doxing
Les forums d’images anonymes sont depuis longtemps des espaces où les utilisateurs peuvent discuter sous des pseudonymes sans révéler leur véritable identité. Mais aujourd’hui, les internautes de ces forums étudient et testent des outils d’IA destinés au doxing, c’est-à-dire à la recherche, à l’identification et à la publication des données des utilisateurs sans leur consentement. Ces pratiques s’accompagnent souvent d’une surveillance obsessionnelle de la victime, du piratage de ses comptes, de harcèlement et de chantage, et finissent par nuire à sa réputation, voire pire.
Dans cet article, nous expliquons comment l’intelligence artificielle aide les acteurs malveillants à divulguer les données d’autrui, et comment faire valoir votre droit à la vie privée en ligne.
Comment les cybercriminels parviennent à obtenir des informations sur les utilisateurs
Les analystes d’Open Measures ont indiqué que, depuis octobre 2025, les utilisateurs de Soyjak.party, un forum d’images très prisé des jeunes d’extrême droite, discutent et utilisent l’IA pour désanonymiser d’autres utilisateurs. Leurs victimes sont souvent des militants, des blogueurs et des membres d’autres forums « hostiles ».
Les outils découverts par les experts fonctionnent directement dans le navigateur et automatisent la quasi-totalité du processus de collecte d’informations sur une victime. Ils peuvent effectuer des recherches dans les sources ouvertes et les bases de données de fuites, et ils exploitent toute nouvelle piste, par exemple une adresse email associée à un nom d’utilisateur, pour approfondir leurs recherches. Ils extraient également des métadonnées des photos et des vidéos, estiment la localisation approximative d’une personne à partir des adresses IP qu’ils trouvent, puis rassemblent toutes ces informations dans un immense dossier numérique. Les outils de Soyjak.party ne fonctionnent plus, mais des outils similaires se sont répandus sur d’autres forums d’images.
En février 2026, des chercheurs ont démontré que de simples discussions sur un forum suffisent parfois à révéler votre identité. Ils ont compilé des résumés des publications de 338 utilisateurs de Hacker News, ont supprimé les noms, les pseudonymes et les liens vers les réseaux sociaux, puis ont demandé à l’IA d’identifier leurs auteurs. L’IA a comparé des données relatives à l’emploi, aux centres d’intérêt et au parcours personnel avec les informations disponibles en ligne, et a identifié correctement 226 personnes, soit environ les deux tiers de l’échantillon. Le coût de la désanonymisation s’est avéré ridiculement bas : entre 1 et 4 dollars par utilisateur.
Pour être honnête, on savait déjà comment créer des dossiers numériques avant même l’essor de l’IA générative. Pour commencer, il existe des outils OSINT qui permettent de rechercher des données dans des sources ouvertes. Ce sont les journalistes et les enquêteurs qui ont été les premiers à les utiliser, mais, comme vous pouvez vous en douter, les acteurs malveillants ont eux aussi rapidement appris à se servir de ces outils. Contrairement aux modèles et agents d’IA, les services OSINT traditionnels suivent des scénarios prédéfinis et ne sont pas capables de « réfléchir » ni de prendre des décisions à la volée.
Un agent en quête de vengeance : l’affaire OpenClaw
Si vous pensez que le doxing nécessite toujours l’intervention d’une personne mal intentionnée, nous avons une mauvaise nouvelle : parfois, celui qui règle ses comptes peut être… l’intelligence artificielle elle-même.
Voici une histoire qui a commencé de manière plutôt anodine. Un agent d’IA fonctionnant sur la plateforme OpenClaw, très en vogue, a proposé une amélioration pour Matplotlib, un outil populaire permettant de créer des graphiques et des diagrammes. Mais le règlement du projet stipulait que le code soumis par des agents d’IA n’était pas accepté. Scott Shambaugh, l’un des bénévoles du projet, a tout simplement rejeté la proposition de l’IA.
On pourrait penser que l’histoire s’arrêterait là. Détrompez-vous ! L’agent d’IA a décidé que ce refus méritait un peu de publicité et a donc publié un article à sensation à propos du développeur sur son blog (oui, vous avez bien lu : l’agent avait son propre blog). Il a recueilli des informations sur Scott Shambaugh à partir de sources publiques, a étudié ses activités publiques et l’a accusé de partialité à l’égard de l’IA. Il a même commencé à émettre des hypothèses sur les motivations psychologiques du développeur, suggérant qu’il craignait la concurrence de l’intelligence artificielle.
