{"id":24553,"date":"2021-05-04T12:04:48","date_gmt":"2021-05-04T10:04:48","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=24553"},"modified":"2021-05-04T12:10:47","modified_gmt":"2021-05-04T10:10:47","slug":"doxing-methods","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/doxing-methods\/24553\/","title":{"rendered":"Come difendersi dal doxing"},"content":{"rendered":"

Ogni volta che mettete \u201cmi piace\u201d a qualcosa su un social network, vi unite a una community di vicini del vostro quartiere, pubblicate il vostro CV o venite ripresi da una telecamera stradale, tutte queste informazioni si immagazzinano e accumulano nei database. Forse non avete idea di quanto tutte queste informazioni, ogni azione su Internet e quasi ogni azione nel mondo reale, vi rendano vulnerabili ad attacchi esterni.<\/p>\n

Ciclista, autista e padre sbagliati<\/h2>\n

Il doxing pu\u00f2 colpire chiunque, come dimostrano questi tre aneddoti.<\/p>\n

Quando il ciclista del Maryland Peter Weinberg ha iniziato a ricevere<\/a> messaggi di insulti e minacce da sconosciuti, ha capito che la sua app di allenamento stava pubblicando i suoi percorsi in bicicletta e che qualcuno li aveva usati per dedurre che Weinberg era recentemente passato non lontano dal luogo in cui era stato aggredito un bambino. La gente lo ha rapidamente, ed erroneamente, identificato come sospetto e ha trovato e pubblicato il suo indirizzo. Purtroppo, per\u00f2, i successivi tweet di smentita e altri chiarimenti sono stati condivisi molto meno rispetto alle informazioni originali.<\/p>\n

Dall\u2019altra parte del mondo, un attivista per i diritti degli animali di Singapore ha pubblicato il nome e l\u2019indirizzo di una persona la cui auto aveva investito un cane<\/a>, esortandola di \u201candare all\u2019inferno\u201d. Secondo la proprietaria dell\u2019auto, le accuse pubbliche hanno danneggiato la sua carriera<\/a>: dopo che i vigili hanno capito dove lavorava, vari post di insulti e offese hanno colpito la pagina Facebook dell\u2019azienda. Si d\u00e0 il caso che un\u2019altra persona fosse alla guida dell\u2019auto al momento dell\u2019incidente.<\/p>\n

Una variante della stessa situazione ha coinvolto l\u2019ex professionista del baseball Curt Schilling, che ha trovato dei tweet su sua figlia che considerava inappropriati e offensivi. Schilling ha rintracciato gli autori (a suo dire, ci ha messo meno di un\u2019ora), ha raccolto un dossier considerevole su ognuno di loro e ha pubblicato<\/a> una parte di queste informazioni sul suo blog. Gli autori dei tweet, che fanno parte del mondo del baseball, sono stati licenziati o allontanati dalle loro squadre dopo un solo giorno.<\/p>\n

Cosa \u00e8 successo?<\/h2>\n

Tutte e tre le storie sono dei semplici esempi di doxing<\/a>. Con questa parola ci si riferisce alla raccolta e alla pubblicazione online di dati personali identificativi senza il consenso del proprietario. Oltre ad essere sgradevole, pu\u00f2 avere pesanti conseguenze nella vita reale, colpendo la reputazione della vittima, il suo lavoro e pu\u00f2 minacciare persino la sua incolumit\u00e0 fisica.<\/p>\n

Le motivazioni dei doxer (ovvero chi pratica il doxing) possono essere di vario tipo. Alcuni credono di smascherare dei criminali, altri cercano di intimidire i propri avversari online, altri ancora lo fanno per vendicarsi di torti personali. Il fenomeno del doxing \u00e8 emerso negli anni \u201990, ma da allora \u00e8 diventato sempre pi\u00f9 pericoloso e al giorno d\u2019oggi, con il volume di informazioni private disponibili a tutti, il doxing non richiede davvero abilit\u00e0 o privilegi speciali.<\/p>\n

Non siamo qui per analizzare la legalit\u00e0 o l\u2019etica del doxing. Come esperti di sicurezza, il nostro compito \u00e8 quello di delineare i metodi dei doxer e darvi dei consigli su come difendervi.<\/p>\n

Doxing: uno sguardo dall\u2019interno<\/h2>\n

Poich\u00e9 non richiede n\u00e9 conoscenze speciali, n\u00e9 molte risorse, il doxing \u00e8 diventata una pratica molto comune. Anche gli strumenti che usano i doxer tendono ad essere legittimi e pubblici.<\/p>\n

Motori di ricerca<\/h3>\n

I normali motori di ricerca possono offrire molte informazioni personali e, grazie alle funzionalit\u00e0 di ricerca avanzate (per esempio, la ricerca su specifici siti web o di tipi di file), possono aiutare i doxer a trovare le informazioni giuste pi\u00f9 velocemente.<\/p>\n

