Doxing

Doxware es un ataque de criptovirología inventado por Adam Young y desarrollado posteriormente con Moti Yung que lleva a cabo la extorsión mediante doxing a través de malware . Se presentó por primera vez en West Point en 2003. El ataque se basa en la teoría de juegos y originalmente se denominó "juegos de suma no cero y malware resistente". ^{[ 25 ]}

El ataque se resume en el libro Criptografía maliciosa de la siguiente manera:

El ataque se diferencia del ataque de extorsión en el siguiente aspecto: en el ataque de extorsión, se le niega a la víctima el acceso a su propia información valiosa y debe pagar para recuperarla; mientras que en el ataque que se presenta aquí, la víctima conserva el acceso a la información, pero su divulgación queda a discreción del virus informático. ^{[ 26 ]}

El doxware es lo opuesto al ransomware . En un ataque de ransomware (originalmente llamado extorsión criptoviral), el malware cifra los datos de la víctima y exige un pago para proporcionar la clave de descifrado necesaria. En el ataque de criptovirología doxware, el atacante o el malware roba los datos de la víctima y amenaza con publicarlos a menos que se pague una tarifa. ^{[ 27 ]}

En 2024, el gobierno australiano anunció que introduciría una nueva legislación para criminalizar el doxing debido a un incidente en el que se filtraron los datos personales de más de 600 personas de un grupo de WhatsApp de australianos judíos. Algunas de las personas cuyos datos fueron filtrados recibieron amenazas de dañar su reputación, así como amenazas de muerte. ^{[ 36 ] [ 37 ]} La legislación propuesta, que incluye una ley que castiga el doxing con pena de prisión, ha recibido apoyo bipartidista y el apoyo del Primer Ministro Anthony Albanese . ^{[ 36 ]} La Ley de Enmienda de Privacidad y Otras Legislaciones de 2024 entró en vigor el 10 de diciembre de 2024 e introdujo varios delitos nuevos en la Ley del Código Penal federal de 1995, estableciendo sanciones penales para el doxing. ^{[ 24 ]}

En 2006, Austria aprobó su ley contra el acoso, y en 2016 el acoso cibernético se convirtió en delito. ^{[ 38 ]} Si bien a finales de 2024 el doxing no es un delito específico, las leyes mencionadas se utilizan en casos de violencia en línea. ^{[ 39 ]} Dado que Austria es un Estado miembro de la UE , se aplica el derecho comunitario ( RGPD ). ^{[ 40 ]}

Desde el 1 de marzo de 2020, la República Popular China implementó el "Reglamento sobre la gobernanza ecológica del contenido informativo en línea", que aclara que los usuarios y productores de servicios y plataformas de contenido informativo en línea no deben participar en violencia en línea, doxing, falsificación profunda, fraude de datos, manipulación de cuentas y otras actividades ilegales. ^{[ 41 ]}

En Alemania, el doxing se incorporó al código penal en septiembre de 2021 como una divulgación peligrosa de datos personales ( gefährdendes Verbreiten personenbezogener Daten ) ( Artículo 126a del Código Penal ). Desde entonces, la publicación de datos de libre acceso se castiga con pena de prisión de hasta dos años o multa, y la publicación de datos que no son de libre acceso se castiga con pena de prisión de hasta tres años o multa. La divulgación de los datos y su contenido debe ser apropiada y, dadas las circunstancias, tener como objetivo exponer a la persona afectada o a personas cercanas a ella a un delito dirigido contra ella o a otro acto ilícito contra la autodeterminación sexual, la integridad física, la libertad personal o contra un bien de valor significativo. Al remitirse al artículo 86 del Código Penal, que penaliza la difusión de material propagandístico de organizaciones terroristas e inconstitucionales ( Verbreiten von Propagandamitteln verfassungswidriger und terroristischer Organisationen ), la difusión de datos personales que ponga en peligro a las personas no es punible si es socialmente apropiada y "el acto sirve a la educación cívica, la defensa contra esfuerzos inconstitucionales, el arte o la ciencia, la investigación o la enseñanza, la información sobre acontecimientos actuales o históricos o fines similares" ( artículo 86, párrafo 4 del Código Penal). ^{[ 43 ]}

En 2021, debido al aumento de incidentes de doxing dirigidos a activistas, políticos, periodistas y otras personas neerlandesas, el entonces Ministro de Justicia y Seguridad, Ferdinand Grapperhaus , propuso una nueva ley contra el doxing. La ley establece que es un delito grave compartir datos personales con la intención de intimidar, acosar o dificultar el trabajo, y conlleva una pena máxima de dos años de prisión o una multa de 25.750 € (28.204 US$). La pena se incrementará en un tercio cuando se dirija a determinadas figuras públicas. ^{[ 44 ]} La ley propuesta fue aprobada por ambas cámaras del parlamento y entró en vigor el 1 de enero de 2024. ^{[ 45 ] [ 46 ] [ 47 ] [ 48 ]}

A principios de 2025, el proyecto War in Court publicó digitalmente una lista de nombres de casi medio millón de presuntos colaboradores nazis durante la guerra . ^{[ 49 ]}

Según el artículo 137, "Invasión de la privacidad personal", la divulgación pública de información personal mediante medios de comunicación, internet e incluso eventos públicos constituye un delito y se castiga con una multa de hasta dieciocho meses de salario, o con trabajos obligatorios de hasta trescientas sesenta horas, o con trabajos correctivos de hasta un año, o con trabajos forzados de hasta dos años, con la privación del derecho a ocupar determinados cargos o ejercer determinadas actividades de hasta tres años o sin ella, o con arresto de hasta cuatro meses, o con prisión de hasta dos años con la privación del derecho a ocupar determinados cargos o ejercer determinadas actividades de hasta tres años. ^{[ 50 ]}