Une fois que cette conversation « privée » entre Scott Shambaugh et l’agent d’IA a été rendue publique, d’autres utilisateurs ont pris la défense du développeur, et l’agent a dû publier un message d' »excuses ».
Cette histoire est assez absurde, mais elle nous enseigne une leçon utile : lisez toujours attentivement la politique de confidentialité de tout service d’IA et évitez les nouveaux modèles provenant de sources inconnues.
Comment éviter d’être victime de doxing : guide pratique
Si l’IA accélère les recherches et permet de relier entre eux des éléments qui étaient auparavant dispersés sur des dizaines de sites, la question logique qui se pose alors est la suivante : que pouvez-vous faire pour réduire votre empreinte numérique ?
Il est presque impossible de disparaître complètement d’Internet. Protéger vos données ne consiste donc pas tant à laisser le moins de traces possible qu’à réduire le nombre de liens permettant de reconstituer votre identité. Si vous êtes un utilisateur expérimenté, nous vous recommandons de lire notre article Comment disparaître d’Internet, en complément des conseils ci-dessous.
Gérez votre empreinte numérique
- Faites une recherche sur vous-même en ligne. Ne vous limitez pas à votre nom : essayez également votre adresse email, vos surnoms et votre numéro de téléphone. Si cela ne vous pose pas de problème que l’IA traite vos données, vous pouvez même lui demander de constituer un dossier à votre sujet. N’oubliez pas qu’il existe toujours un risque de fuite ou de bug qui pourrait accidentellement rendre vos données publiques. Et non, même les grands services réputés ne font pas exception.
- Rendez privés tous les profils que vous ne souhaitez pas partager ouvertement. Cela complique l’indexation de vos nouvelles publications par les moteurs de recherche, ainsi que leur collecte par les outils d’extraction de données et les outils OSINT. Pendant que vous y êtes, passez en revue vos anciens commentaires et publications, et supprimez tout ce qui n’est plus nécessaire.
- Supprimez vos comptes fantômes. Passez en revue vos boîtes de réception et vérifiez sur quels sites Web vous vous êtes inscrit. Prenez l’habitude de supprimer les comptes que vous n’utilisez plus. En effet, ceux-ci peuvent conserver vos données personnelles pendant des années, et il y a toujours un risque qu’elles soient victimes d’une nouvelle fuite de données.
- Configurez l’authentification à deux facteurs. Ainsi, même si un pirate parvient à deviner votre mot de passe ou à le découvrir dans une fuite de données, il ne pourra pas accéder à votre compte sans cette authentification supplémentaire. Pour le deuxième facteur, nous vous recommandons d’utiliser des codes à usage unique qui se renouvellent toutes les 30 secondes et de les enregistrer dans un gestionnaire de mots de passe fiable.
- Supprimez les métadonnées avant de publier des photos et des vidéos. Les métadonnées peuvent permettre à une personne malveillante d’en apprendre beaucoup à votre sujet, par exemple le lieu et la date exacte à laquelle une photo a été prise, ainsi que le modèle de votre appareil.
- Utilisez un mot de passe différent pour chacun de vos comptes. Nos recherches ont montré que les mots de passe composés d’informations personnelles, comme le nom de jeune fille de votre mère, votre date de naissance et un caractère spécial à la fin, sont particulièrement faibles. Ce type d’informations fait souvent l’objet de fuites ou peut être reconstitué à partir de sources publiques, ce qui permet à des algorithmes avancés de deviner facilement les mots de passe par force brute. Bien sûr, personne ne peut mémoriser des centaines de mots de passe uniques. Il est donc logique de confier cette tâche à Kaspersky Academy Alliance: un coffre-fort sécurisé qui génère et mémorise pour vous des mots de passe complexes et uniques, puis les synchronise sur tous vos appareils.
- Soyez informé des nouvelles fuites de données le plus rapidement possible. Certains services en ligne vous envoient une alerte gratuite si votre adresse email apparaît dans une fuite de données connue. Il est toutefois bien plus pratique de surveiller les fuites à l’aide d’une application de sécurité dédiée. Par exemple, Kaspersky Password Manager vérifie en permanence toutes les entrées que vous avez enregistrées. Cet outil vous avertit si vous utilisez le même mot de passe sur différents sites, ou si l’un de vos identifiants et mots de passe enregistrés a été compromis. Nos instructions simples pour Windows, macOS, Android et iOS vous permettent de vérifier facilement tous les mots de passe que vous avez enregistrés dans Kaspersky Password Manager. Vos mots de passe ne sont jamais transmis à Kaspersky. Nous expliquons comment nous pouvons analyser vos mots de passe sans les connaître dans notre article Comment créer des mots de passe forts et où les stocker ?.
