{"id":16867,"date":"2021-05-04T08:52:24","date_gmt":"2021-05-04T06:52:24","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=16867"},"modified":"2021-05-04T08:52:24","modified_gmt":"2021-05-04T06:52:24","slug":"doxing-methods","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/doxing-methods\/16867\/","title":{"rendered":"Comment se prot\u00e9ger du doxing"},"content":{"rendered":"

Chaque fois que vous aimez une publication sur les r\u00e9seaux sociaux, que vous rejoignez une communaut\u00e9 de quartier, que vous publiez votre CV ou que vous \u00eates film\u00e9 par une cam\u00e9ra dans la rue, les informations sont collect\u00e9es dans une base de donn\u00e9es. Vous n\u2019avez peut-\u00eatre pas id\u00e9e d\u2019\u00e0 quel point le fait de laisser toutes ces traces (chaque action sur le Web et quasiment toutes celles du monde r\u00e9el) vous rend vuln\u00e9rable.<\/p>\n

Le mauvais cycliste, conducteur et p\u00e8re<\/h2>\n

La divulgation de donn\u00e9es personnelles (doxing<\/em> en anglais) peut toucher n\u2019importe qui, comme l\u2019illustrent les trois anecdotes suivantes.<\/p>\n

Quand Peter Weinberg, le cycliste du Maryland a commenc\u00e9 \u00e0 recevoir<\/a> des insultes et des menaces de la part d\u2019inconnus, il a su que l\u2019application qu\u2019il utilisait pour son entra\u00eenement publiait son parcours cyclable et qu\u2019une personne avait utilis\u00e9 cette information pour en d\u00e9duire que Weinberg \u00e9tait r\u00e9cemment pass\u00e9 non loin de l\u2019endroit o\u00f9 quelqu\u2019un avait agress\u00e9 un enfant. La foule l\u2019a rapidement \u2013 et \u00e0 tort \u2013 identifi\u00e9 comme suspect et a trouv\u00e9 et r\u00e9v\u00e9l\u00e9 son adresse. Les tweets corrigeant cette erreur et clarifiant quelques faits ont \u00e9t\u00e9 bien moins r\u00e9pandus que l\u2019information d\u2019origine.<\/p>\n

\u00c0 l\u2019autre bout du monde, un d\u00e9fenseur des droits des animaux de Singapour a publi\u00e9 le nom et l\u2019adresse d\u2019une personne qui a percut\u00e9 un chien avec sa voiture<\/a>, dans le but de lui faire vivre un enfer. Selon la propri\u00e9taire de la voiture, cette accusation publique a eu des cons\u00e9quences sur sa carri\u00e8re<\/a> : une fois que les \u00ab\u00a0justiciers\u00a0\u00bb ont d\u00e9couvert o\u00f9 elle travaillait, des publications incitant \u00e0 la haine se retrouv\u00e8rent sur la page Facebook de l\u2019entreprise. Il se trouve qu\u2019une autre personne conduisait la voiture lorsque l\u2019accident s\u2019est produit.<\/p>\n

Une histoire plus connue raconte que l\u2019ancien joueur professionnel de baseball Curt Schilling, aurait vu des tweets inappropri\u00e9s et insultants impliquant sa fille. Ce dernier aurait traqu\u00e9 leurs auteurs (ce qui, selon ses dires, lui aurait pris moins d\u2019une heure), a consolid\u00e9 un gros dossier sur chacun d\u2019entre eux et a publi\u00e9<\/a> certaines informations sur son blog. Les coupables li\u00e9s \u00e0 la communaut\u00e9 du baseball ont \u00e9t\u00e9 vir\u00e9s ou renvoy\u00e9s de leurs \u00e9quipes le jour m\u00eame.<\/p>\n

