O que é doxxing e por que isso acontece?

Por meio de redes sociais, va­za­men­tos de dados e análises au­to­ma­ti­za­das de dados, tanto pessoas comuns quanto figuras públicas podem ra­pi­da­mente se tornar alvos de ataques. Cri­mi­no­sos on-line e outras pessoas com intenções di­fa­ma­tó­rias coletam e publicam in­for­ma­ções ex­tre­ma­mente pessoais, causando sérios danos. Essa prática é conhecida como doxxing (às vezes grafado como doxing). O que isso significa e por que essas pessoas recorrem a essa prática?

O que é doxxing? Uma definição clara desses ci­be­ra­ta­ques

Em muitos ci­be­ra­ta­ques, hackers dependem de co­nhe­ci­mento técnico. Softwares ma­li­ci­o­sos são de­sen­vol­vi­dos, vul­ne­ra­bi­li­da­des de segurança são ex­plo­ra­das e ataques baseados em software são re­a­li­za­dos. Essas ati­vi­da­des nor­mal­mente exigem ha­bi­li­da­des avançadas de TI e pro­gra­ma­ção. O doxxing, por outro lado, ge­ral­mente não exige esse tipo de co­nhe­ci­mento técnico. Em vez disso, os fatores decisivos são per­sis­tên­cia, motivação e intenção maliciosa de­li­be­rada.

Os ataques de doxxing nor­mal­mente se de­sen­ro­lam em duas etapas: coleta e pu­bli­ca­ção de dados. Primeiro, os atacantes reúnem todas as in­for­ma­ções dis­po­ní­veis sobre a vítima. Isso pode incluir endereços re­si­den­ci­ais, endereços de e-mail, números de telefone, nomes de fa­mi­li­a­res, perfis em redes sociais, fotos privadas e, em alguns casos, até dados bancários. Por mais variados que esses dados possam ser, as fontes das quais são obtidos são igual­mente diversas.

• Redes sociais: as pessoas publicam inúmeras fotos e até in­for­ma­ções ex­tre­ma­mente pessoais em perfis de redes sociais de acesso público.
• Sites: o aviso legal de um site ou de um blog pode conter in­for­ma­ções de­ta­lha­das de endereço sobre pessoas e empresas.
• Di­re­tó­rios de endereços e telefones: bancos de dados com endereços e números de telefone também podem ser pes­qui­sa­dos on-line.
• Bancos de dados invadidos: os cri­mi­no­sos invadem ar­ma­ze­na­men­tos em nuvem ou bancos de dados que, te­o­ri­ca­mente, são seguros e obtêm in­for­ma­ções sensíveis a partir deles. Dados obtidos dessa forma também podem ser comprados por cri­mi­no­sos de doxxing na dark web.
• En­ge­nha­ria social: cri­mi­no­sos se passam por pessoas con­fiá­veis on-line e manipulam vítimas e seus fa­mi­li­a­res para que revelem in­for­ma­ções vo­lun­ta­ri­a­mente.

Muitos ataques de doxxing acontecem usando apenas in­for­ma­ções dis­po­ní­veis pu­bli­ca­mente. O dano à vítima é causado ao reunir os dados e pelo contexto em que são pu­bli­ca­dos.

Na segunda etapa, as in­for­ma­ções coletadas são pu­bli­ca­das e dis­tri­buí­das o mais am­pla­mente possível. Os atacantes costumam criar contas falsas em redes sociais e enviam o material para pla­ta­for­mas anônimas. O objetivo é in­cen­ti­var o maior número possível de pessoas a com­par­ti­lhar e continuar dis­se­mi­nando as in­for­ma­ções, ampliando o dano re­sul­tante. Em muitos casos, a pu­bli­ca­ção é acom­pa­nhada de ameaças, que podem ser retomadas por outros usuários e se estender para além do espaço on-line.