Copiar la información y obtenerla ilegalmente también son delitos separados. ^{[ 50 ]}

Corea del Sur es uno de los pocos países con una ley penal que aborda específicamente el doxing. El artículo 49 de la "Ley sobre la promoción de la utilización de las redes de información y comunicaciones y la protección de la información" prohíbe la recopilación y difusión ilícitas de información privada, como el nombre completo, la fecha de nacimiento, la dirección, la imagen y cualquier otra información que, en conjunto, se considere suficiente para identificar a una o más personas, independientemente de la intención. ^{[ 51 ]}

En la práctica, sin embargo, debido a la naturaleza ambigua de la "recopilación ilícita" de información privada en la ley, las acciones legales a menudo se basan en el artículo 44 de la misma ley, que prohíbe insultar a una persona con lenguaje despectivo o profano, y difamar a una persona mediante la difusión de información errónea o información fáctica privilegiada que pueda dañar su reputación u honor (lo que suele ocurrir en un incidente de doxing). Esta cláusula en particular impone penas máximas más severas que una ley de difamación "tradicional" existente en el código penal coreano. Originalmente se promulgó en parte como respuesta al aumento de suicidios de celebridades debido al ciberacoso. ^{[ 51 ]}

El Código Penal español regula las penas por el descubrimiento y la revelación de secretos en los artículos 197 a 201. En su artículo 197 § 1, establece que «quien, con el fin de descubrir secretos o vulnerar la intimidad de otro, sin su consentimiento, se apropie de sus papeles, cartas, correos electrónicos o cualquier otro documento o efecto personal, intercepte sus telecomunicaciones o utilice dispositivos técnicos para escuchar, transmitir, grabar o reproducir sonido o imagen, o cualquier otra señal de comunicación, será castigado con penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses». Según el artículo 197 § 2, la misma pena castiga a quienes «se apropien, utilicen o modifiquen, en perjuicio de un tercero, datos personales o familiares reservados de otro que estén registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de fichero o registro público o privado». ^{[ 52 ]}

Quienes difundan, revelen o transfieran los datos mencionados a terceros se enfrentan a una pena de prisión de dos a cinco años (de uno a tres años de prisión y multas de doce a veinticuatro meses, si no participan directamente en su descubrimiento pero tienen conocimiento de su origen ilícito). Estos delitos son particularmente graves si los comete la persona responsable de los respectivos archivos, soportes, registros o documentos, o mediante el uso no autorizado de datos personales, si se revela la ideología, religión, creencias, salud, origen racial o vida sexual de la víctima, si la víctima es menor de edad o tiene alguna discapacidad , y si se realiza con fines de lucro . ^{[ 52 ]}

Según lo establecido por la reforma del Código Penal de 2015, ^{[ 53 ]} «difundir, revelar o transmitir a terceros imágenes o grabaciones audiovisuales de la persona obtenida con su consentimiento en un domicilio o en cualquier otro lugar fuera de la vista de terceros, cuando la divulgación menoscabe gravemente la intimidad personal de esa persona», sin la autorización de la persona afectada, también se castiga según el artículo 197 § 7 con pena de prisión de tres meses a un año y multas de seis a doce meses. El delito es particularmente grave si la víctima está vinculada al infractor por matrimonio o una «relación afectiva análoga» , es menor de edad o tiene alguna discapacidad. ^{[ 52 ]}

En Estados Unidos, existen pocos recursos legales para las víctimas de doxing. ^{[ 54 ]} Existen dos leyes federales que podrían abordar el problema del doxing: la Ley de Comunicaciones Interestatales y la Ley de Acoso Interestatal. ^{[ 55 ]} Sin embargo, como ha argumentado un académico, «[e]stas leyes... son lamentablemente insuficientes para prevenir el doxing porque sus términos son poco inclusivos y rara vez se aplican». ^{[ 55 ]} La Ley de Comunicaciones Interestatales, por ejemplo, «solo penaliza las amenazas explícitas de secuestrar o lesionar a una persona». ^{[ 56 ]} Pero en muchos casos de doxing, quien lo realiza puede no transmitir nunca una amenaza explícita de secuestro o lesión, pero la víctima aún podría tener buenas razones para estar aterrorizada. ^{[ 56 ]} Y la Ley de Acoso Interestatal «rara vez se aplica y solo sirve como una protección vacía contra el acoso en línea». ^{[ 57 ]} Varios estados, en particular California y Colorado , hacen que el doxing sea ilegal según la ley estatal . ^{[ 58 ]}

Según al menos una estimación, más de tres millones de personas son acosadas por internet cada año, pero solo unos tres de los agresores son acusados ​​en virtud de la Ley Interestatal de Acoso. ^{[ 57 ]} Por consiguiente, «esta falta de aplicación federal implica que los estados deben intervenir si se quiere reducir el acoso en línea». ^{[ 57 ]}

A finales de 2023 y principios de 2024, durante una oleada de llamadas falsas a políticos estadounidenses , se generalizó su uso como forma de incitar a los ataques, dado que Estados Unidos cuenta con leyes débiles en materia de privacidad de datos , y la información personal de sus ciudadanos suele ser fácilmente accesible en línea debido a diversos intermediarios de datos . ^{[ 59 ]}