Que s\u2019est-il pass\u00e9 ?<\/h2>\n

Ces trois histoires sont des exemples pertinents de ce qu\u2019est le doxing<\/em><\/a>. Il s\u2019agit de la collecte et de la publication sur Internet des donn\u00e9es d\u2019identification d\u2019une personne sans son consentement. En plus d\u2019\u00eatre d\u00e9plaisant, cela peut \u00e9galement nuire \u00e0 la r\u00e9putation des victimes, avoir des cons\u00e9quences f\u00e2cheuses dans la vie de tous les jours et au travail, et m\u00eame porter atteinte physiquement.<\/p>\n

Les intentions des doxeurs peuvent \u00eatre multiples. Certains pensent d\u00e9noncer les criminels, d\u2019autres essaient d\u2019intimider leur adversaire en ligne tandis que d\u2019autres veulent r\u00e9gler des probl\u00e8mes personnels. Le doxing<\/em> a pris de l\u2019ampleur dans les ann\u00e9es 1990, mais est bien plus dangereux aujourd\u2019hui. Avec la quantit\u00e9 de donn\u00e9es personnelles maintenant accessibles \u00e0 tous, le doxing<\/em> ne requiert aucune comp\u00e9tence particuli\u00e8re ni aucun privil\u00e8ge.<\/p>\n

Nous ne sommes pas ici pour analyser la l\u00e9galit\u00e9 et l\u2019\u00e9thique du doxing<\/em>. En tant qu\u2019experts en s\u00e9curit\u00e9, notre travail est d\u2019exposer les m\u00e9thodes utilis\u00e9es et de partager des conseils sur comment vous en prot\u00e9ger.<\/p>\n

Le doxing vu de l\u2019int\u00e9rieur<\/h2>\n

Comme le doxing<\/em> ne requiert aucune connaissance sp\u00e9ciale ni un grand nombre de ressources, ce dernier s\u2019est r\u00e9pandu. Les outils utilis\u00e9s par les doxeurs sont aussi la plupart du temps l\u00e9gaux et publics.<\/p>\n

Moteurs de recherche<\/h3>\n

Les moteurs de recherche ordinaires peuvent fournir de nombreuses informations personnelles et gr\u00e2ce aux fonctions de recherche avanc\u00e9e (par exemple faire des recherches sur un site Web en particulier ou un type de fichier) permettent aux doxeurs de trouver l\u2019information qu\u2019ils cherchent plus rapidement.<\/p>\n

En plus du pr\u00e9nom et du nom de famille, le pseudonyme peut \u00e9galement trahir les habitudes en ligne d\u2019une personne. Par exemple, le fait d\u2019utiliser le m\u00eame pseudo sur plusieurs sites Internet, ce qu\u2019on a tous tendance \u00e0 faire, facilite les recherches pour les d\u00e9tectives en ligne qui peuvent l\u2019utiliser pour poster des commentaires et faire des publications \u00e0 partir de n\u2019importe quelle ressource disponible au public.<\/p>\n

R\u00e9seaux sociaux<\/h3>\n

Les r\u00e9seaux sociaux, y compris ceux qui sont sp\u00e9cialis\u00e9s comme LinkedIn, contiennent un grand nombre de donn\u00e9es personnelles.<\/p>\n

Un profil en mode public poss\u00e9dant de vraies donn\u00e9es repr\u00e9sente un dossier d\u00e9j\u00e0 tout pr\u00eat. M\u00eame si un profil est en priv\u00e9 et accessible seulement aux amis, un enqu\u00eateur d\u00e9vou\u00e9 peut collecter quelques petites informations en analysant les commentaires de la victime, sa communaut\u00e9, les publications de ses amis et bien plus encore. Envoyez une demande d\u2019ajout en ami, par exemple en vous faisant passer pour un recruteur, et vous atteignez le niveau au-dessus, qui est l\u2019ing\u00e9nierie sociale.<\/p>\n

