Doxing: el peligro del exceso de in­fo­r­ma­ción

A través de las redes sociales, las fi­l­tra­cio­nes de datos y los análisis au­to­ma­ti­za­dos, tanto pa­r­ti­cu­la­res como ce­le­bri­da­des pueden co­n­ve­r­ti­r­se rá­pi­da­me­n­te en objetivo de atacantes. De­li­n­cue­n­tes, aco­sa­do­res en línea y otros actores con in­te­n­cio­nes ma­li­cio­sas recopilan in­fo­r­ma­ción privada y la publican para causar daño. A este tipo de ataque se le conoce como doxing. Pero ¿qué significa exac­ta­me­n­te este término y por qué quienes lo practican recurren a este método?

¿Qué es el doxing? De­fi­ni­ción y ex­pli­ca­ción de estos ci­ber­ata­ques

En muchos ci­ber­ata­ques, los atacantes suelen de­sem­pe­ñar un papel central: de­sa­rro­llan malware, explotan vu­l­ne­ra­bi­li­da­des de seguridad y lanzan ataques té­c­ni­ca­me­n­te complejos. En estos casos, los autores suelen contar con amplios co­no­ci­mie­n­tos de in­fo­r­má­ti­ca y pro­gra­ma­ción. El doxing, en cambio, no requiere ne­ce­sa­ria­me­n­te co­no­ci­mie­n­tos técnicos avanzados. En la mayoría de los casos, basta con co­n­s­ta­n­cia, mo­ti­va­ción y una clara intención de causar daño.

Los ataques de doxing suelen de­sa­rro­llar­se en dos fases: re­co­pi­la­ción y pu­bli­ca­ción. En la primera etapa, los atacantes reúnen toda la in­fo­r­ma­ción di­s­po­ni­ble sobre la víctima. Esto puede incluir di­re­c­cio­nes privadas, di­re­c­cio­nes de correo ele­c­tró­ni­co, números de teléfono, nombres de fa­mi­lia­res, cuentas de redes sociales, fo­to­gra­fías privadas y, en algunos casos, incluso datos bancarios. La variedad de datos es tan amplia como las fuentes uti­li­za­das.

• Redes sociales: muchas personas comparten fotos e in­fo­r­ma­ción muy personal en perfiles de acceso público.
• Páginas web: en el aviso legal de una página web o de un blog suelen figurar di­re­c­cio­nes y otros datos ide­n­ti­fi­ca­ti­vos de personas o empresas.
• Di­re­c­to­rios de di­re­c­cio­nes y teléfonos: las bases de datos con di­re­c­cio­nes y números de teléfono también pueden co­n­su­l­tar­se en línea.
• Bases de datos hackeadas: los atacantes acceden a al­ma­ce­na­mie­n­to en la nube o a bases de datos su­pue­s­ta­me­n­te pro­te­gi­das y obtienen in­fo­r­ma­ción sensible. Estos datos también pueden ad­qui­ri­r­se po­s­te­rio­r­me­n­te en la dark web.
• In­ge­nie­ría social: los de­li­n­cue­n­tes se hacen pasar por personas de confianza y manipulan a la víctima o a su entorno para que revelen in­fo­r­ma­ción de forma vo­lu­n­ta­ria.

Muchos ataques de doxing se basan ex­clu­si­va­me­n­te en in­fo­r­ma­ción de acceso público. El daño no proviene tanto de los datos en sí, sino de su agre­ga­ción y del contexto en el que se publican.

En la segunda fase, los atacantes difunden la in­fo­r­ma­ción re­co­pi­la­da de la forma más amplia posible. Para ello, crean cuentas falsas en las redes sociales o publican los datos en pla­ta­fo­r­mas anónimas. El objetivo es que otras personas re­pro­du­z­can y am­pli­fi­quen el contenido, de modo que el impacto para la víctima sea máximo. Con fre­cue­n­cia, la pu­bli­ca­ción va aco­m­pa­ña­da de amenazas, que pueden ex­te­n­de­r­se más allá de Internet y afectar a la vida real.

¿Por qué se hace doxing? Motivos, víctimas y co­n­se­cue­n­cias

El doxing rara vez se lleva a cabo con fines de extorsión, ya que los atacantes no suelen perseguir un beneficio económico. Además, la in­fo­r­ma­ción re­co­pi­la­da a menudo no es lo su­fi­cie­n­te­me­n­te co­m­pro­me­te­do­ra como para exigir dinero a cambio. En la mayoría de los casos, el objetivo es causar un daño moral o psi­co­ló­gi­co a la víctima. Por ello, los motivos más ha­bi­tua­les son la venganza, la justicia por mano propia o el intento de pe­r­ju­di­car a ad­ve­r­sa­rios políticos o ideo­ló­gi­cos.

En co­n­se­cue­n­cia, entre las víctimas fre­cue­n­tes del doxing se en­cue­n­tran políticos, pe­rio­di­s­tas y figuras públicas que se han po­si­cio­na­do de forma visible en debates sociales o políticos. No obstante, este tipo de ataques también se produce en co­n­fli­c­tos pe­r­so­na­les. En estos casos, el objetivo suele ser romper el anonimato del ad­ve­r­sa­rio y exponerlo pú­bli­ca­me­n­te.

