica e lo ha accusato di avere pregiudizi nei confronti dell’IA. Ha persino iniziato a fare congetture sulle motivazioni psicologiche dello sviluppatore, insinuando che temesse la concorrenza dell’intelligenza artificiale.
Quando questa conversazione “privata” tra Shambaugh e l’agente di IA è diventata pubblica, altri utenti si sono schierati dalla parte dello sviluppatore e l’agente ha dovuto pubblicare un post di “scuse”.
È una storia piuttosto assurda, ma offre una lezione importante: è opportuno leggere sempre con attenzione l’Informativa sulla privacy di qualsiasi servizio di IA e stare alla larga dai nuovi modelli di provenienza sconosciuta.
Come evitare di diventare vittima di doxing: una guida
Se l’IA accelera le ricerche e mette in relazione dettagli prima sparsi su decine di siti Web, la domanda successiva sorge spontanea: cosa si può fare per ridurre la footprint digitale degli utenti?
Scomparire completamente da Internet è quasi impossibile. Proteggere i dati, quindi, non significa tanto lasciare meno tracce possibile, quanto ridurre il numero di collegamenti che possono essere usati per ricostruire l’identità degli utenti. In caso di utenti esperti, oltre ai suggerimenti qui sotto consigliamo di leggere il nostro post Come sparire da Internet.
Gestione del footprint digitale
- Cerca informazioni su di te online. Non fermarti al tuo nome: prova anche con il tuo indirizzo e-mail, i tuoi nickname e il tuo numero di telefono. Se non hai problemi a lasciare che l’IA elabori i tuoi dati, puoi persino chiederle di compilare un dossier su di te. Ricorda però che c’è sempre il rischio di una fuga di dati o di un bug che renda accidentalmente pubblici i tuoi dati. E no, nemmeno i servizi più grandi e affidabili fanno eccezione.
- Rendi privati tutti i profili che non vuoi condividere con tutti. In questo modo, per i motori di ricerca sarà più difficile indicizzare i tuoi nuovi post e per gli scraper e gli strumenti OSINT raccoglierli. Al contempo è opportuno anche passare in rassegna i vecchi commenti e post ed eliminare tutto ciò che non serve.
- Elimina i tuoi account fantasma. Passa in rassegna le tue caselle di posta e controlla a quali siti Web ti sei registrato. Prendi l’abitudine di eliminare gli account che non usi più: possono conservare i tuoi dati personali per anni e c’è sempre il rischio che questi finiscano in una futura fuga di dati.
- Imposta l’autenticazione a due fattori. In questo modo, anche se un utente malintenzionato riesce a indovinare la tua password o la trova tra i dati divulgati, non potrà accedere al tuo account senza l’ulteriore passaggio di autenticazione. Per il secondo fattore, ti consigliamo di utilizzare codici monouso che si aggiornano ogni 30 secondi e di conservarli in un gestore di password affidabile.
- Rimuovi i metadati prima di pubblicare foto e video. I metadati possono aiutare un utente malintenzionato a scoprire molte cose su di te, ad esempio, il luogo e la data esatta in cui è stata scattata una foto e il modello del dispositivo.
- Usa una password diversa per ogni tuo account. La nostra ricerca ha dimostrato che le password create a partire da dati personali — come il cognome da nubile di tua madre e la tua data di nascita, con un carattere speciale alla fine — sono estremamente vulnerabili. Questo tipo di informazioni finisce spesso nelle fughe di dati o può essere ricostruito a partire da fonti pubbliche, quindi le password possono essere facilmente violate con attacchi di forza bruta condotti da algoritmi intelligenti. Naturalmente, nessuno può ricordare centinaia di password univoche, quindi ha senso affidare questo compito al nostro gestore di password, una cassaforte sicura che genera e ricorda le password complesse e univoche al posto degli utenti e le sincronizza in tutti i dispositivi.
- Scopri le nuove fughe di dati il prima possibile. Alcuni servizi online inviano un avviso gratuito se l’indirizzo e-mail compare in una fuga di dati nota. Ma è molto più comodo monitorare le fughe di dati con un’app di sicurezza dedicata. Ad esempio, Kaspersky Password Manager controlla costantemente tutte le voci salvate. Ti avvisa in caso di utilizzo della stessa password su siti Web diversi o se una delle coppie di nome utente e password salvate è stata compromessa. Le nostre semplici istruzioni per Windows, macOS, Android e iOS possono aiutarvi a controllare facilmente tutte le password salvate in Kaspersky Password Manager. Le password non vengono mai inviate a Kaspersky. Nel nostro post Come creare password complesse e dove memorizzarle viene illustrato come analizziamo le password senza conoscerle.