Ing\u00e9nierie sociale<\/h3>\n

Dans presque toutes les attaques, l\u2019ing\u00e9nierie sociale tire profit de la nature humaine pour aider les cybercriminels \u00e0 obtenir les informations et \u00e0 entrer dans un syst\u00e8me. En utilisant des informations accessibles au public (profession, informations \u00e0 propos de la famille ou des amis, pratiques religieuses ou routines sportives), un escroc peut par la suite utiliser des m\u00e9thodes d\u2019ing\u00e9nierie sociale afin d\u2019inciter la victime \u00e0 lui fournir ses propres donn\u00e9es personnelles ou des identifiants d\u2019acc\u00e8s. \u00c0 titre d\u2019exemple, un escroc peut se faire passer pour un administrateur m\u00e9dical, ou un repr\u00e9sentant d\u2019une banque, afin d\u2019extorquer des informations \u00e0 la victime\u00a0; un stratag\u00e8me qui fonctionne bien mieux avec des informations un tant soit peu v\u00e9ridiques.<\/p>\n

Sources officielles<\/h3>\n

Les personnalit\u00e9s publiques ont tendance \u00e0 avoir plus de mal \u00e0 pr\u00e9server leur anonymat social, mais cela ne signifie pas que les rockstars et les athl\u00e8tes professionnels sont les seuls \u00e0 devoir prot\u00e9ger leurs donn\u00e9es personnelles.<\/p>\n

Un doxeur peut m\u00eame utiliser un employeur pour trahir la confiance d\u2019une victime potentielle en utilisant, par exemple, son nom complet et sa photo disponible sur la page \u00c0<\/em> propos de nous<\/em> des entreprises, ou bien avec les coordonn\u00e9es compl\u00e8tes pr\u00e9sentes sur un site minist\u00e9riel. Cela semble anodin, mais les informations g\u00e9n\u00e9rales sur l\u2019entreprise vous rapprochent g\u00e9ographiquement de la personne, et la photo peut vous mener jusqu\u2019\u00e0 leurs r\u00e9seaux sociaux.<\/p>\n

Les activit\u00e9s commerciales laissent \u00e9galement des traces sur Internet. Par exemple, un certain nombre d\u2019informations concernant les fondateurs de l\u2019entreprise sont disponibles aux yeux de tous dans de nombreux pays.<\/p>\n

March\u00e9 noir<\/h3>\n

D\u2019autres m\u00e9thodes, plus sophistiqu\u00e9es, comprennent l\u2019utilisation de sources non disponibles au public, comme par exemple les bases de donn\u00e9es des entit\u00e9s gouvernementales et des entreprises.<\/p>\n

Selon nos \u00e9tudes, toutes sortes de donn\u00e9es personnelles sont en vente sur le darknet<\/a>, de scans de passeport (6 dollars ou plus) aux applications de services bancaires (50 dollars ou plus).<\/p>\n

Collecteurs de donn\u00e9es professionnelles<\/h3>\n

Les doxeurs confient une partie de leur travail aux courtiers en donn\u00e9es (data brokers<\/em> en anglais), des entreprises qui vendent les donn\u00e9es personnelles provenant de sources diverses. Le courtage de donn\u00e9es n\u2019est pas une entreprise criminelle sur mesure : les banques utilisent les donn\u00e9es venant des courtiers, de m\u00eame que les agences publicitaires et de recrutement. Cependant, seuls certains courtiers en donn\u00e9es se pr\u00e9occupent de qui ach\u00e8te les informations, h\u00e9las.<\/p>\n