Oltre al nome e al cognome, anche un nickname pu\u00f2 tradire le abitudini online di una persona. Per esempio, la pratica comune di usare lo stesso nickname su diversi siti web rende le cose pi\u00f9 facili per gli investigatori online, che possono usarlo per aggiungere commenti e post da qualsiasi fonte pubblica.<\/p>\n

Social network<\/h3>\n

I social network, compresi quelli professionali come LinkedIn, contengono una grande quantit\u00e0 di dati personali.<\/p>\n

Un profilo pubblico con dati reali \u00e8 fondamentalmente un dossier gi\u00e0 pronto. Anche se un profilo \u00e8 privato o aperto solo agli amici, un investigatore esperto pu\u00f2 raccogliere informazioni spulciando tra i commenti della vittima, le community, i post degli amici e cos\u00ec via. Aggiungete poi una richiesta di amicizia, magari da qualcuno che si spaccia per un recruiter e si passa al livello successivo, ovvero l\u2019ingegneria sociale.<\/p>\n

Ingegneria sociale<\/h3>\n

Punto cardine di molti attacchi, l\u2019ingegneria sociale sfrutta la natura umana per aiutare i doxer a ottenere informazioni. Utilizzando come punto di partenza le informazioni pubbliche disponibili su un\u2019azienda, un doxer pu\u00f2 contattare la vittima e convincerla a concedere informazioni personali. Per esempio, un doxer potrebbe spacciarsi per un impiegato del settore sanitario o per un rappresentante bancario per cercare di estorcere informazioni dalla vittima, uno stratagemma che funziona molto meglio se si aggiunge qualche briciolo di verit\u00e0 come esca.<\/p>\n

Fonti ufficiali<\/h3>\n

I personaggi pubblici tendono ad avere pi\u00f9 difficolt\u00e0 a mantenere l\u2019anonimato in rete, ma questo non significa che le rock star e gli atleti professionisti siano gli unici a dover salvaguardare le proprie informazioni personali.<\/p>\n

Un doxer pu\u00f2 anche sfruttare il profilo del datore di lavoro per tradire la fiducia di una potenziale vittima di doxing, servendosi ad esempio del nome completo e della foto sulla pagina aziendale \u201cChi siamo\u201d, oppure prendendo le informazioni di contatto complete sul sito della divisione aziendale interessata. Sembrerebbe tutto molto innocente e legittimo, tuttavia le informazioni generali dell\u2019azienda vi avvicinano geograficamente alla persona obiettivo, e la foto pu\u00f2 portare al suo profilo sui social network.<\/p>\n

Anche le attivit\u00e0 commerciali lasciano tipicamente tracce su Internet; per esempio, in molti paesi sono disponibili a tutti diverse informazioni su chi ha fondato un\u2019azienda.<\/p>\n

Mercato nero<\/h3>\n

I metodi pi\u00f9 sofisticati includono l\u2019uso di fonti non pubbliche, come i database compromessi appartenenti a enti governativi e aziende.<\/p>\n

Come i nostri studi hanno dimostrato, nei mercati della darknet si vendono dati personali di tutti i tipi<\/a>, dalle scansioni dei passaporti (dai 6 dollari in su) agli account delle app bancarie (dai 50 dollari in su).<\/p>\n

Raccoglitori di dati professionali<\/h3>\n

I doxer esternalizzano parte del loro lavoro ai data broker<\/em>, aziende che vendono dati personali raccolti da varie fonti. Non si tratta di un\u2019attivit\u00e0 criminale personalizzata: le banche usano i dati dei broker, cos\u00ec come le agenzie pubblicitarie e di recruiting. Purtroppo, per\u00f2, non tutti i broker di dati si preoccupano di verificare chi acquista questi dati.<\/p>\n

Cosa fare se siete stati coinvolti in una fuga di dati<\/h2>\n

In un\u2019intervista su Wired <\/em>Eva Galperin, direttrice della Electronic Frontier Foundation per la sicurezza informatica, suggerisce<\/a> di mettersi in contatto con i social network su cui i doxer hanno pubblicato i dati senza il consenso dell\u2019interessato; si pu\u00f2 iniziare con il servizio clienti o con l\u2019assistenza tecnica. La divulgazione di informazioni private senza il consenso del proprietario costituisce normalmente una violazione dei termini d\u2019uso. Anche se questa mossa non risolver\u00e0 completamente il problema, dovrebbe ridurre i danni potenziali.<\/p>\n

Galperin consiglia anche di bloccare gli account dei social network o di trovare qualcuno che gestisca gli account per un po\u2019 di tempo dopo un attacco. Come avviene con altre misure disponibili in situazioni di questo genere, non pu\u00f2 annullare il danno, ma potrebbe evitare stress aggiuntivo\u00a0 e alcune situazioni difficili online.<\/p>\n