- Usa una protezione affidabile che rileva e blocca le fughe dei tuoi dati. Mentre Kaspersky Password Manager controlla solo le voci di password attive che hai aggiunto al suo interno, Kaspersky Premium può monitorare gli account compromessi associati ai tuoi indirizzi e-mail (puoi aggiungere fino a 50 indirizzi da controllare) e i furti di identità digitale associati ai tuoi numeri di telefono. Oltre a segnalare le fughe di dati già avvenute, le nostre soluzioni di sicurezza possono anche impedire la raccolta online dei tuoi dati.
- Configura la privacy sui tuoi dispositivi e nelle tue app con il nostro servizio online gratuito, Privacy Checker.
Mantieni separati i tuoi account
Più siti Web conoscono il tuo indirizzo e-mail, più spesso questo comparirà nei profili pubblicitari e in potenziali fughe di dati. Per le registrazioni occasionali e di poca importanza, puoi usare un servizio di masking dell’indirizzo e-mail. Tutti gli utenti Apple hanno questa funzionalità a disposizione per impostazione predefinita (Nascondi il mio indirizzo e-mail). Se usi un altro sistema operativo, potresti provare Firefox Relay, ad esempio.
Il servizio crea quindi un indirizzo e-mail proxy distinto per il sito Web a cui stai cercando di registrarti. I messaggi inviati a quell’indirizzo vengono inoltrati automaticamente alla tua vera casella di posta, ma il sito Web non vede mai il tuo vero indirizzo e-mail.
Se vuoi fare le cose fino in fondo, puoi provare a suddividere manualmente la tua vita digitale in diverse identità secondarie. Crea diversi indirizzi e-mail a seconda dello scopo. Ad esempio, usane uno per i negozi online, le banche e i servizi della pubblica amministrazione, un secondo per i social media su cui hai un profilo pubblico e un terzo per i forum e i social network in cui vuoi rimanere anonimo.
Tieni presente che tutto questo richiede impegno: dovrai inventare continuamente nuovi nickname e assicurarti che le tue identità secondarie non si sovrappongano mai. Se usi un indirizzo e-mail per un profilo anonimo, non collegarlo a servizi che dispongono già dei tuoi dati reali e non usarlo come indirizzo e-mail di recupero per un account pubblico. Un solo collegamento accidentale può facilmente vanificare tutti i tuoi sforzi.
Controlla cosa condividi con gli ex
Se hai da poco interrotto una relazione, assicurati di controllare a quali parti della vostra vita digitale condivisa il tuo ex partner può ancora accedere. Purtroppo, molto spesso sono proprio gli ex partner a diventare doxer o stalker, spiando la persona con cui stavano e non fermandosi davanti a nulla pur di farlo. Per maggiori dettagli su cosa fare esattamente in questa situazione, leggi il nostro articolo Igiene digitale dopo la fine di una relazione: cosa controllare e cosa disattivare.
Invoca il tuo diritto all’oblio
Molti paesi hanno una legge sul diritto all’oblio. Questa legge ti consente di chiedere ai motori di ricerca di rimuovere i collegamenti alle pagine che contengono i tuoi dati personali.
Puoi inviare i collegamenti a quelle pagine, spiegare perché vuoi che vengano nascosti e richiederne la rimozione dai risultati di ricerca. Tieni presente che la pagina con i tuoi dati non viene eliminata. Altri motori di ricerca potrebbero continuare a mostrarla e potrebbe ancora comparire nei risultati di altre ricerche.
Per inviare una richiesta di questo tipo, usa gli appositi moduli di Google o Bing. Ricorda però che un motore di ricerca può rifiutare la tua richiesta se ritiene che le informazioni siano di interesse pubblico o che la legge ne imponga la pubblicazione.
Esistono modi più efficaci per rimuovere i tuoi dati da Internet, anche se richiedono più tempo. Ne abbiamo parlato in dettaglio nel nostro post Perché i broker di dati creano dossier su di te e come impedirgli di farlo.
Cerchi altri modi per proteggere la tua identità digitale? Dai un’occhiata ai nostri altri post:
Consigli