Que faire si vos donn\u00e9es ont fuit\u00e9<\/h2>\n

Lors d\u2019une interview avec Wired, <\/em>Eva Galperin, la directrice en cybers\u00e9curit\u00e9 d\u2019Electronic Frontier Foundation, a sugg\u00e9r\u00e9<\/a> que si vous apprenez que vos donn\u00e9es personnelles ont \u00e9t\u00e9 d\u00e9tourn\u00e9es, vous devez contacter les r\u00e9seaux sociaux sur lesquels vos donn\u00e9es ont \u00e9t\u00e9 publi\u00e9es. Commencez par le service client ou le support technique. La divulgation de renseignements personnels sans le consentement du propri\u00e9taire repr\u00e9sente normalement une violation du contrat d\u2019utilisation. Bien que tirer la sonnette d\u2019alarme ne r\u00e9soudra pas enti\u00e8rement le probl\u00e8me, cela devrait contribuer \u00e0 r\u00e9duire les d\u00e9g\u00e2ts.<\/p>\n

Apr\u00e8s une attaque, Galperin vous conseille \u00e9galement de bloquer vos comptes sur les r\u00e9seaux sociaux ou de trouver une personne qui puisse s\u2019en occuper pendant un certain temps. Tout comme n\u2019importe quelle mesure disponible apr\u00e8s une infraction, cela ne r\u00e9parera pas les d\u00e9g\u00e2ts, mais pourra vous aider \u00e0 calmer vos nerfs ainsi qu\u2019\u00e0 \u00e9viter certaines situations difficiles en ligne.<\/p>\n

Vous prot\u00e9ger du doxing<\/h2>\n

Il est sans doute pr\u00e9f\u00e9rable de r\u00e9duire la probabilit\u00e9 d\u2019\u00eatre victime d\u2019une fuite de donn\u00e9es que de faire face \u00e0 ses cons\u00e9quences. L\u2019immunit\u00e9 n\u2019est pas facile \u00e0 atteindre, toutefois. Par exemple, vous aurez du mal \u00e0 avoir un impact sur le transfert et les fuites de donn\u00e9es provenant de bases de donn\u00e9es gouvernementales ou des r\u00e9seaux sociaux. Vous pouvez, cependant, rendre la t\u00e2che plus difficile aux doxeurs.<\/p>\n

Ne partagez aucun secret sur Internet<\/h3>\n

\u00c9vitez le plus possible de partager vos donn\u00e9es personnelles sur Internet, en particulier votre adresse, votre num\u00e9ro de t\u00e9l\u00e9phone et vos photos. Assurez-vous que chaque photo que vous publiez ne contienne pas de g\u00e9otags<\/a> et les documents aucune information personnelle<\/a>.<\/p>\n

V\u00e9rifiez les param\u00e8tres de votre compte sur les r\u00e9seaux sociaux<\/h3>\n

Nous vous conseillons de choisir des param\u00e8tres de confidentialit\u00e9 stricts sur les r\u00e9seaux sociaux et les services que vous utilisez, de configurer votre profil pour qu\u2019il ne soit visible que par vos amis et de jeter r\u00e9guli\u00e8rement un coup d\u2019\u0153il \u00e0 votre liste d\u2019amis. Vous pouvez suivre nos instructions \u00e9tape par \u00e9tape sur notre site Privacy Checker<\/a> afin de configurer les r\u00e9seaux sociaux et d\u2019autres services.<\/p>\n

Prot\u00e9gez votre compte contre les hackers<\/h3>\n

Utiliser un mot de passe diff\u00e9rent pour chaque compte peut \u00eatre une corv\u00e9e (m\u00eame si \u00e7a n\u2019a pas \u00e0 l\u2019\u00eatre<\/a>), mais c\u2019est une garantie importante. Si vous utilisez le m\u00eame mot de passe sur tous vos comptes, et que l\u2019un des services que vous utilisez les diffuse<\/a>, m\u00eame les param\u00e8tres de confidentialit\u00e9 les plus stricts ne vous aideront pas.<\/p>\n