- Utilisez une protection fiable qui détecte et bloque les fuites de vos données. Alors que Kaspersky Password Manager vérifie uniquement les entrées de mots de passe actives que vous y avez ajoutées, Kaspersky Premium permet de surveiller les comptes compromis associés à vos adresses email (vous pouvez ajouter jusqu’à 50 adresses à vérifier) et de détecter les cas d’usurpation d’identité numérique liés à vos numéros de téléphone. En plus de signaler les fuites qui se sont déjà produites, nos solutions de sécurité permettent également d’empêcher la collecte de données vous concernant sur Internet.
- Configurez les paramètres de confidentialité sur vos appareils et dans vos applications grâce à notre service en ligne gratuit, Privacy Checker.
Gardez vos comptes séparés
Plus le nombre de sites connaissant votre adresse email est élevé, plus celle-ci risque d’apparaître dans des profils publicitaires et de faire l’objet de fuites potentielles. Pour les inscriptions ponctuelles et mineures, vous pouvez utiliser un service de masquage d’adresse email. Tous les utilisateurs Apple bénéficient de cette fonctionnalité par défaut (Masquer mon adresse e-mail). Si vous utilisez un autre système d’exploitation, vous pouvez essayer Firefox Relay, par exemple.
Le service crée ensuite une adresse email proxy distincte pour le site sur lequel vous essayez de vous inscrire. Les messages envoyés à cette adresse sont automatiquement transférés vers votre boîte de réception réelle, mais le site n’a jamais connaissance de votre véritable adresse email.
Si vous souhaitez aller jusqu’au bout de cette démarche, vous pouvez essayer de répartir manuellement votre vie numérique entre plusieurs identités distinctes. Créez plusieurs adresses email pour différents usages. Par exemple, utilisez-en une pour les boutiques en ligne, les banques et les services administratifs, une deuxième pour les réseaux sociaux où vous vous exprimez publiquement, et une troisième pour les forums et les réseaux sociaux où vous souhaitez rester anonyme.
Gardez à l’esprit que cette démarche est un véritable défi : vous devrez sans cesse inventer de nouveaux surnoms et veiller à ce que vos sous-personnalités ne se chevauchent jamais. Si vous utilisez une adresse email pour un profil anonyme, ne l’associez pas à des services qui disposent déjà de vos informations réelles et ne l’utilisez pas comme adresse email de secours pour un compte public. Une seule association accidentelle peut suffire à réduire tous vos efforts à néant.
Vérifiez ce que vous partagez avec vos ex
Si vous venez de rompre avec votre partenaire, pensez à vérifier à quelles parties de votre vie numérique commune votre ex a encore accès. Malheureusement, très souvent, ce sont les ex-partenaires qui se transforment en « doxeurs » ou en harceleurs, espionnant leur ex et ne reculant devant rien pour y parvenir. Pour en savoir plus sur la marche à suivre dans ce genre de situation, consultez notre article Hygiène numérique après une rupture : ce qu’il faut vérifier et désactiver.
Faites valoir votre droit à l’oubli
De nombreux pays ont adopté une loi sur le droit à l’oubli. Celle-ci vous permet de demander aux moteurs de recherche de supprimer les liens vers des pages contenant vos données personnelles.
Vous pouvez envoyer les liens vers ces pages, expliquer pourquoi vous souhaitez qu’elles soient masquées et demander qu’elles soient supprimées des résultats de recherche. N’oubliez pas que la page contenant vos données n’est pas supprimée. D’autres moteurs de recherche peuvent continuer à l’afficher, et elle peut encore apparaître dans les résultats de certaines requêtes.
Pour soumettre une telle demande, utilisez les formulaires dédiés de Google ou de Bing. Mais n’oubliez pas qu’un moteur de recherche peut refuser votre demande s’il estime que ces informations relèvent de l’intérêt général ou que la loi impose leur publication.
Il existe des moyens plus efficaces, bien que plus chronophages, de supprimer vos données d’Internet. Nous les avons présentés en détail dans notre article Pourquoi les courtiers en données établissent-ils des dossiers sur vous, et comment les en empêcher ?.
Vous cherchez d’autres façons de protéger votre identité numérique ? Consultez nos autres articles :
Conseils