Come difendersi dal doxing<\/h2>\n

Di sicuro l\u2019ideale sarebbe ridurre la probabilit\u00e0 di una fuga di dati invece affrontarne le conseguenze. Esserne immuni, per\u00f2, non \u00e8 compito facile. Per esempio, difficilmente si possono evitare un dump di dati o le fughe di informazioni dai database governativi o dei social network. Tuttavia, \u00e8 possibile mettere i bastoni tra le ruote ai doxer.<\/p>\n

Non rivelate segreti su Internet<\/h3>\n

Mantenete i vostri dati personali fuori da Internet, specialmente il vostro indirizzo, il numero di telefono e le foto, per quanto possibile. Assicuratevi che le foto che pubblicate non contengano informazioni di localizzazione e che i documenti non contengano informazioni private<\/a>.<\/p>\n

Controllate le impostazioni dei vostri account sui social network<\/h3>\n

Vi consigliamo di scegliere impostazioni rigorose per la privacy sui social network e su altri servizi, di lasciare i profili aperti solo agli amici e di monitorare regolarmente l\u2019elenco dei vostri amici. Potete usare le istruzioni passo dopo passo presenti sul nostro portale Privacy Checker<\/a> per le impostazioni per la privacy sui social network e su altri servizi.<\/p>\n

Proteggete i vostri account dai cybercriminali<\/h3>\n

Usare una password diversa per ogni account pu\u00f2 essere una seccatura (anche se non deve esserlo per forza<\/a>) ma \u00e8 una precauzione importante. Se usate la stessa password ovunque e uno dei siti viene coinvolto in una fuga di dati<\/a>, allora nemmeno le impostazioni privacy pi\u00f9 rigorose vi potranno salvare.<\/p>\n

Vi consigliamo anche l\u2019uso di un password manager. La nostra soluzione Kaspersky Password Manager<\/a> non solo custodisce le password ma ricorda anche i siti web e i servizi per cui servono, lasciandovi solo una master key da memorizzare. Raccomandiamo inoltre di utilizzare l\u2019autenticazione a due fattori ovunque sia possibile, per rafforzare ulteriormente la vostra linea di difesa.<\/p>\n

<\/strong><\/p>\n

Giocate d\u2019astuzia con gli account di terze parti<\/h3>\n

Se possibile, evitate di iscrivervi a siti web utilizzando i social network o altri account contenenti i vostri dati reali. Associare un account a un altro rende le vostre attivit\u00e0 online pi\u00f9 facili da seguire, creando un vincolo tra i vostri commenti e il vostro nome reale.<\/p>\n

Per risolvere il problema, \u00e8 importante avere almeno due account di posta elettronica, riservandone uno per i vostri account con il vostro nome reale e l\u2019altro per i siti web dove preferite rimanere anonimi. Usate anche nickname diversi per risorse diverse, per rendere pi\u00f9 difficile la raccolta di informazioni inerenti alla vostra presenza su Internet.<\/p>\n

Provate a elaborare un dossier su di voi<\/h3>\n

Un modo per conoscere lo stato della vostra privacy \u00e8 quello di diventare doxer per un giorno e di cercare su Internet informazioni che vi riguardano. In questo modo, potrete conoscere eventuali problemi dei vostri account di social network e scoprire quali sono i vostri dati personali in circolazione su Internet. Ci\u00f2 che trovate pu\u00f2 aiutarvi a rintracciare la fonte di tali dati ed eventualmente anche a capire come farli eliminare. Per una vigilanza passiva, potete impostare una notifica su Google<\/a> che vi informi di ogni nuovo risultato di ricerca sulle query che contengono il vostro nome.<\/p>\n

Cancellate le informazioni che vi riguardano<\/h3>\n

Potete segnalare qualsiasi contenuto che violi la vostra privacy e chiedere ai motori di ricerca e ai social network di cancellare i vostri dati (per esempio, qui ci sono le istruzioni per Google<\/a>, Facebook<\/a>, e Twitter<\/a>).<\/p>\n

I social network e altri servizi solitamente non permettono la pubblicazione non autorizzata di dati personali come si legge nelle condizioni d\u2019uso, ma in realt\u00e0, solo le forze dell\u2019ordine possono mettere mano a certe risorse dubbie.<\/p>\n

I broker di dati legali normalmente permettono agli utenti di eliminare informazioni personali, ma si tratta di tantissime aziende e rimuovere tutto non sar\u00e0 facile. Allo stesso tempo, per\u00f2, ci sono agenzie e servizi che possono aiutarvi a sbarazzarvi di queste tracce digitali. Dovrete trovare un equilibrio tra facilit\u00e0, accuratezza e costo che faccia al caso vostro.<\/p>\n

Consigli veloci<\/h2>\n

Si pu\u00f2 essere presi di mira dal doxing in qualsiasi momento, con o senza un motivo apparente. Questi consigli vi aiuteranno a preservare la vostra privacy online:<\/p>\n