Nous vous conseillons d\u2019utiliser un gestionnaire de mot de passe. Notre solution Kaspersky Password Manager<\/a>, ne sauvegarde pas uniquement les mots de passe, mais aussi les sites Web et les services auxquels elle a acc\u00e8s, ne laissant qu\u2019un mot de passe principal dont vous devez vous souvenir. Nous vous recommandons \u00e9galement d\u2019utiliser une authentification \u00e0 deux facteurs \u00e0 chaque fois que vous le pouvez afin de renforcer davantage votre d\u00e9fense.<\/p>\n\n

Se la jouer fine avec les comptes tiers<\/h3>\n

\u00c9vitez le plus possible de vous inscrire sur les sites Web via vos r\u00e9seaux sociaux ou autres comptes qui contiennent vos vraies informations. Le fait d\u2019associer un compte avec un autre rend votre activit\u00e9 en ligne plus facile \u00e0 traquer, par exemple en associant vos commentaires avec votre vrai nom.<\/p>\n

Pour r\u00e9soudre ce probl\u00e8me, ayez au moins deux comptes de messagerie \u00e9lectronique, dont un r\u00e9serv\u00e9 pour vos comptes poss\u00e9dant vos vrais noms et l\u2019autre pour les sites ou les comptes o\u00f9 vous pr\u00e9f\u00e9rez rester anonyme. Utilisez \u00e9galement un pseudonyme diff\u00e9rent pour chacun d\u2019entre eux afin de rendre la collecte d\u2019informations sur votre pr\u00e9sence en ligne plus difficile.<\/p>\n

Essayez de constituer un dossier sur vous-m\u00eame<\/h3>\n

Un des moyens pour en savoir plus sur votre niveau de confidentialit\u00e9 c\u2019est de se mettre \u00e0 la place d\u2019un doxeur et de rechercher les informations sur vous disponibles sur Internet. Vous pourrez ainsi trouver n\u2019importe quelle anomalie sur vos comptes et savoir quelles donn\u00e9es personnelles vous concernant sont pr\u00e9sentes sur Internet. Ce que vous trouverez vous aidera \u00e0 remonter jusqu\u2019\u00e0 la source de ces derni\u00e8res et peut-\u00eatre m\u00eame \u00e0 apprendre \u00e0 les supprimer. Afin de garder un \u0153il ouvert, vous pouvez configurer Google<\/a> pour qu\u2019il vous notifie \u00e0 chaque nouveau r\u00e9sultat de recherche des requ\u00eates contenant votre nom.<\/p>\n

Supprimer les informations vous concernant<\/h3>\n

Vous pouvez signaler n\u2019importe quel contenu en violation de votre vie priv\u00e9e et demander aux moteurs de recherche et aux r\u00e9seaux sociaux de supprimer vos donn\u00e9es (voici comment faire pour Google<\/a>, Facebook<\/a> et Twitter<\/a>).<\/p>\n

Les services comme les r\u00e9seaux sociaux ou autres interdisent g\u00e9n\u00e9ralement la publication non autoris\u00e9e de donn\u00e9es personnelles dans leur politique d\u2019utilisation, mais en r\u00e9alit\u00e9, seules les autorit\u00e9s r\u00e9pressives peuvent avoir un impact sur certaines ressources douteuses.<\/p>\n

Les courtiers en donn\u00e9es juridiques autorisent g\u00e9n\u00e9ralement les personnes \u00e0 effacer leurs donn\u00e9es personnelles, mais vu le nombre d\u2019entreprises, tout supprimer ne sera pas facile. Cependant, en parall\u00e8le, il existe des agences et des services qui peuvent vous aider \u00e0 effacer toute trace num\u00e9rique. Vous devrez faire un compromis entre la facilit\u00e9, la rigueur et le prix.<\/p>\n

Conseils pratiques<\/h2>\n

N\u2019importe qui peut \u00eatre touch\u00e9 par le doxing<\/em>, n\u2019importe quand, avec ou sans raison apparente. Ces conseils vous aideront \u00e0 pr\u00e9server votre vie priv\u00e9e sur Internet\u00a0:<\/p>\n