El odio es, por tanto, uno de los pri­n­ci­pa­les motores del doxing. Los atacantes no buscan en­ri­que­ce­r­se, sino intimidar y pe­r­ju­di­car a la víctima. La mera pu­bli­ca­ción de datos pe­r­so­na­les ya genera una fuerte presión psi­co­ló­gi­ca, ya que deja claro que la persona afectada está en el punto de mira de in­di­vi­duos di­s­pue­s­tos a actuar fuera de la legalidad. Además, existe la ex­pe­c­ta­ti­va de que terceros afines in­te­n­si­fi­quen el ataque, por ejemplo mediante cartas ame­na­za­n­tes, episodios de swatting (provocar una in­te­r­ve­n­ción policial en el domicilio de la víctima) o incluso actos de violencia reales. En muchos casos, el objetivo final es silenciar a la persona afectada y di­sua­di­r­la de pa­r­ti­ci­par en la vida pública.

A menudo, quienes practican doxing también buscan re­co­no­ci­mie­n­to dentro de su entorno. No es raro que se jacten de sus acciones, no­r­ma­l­me­n­te bajo un seudónimo, con el fin de ganar atención o prestigio dentro de de­te­r­mi­na­dos círculos en línea.

Nuevas formas de doxing: IA, deepfakes y comercio de datos

Las formas modernas de doxing recurren cada vez más a he­rra­mie­n­tas au­to­ma­ti­za­das y basadas en IA. Estas te­c­no­lo­gías permiten buscar, es­tru­c­tu­rar y co­rre­la­cio­nar in­fo­r­ma­ción pública de forma autónoma, lo que acelera no­ta­ble­me­n­te la re­co­pi­la­ción de datos pe­r­so­na­les y amplía el alcance de los ataques en co­m­pa­ra­ción con los métodos manuales tra­di­cio­na­les.

Es­pe­cia­l­me­n­te pro­ble­má­ti­cos son los casos que implican deepfakes. En este contexto, se generan co­n­te­ni­dos ma­ni­pu­la­dos mediante in­te­li­ge­n­cia ar­ti­fi­cial, como hi­s­to­ria­les de chat falsos, capturas de pantalla, gra­ba­cio­nes de audio o videos alterados. Este material suele parecer auténtico y puede crear la impresión de que se trata de in­fo­r­ma­ción real y co­m­pro­me­te­do­ra. Para las personas afectadas, resulta a menudo difícil di­s­ti­n­guir entre datos verídicos y fa­l­si­fi­ca­cio­nes de­li­be­ra­das, y el daño repu­tacio­nal suele pro­du­ci­r­se incluso antes de que los hechos puedan aclararse.

¿Qué papel de­sem­pe­ñan los data brokers en el doxing?

Otra fuente relevante de in­fo­r­ma­ción en el contexto del doxing son los llamados data brokers. Se trata de empresas que recopilan datos pe­r­so­na­les pro­ce­de­n­tes de múltiples fuentes, los agregan, los analizan y los revenden con fines co­me­r­cia­les. Este material puede provenir, entre otros lugares, de programas de fi­de­li­za­ción, apli­ca­cio­nes móviles, sorteos, encuestas o registros de acceso público.

Aunque estos datos no siempre se obtienen de forma ilegal, pueden uti­li­zar­se in­de­bi­da­me­n­te para facilitar o pe­r­fe­c­cio­nar ataques de doxing. Co­m­bi­na­dos con in­fo­r­ma­ción di­s­po­ni­ble li­bre­me­n­te en Internet, permiten crear perfiles muy de­ta­lla­dos de una persona, que pueden incluir su lugar de re­si­de­n­cia, entorno pro­fe­sio­nal, hábitos de consumo o intereses pe­r­so­na­les. Para los atacantes, este nivel de detalle supone una base es­pe­cia­l­me­n­te peligrosa.

Ejemplos de doxing

En se­p­tie­m­bre de 2025, cuando el activista co­n­se­r­va­dor Charlie Kirk fue abatido a tiros mientras in­te­r­ve­nía en un evento uni­ve­r­si­ta­rio, una fuerte reacción en línea derivó rá­pi­da­me­n­te en una campaña de doxing dirigida contra personas que lo habían criticado o habían publicado co­me­n­ta­rios co­n­si­de­ra­dos in­se­n­si­bles sobre su muerte. Cuentas de redes sociales vi­n­cu­la­das a la extrema derecha y páginas web anónimas co­me­n­za­ron a difundir nombres, fo­to­gra­fías, em­plea­do­res y otros datos ide­n­ti­fi­ca­ti­vos de críticos y co­me­n­ta­ri­s­tas. Docentes, aca­dé­mi­cos y otras personas se en­fre­n­ta­ron a medidas di­s­ci­pli­na­rias, su­s­pe­n­sio­nes e incluso a la pérdida de sus empleos después de que su in­fo­r­ma­ción personal se hiciera pública en Internet, y muchos fueron objeto de acoso intenso y amenazas a medida que sus datos se pro­pa­ga­ban en pla­ta­fo­r­mas sociales.

