doxing

Doxing to celowe upublicznienie prywatnych informacji o konkretnej osobie, takich jak adres, telefon czy miejsce pracy, po to, by narazić ją na nękanie lub przemoc. CISA definiuje go jako zbieranie danych osobowych osoby albo wrażliwych informacji organizacji z otwartych źródeł lub przejętych materiałów i publikowanie ich w internecie w złośliwym celu ^[1]. Nazwa pochodzi od angielskiego „dropping dox”, czyli wyrzucania dokumentów ^[3]. W polskiej prasie pisze się ją przez jedno „x”.

Jak działa

Doxing nie wymaga włamania. CISA zauważa, że może go przeprowadzić każdy, kto potrafi wyszukać i połączyć publicznie dostępne informacje, choć przypisuje się go często podmiotom państwowym, haktywistom i ekstremistom ^[1]. Sprawca łączy dane z przejętych kont prywatnych i służbowych z wieloma publicznymi źródłami, tworzy szczegółowy profil ofiary i publikuje go, by zaszkodzić, nękać lub zastraszyć ^[1]. Techniki są takie same jak w OSINT, różni je cel.

RYS. 1Przebieg doxingu

Kapitan Hack opisuje typowe techniki: śledzenie tej samej nazwy użytkownika w różnych serwisach, wyszukiwanie w bazie WHOIS danych właściciela domeny, obserwację mediów społecznościowych i korzystanie z usług brokerów danych ^[3]. Każda z nich wykorzystuje ślad cyfrowy, który ofiara zostawia latami.

Rodzaje danych i źródła

CISA wymienia osobno przykłady informacji ujawnianych przy doxingu i źródła, z których sprawcy je czerpią ^[1]. Tabela zestawia obie listy obok siebie; pary w wierszach są ilustracyjne.

Drugim źródłem są przejęte materiały ^[1], w tym wycieki danych z cudzych baz, łączone potem z informacjami publicznymi.

Zagrożenia i skutki

Według CISA doxing ma nękać, zastraszać lub wyrządzać szkody finansowe i może przerodzić się w przemoc fizyczną ^[1]. Nowszy poradnik CISA z 2026 roku dodaje, że ujawnione dane prowadzą do wymuszeń, ataków socjotechnicznych i swattingu, czyli fałszywych zgłoszeń, które kierują służby ratunkowe pod adres ofiary ^[2]. Poradnik opisuje sprawę osoby skazanej w USA między innymi za doxing i swatting, która ujawniła dane ponad 50 osób; inni wykorzystali je do zakładania kart kredytowych i kont na cudze tożsamości ^[2]. Doxing prowadzi więc do kradzieży tożsamości i ułatwia spear phishing. Jest też jedną z form cyberprzemocy.

W prawie polskim nie ma przestępstwa o nazwie „doxing”, ale zależnie od okoliczności czyn może wypełniać znamiona innych przepisów. Kodeks karny karze uporczywe nękanie, które wzbudza poczucie zagrożenia lub istotnie narusza prywatność, a także podszywanie się pod inną osobę z użyciem jej wizerunku lub danych osobowych ^[4]. Oba czyny są ścigane na wniosek pokrzywdzonego ^[4]. Ustawa o ochronie danych osobowych przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do dwóch lat dla tego, kto przetwarza dane osobowe, choć przetwarzanie nie jest dopuszczalne albo nie jest do niego uprawniony ^[5]. Doxing danych z własnego serwisu może być też naruszeniem ochrony danych osobowych w rozumieniu RODO.

W WordPressie

Strona na WordPressie bywa zarówno źródłem danych dla doxera, jak i miejscem publikacji. Publiczny punkt końcowy REST API GET /wp/v2/users zwraca w kontekście „view” identyfikator, wyświetlaną nazwę, adres strony, opis, link, slug i awatary autorów ^[6]. Pola takie jak nazwa logowania, imię, nazwisko i e-mail są dostępne tylko w kontekście „edit” ^[6]. Nawet publiczne pola ułatwiają jednak enumerację użytkowników i łączenie kont autora z innymi serwisami. Warto więc sprawdzić, co pokazują biogramy autorów i czy wyświetlana nazwa nie ujawnia więcej, niż trzeba.

Właściciel strony, na której ktoś opublikował cudze dane w komentarzu lub wpisie, powinien usunąć treść i zachować dowody. WordPress od wersji 4.9.6 ma narzędzie usuwania danych osobowych użytkownika na zweryfikowane żądanie ^[7]. Narzędzie nie usuwa danych z kopii zapasowych i obejmuje tylko WordPressa i wtyczki, które z nim współpracują, więc czasem trzeba sięgnąć dalej ^[7].

Jak się bronić

CISA zaleca audyt kont w mediach społecznościowych, najsilniejsze ustawienia prywatności, usuwanie nieużywanych profili i danych takich jak adres czy data urodzenia ^[1]. Radzi okresowo wyszukiwać własne dane w sieci i żądać ich usunięcia z serwisów agregujących rejestry publiczne ^[1]. Po ujawnieniu danych zaleca udokumentowanie zdarzenia zrzutami ekranu, zgłoszenie go administratorom serwisu i policji, zmianę haseł i obserwację kont finansowych ^[1]. Dbałość o prywatność i spójne oddzielanie tożsamości zawodowej od prywatnej zmniejsza powierzchnię takiego ataku.

Historia i przykłady

Dane mogą wyciec także z winy platformy. 2 marca 2018 roku Niebezpiecznik opisał przypadek, w którym w publicznych profilach graczy Xbox zamiast pseudonimów pojawiły się prawdziwe nazwiska, nawet gdy użytkownik miał poprawnie ustawione opcje prywatności ^[8]. Według poszkodowanych dane pochodziły z rachunków kart płatniczych albo powiązanych kont ^[8]. Wpis oznaczono tagiem „doxing” ^[8]: powiązanie pseudonimu z nazwiskiem ułatwia ustalenie dalszych danych osoby.