Otro ejemplo se relaciona con ac­ti­vi­s­tas asociados al colectivo Anonymous, que en ocasiones han sido vi­n­cu­la­dos con acciones de ha­c­k­ti­vi­s­mo que exponen datos pe­r­so­na­les de personas co­n­si­de­ra­das ad­ve­r­sa­rias. En­ma­r­ca­das en el vi­gi­la­n­ti­s­mo en línea y la protesta política, algunas de estas acciones co­n­si­de­ran el doxing como una forma de denunciar presuntas irre­gu­la­ri­da­des o ejercer presión sobre in­s­ti­tu­cio­nes e in­di­vi­duos. Dado que Anonymous es un mo­vi­mie­n­to de­s­ce­n­tra­li­za­do y sin liderazgo formal, estas tácticas se utilizan a veces con fines de ex­po­si­ción pública o in­ti­mi­da­ción, más que con fines eco­nó­mi­cos.

¿Cómo puedes pro­te­ge­r­te contra el doxing?

En principio, cualquier persona que utilice Internet puede co­n­ve­r­ti­r­se en víctima de un ataque de doxing. Sin embargo, el riesgo aumenta para quienes pa­r­ti­ci­pan ac­ti­va­me­n­te en debates públicos o se po­si­cio­nan de forma visible en temas políticos o sociales, por ejemplo a través de blogs, videos o pu­bli­ca­cio­nes en redes sociales. En campañas de acoso coor­di­na­do, el doxing se utiliza con fre­cue­n­cia como he­rra­mie­n­ta para in­te­n­si­fi­car la presión sobre la víctima.

Dado que en muchos casos las personas afectadas son elegidas de forma apa­re­n­te­me­n­te aleatoria, es re­co­me­n­da­ble mostrar en Internet úni­ca­me­n­te la in­fo­r­ma­ción im­pre­s­ci­n­di­ble y aplicar el principio de mi­ni­mi­za­ción de datos. Cuantos menos datos pe­r­so­na­les estén di­s­po­ni­bles pú­bli­ca­me­n­te, menores serán las po­si­bi­li­da­des de que un ataque de doxing tenga éxito.

Si aun así te co­n­vie­r­tes en víctima y del doxing se derivan amenazas, insultos u otras formas de acoso, deberías acudir a la policía y presentar una denuncia. Además, es aco­n­se­ja­ble contactar de forma proactiva a las pla­ta­fo­r­mas en las que se hayan publicado los datos y solicitar su eli­mi­na­ción. Si tienes intención de denunciar, conviene realizar pre­via­me­n­te capturas de pantalla para do­cu­me­n­tar las pruebas antes de que el contenido sea retirado.

Cómo se regula el doxing en Estados Unidos

En Estados Unidos, el doxing no está ti­pi­fi­ca­do como un delito federal es­pe­cí­fi­co, pero puede pe­r­se­gui­r­se en función de las ci­r­cu­n­s­ta­n­cias. A nivel federal, conductas re­la­cio­na­das con el doxing pueden en­cua­drar­se en leyes sobre ci­ber­aco­so in­te­re­s­ta­tal (18 U.S.C. § 2261A), amenazas, extorsión o fraude. Cuando la pu­bli­ca­ción de datos pe­r­so­na­les va aco­m­pa­ña­da de in­ti­mi­da­ción o genera un riesgo real de daño, puede dar lugar a re­s­po­n­sa­bi­li­dad penal.

Sin embargo, la difusión de in­fo­r­ma­ción que ya es pública puede estar protegida en ciertos casos por la Primera Enmienda, lo que complica su pe­r­se­cu­ción si no existe amenaza, acoso o intención clara de causar daño.

A nivel estatal, estados como Ca­li­fo­r­nia, Texas, Florida, Colorado o Illinois cuentan con leyes contra el acoso digital y la pu­bli­ca­ción de datos pe­r­so­na­les con fines in­ti­mi­da­to­rios. La re­gu­la­ción varía según el estado y suele centrarse en la intención y el perjuicio causado.

La Section 230 of the Co­m­mu­ni­ca­tio­ns Decency Act limita la re­s­po­n­sa­bi­li­dad de las pla­ta­fo­r­mas por co­n­te­ni­dos generados por usuarios, aunque las au­to­ri­da­des pueden solicitar in­fo­r­ma­ción mediante órdenes ju­di­cia­les. Además, las pla­ta­fo­r­mas pueden eliminar contenido que infrinja sus normas internas.

Para las víctimas, la pro­te­c­ción legal es más sólida cuando el doxing se combina con amenazas o acoso. En esos casos, conviene conservar pruebas, denunciar ante las au­to­ri­da­des (incluido el FBI si existe dimensión in­te­re­s­ta­tal) y solicitar la retirada del contenido a la pla­ta­fo­r­ma co­rre­s­po­n­die­n­te. También pueden in­te­r­po­ne­r­se demandas civiles por daños y pe­r­jui­cios.