Por que as pessoas sofrem doxxing? Motivos, alvos e con­sequên­cias

O doxxing raramente é usado para extorsão, já que os cri­mi­no­sos nor­mal­mente não são motivados por ganho fi­nan­ceiro. Em muitos casos, as in­for­ma­ções que eles coletam nem sequer são sensíveis o su­fi­ci­ente para serem ex­plo­ra­das por dinheiro. Em vez disso, o principal objetivo é causar danos ima­te­ri­ais à vítima. Por isso, os motivos comuns incluem vingança, justiça com as próprias mãos e ataques a opo­si­to­res políticos. Como resultado, as pessoas afetadas costumam ser políticos, jor­na­lis­tas ou figuras públicas que assumiram pu­bli­ca­mente uma posição política. Conflitos pessoais também podem evoluir para doxxing, prin­ci­pal­mente quando o objetivo é tirar o anonimato de alguém.

O ódio costuma ser a principal força motriz por trás desses ataques. Em vez de buscar lucro, os autores têm como objetivo intimidar e pre­ju­di­car seus alvos. A simples pu­bli­ca­ção de dados pessoais gera uma pressão sig­ni­fi­ca­tiva sobre as vítimas, si­na­li­zando que elas estão sendo de­li­be­ra­da­mente visadas por pessoas dispostas a recorrer a métodos ilegais. Os cri­mi­no­sos também podem esperar que outras pessoas com opiniões se­me­lhan­tes tomem novas medidas, que vão de ameaças e assédio até o swatting (provocar uma resposta policial na casa da vítima) ou até mesmo atos de violência física. No mínimo, a intenção costuma ser intimidar as vítimas a ponto de fazê-las se afastar da vida pública.

Além disso, os autores de doxxing às vezes buscam re­co­nhe­ci­mento dentro de seus próprios círculos. Não é incomum que eles, ge­ral­mente sob um pseudô­nimo, se gabem de suas ações e ganhem status dentro de sua co­mu­ni­dade.

Novas formas de doxxing com uso de IA, deepfakes e comércio de dados

Os ataques modernos de doxxing utilizam cada vez mais fer­ra­men­tas au­to­ma­ti­za­das e com tec­no­lo­gia de IA. Essas fer­ra­men­tas conseguem pesquisar, es­tru­tu­rar e cruzar de forma in­de­pen­dente in­for­ma­ções dis­po­ní­veis pu­bli­ca­mente. Isso torna possível reunir dados pessoais de forma mais rápida e em maior escala do que com os ataques manuais tra­di­ci­o­nais.

Va­za­men­tos re­la­ci­o­na­dos a deepfakes são es­pe­ci­al­mente pro­ble­má­ti­cos. Nesses casos, a in­te­li­gên­cia ar­ti­fi­cial é usada para criar conteúdo ma­ni­pu­lado, como his­tó­ri­cos de conversas falsos, capturas de tela, gravações de áudio ou vídeos. Como esse material parece ex­tre­ma­mente autêntico, ele pode sugerir fal­sa­mente a exis­tên­cia de in­for­ma­ções reais e com­pro­me­te­do­ras. Para as pessoas afetadas, muitas vezes é difícil dis­tin­guir dados genuínos de fa­bri­ca­ções de­li­be­ra­das e, quando o engano é des­co­berto, danos sig­ni­fi­ca­ti­vos à reputação já podem ter ocorrido.

Qual é o papel dos data brokers no doxxing?

Outra fonte im­por­tante de dados são os chamados data brokers (cor­re­to­res de dados). Essas empresas coletam in­for­ma­ções pessoais de uma ampla variedade de fontes, as en­ri­que­cem com detalhes adi­ci­o­nais e as vendem co­mer­ci­al­mente. Fontes típicas incluem programas de fi­de­li­dade de clientes, apli­ca­ti­vos móveis, sorteios e registros de acesso público.

Mesmo quando esses dados são coletados le­gal­mente, eles podem ser mal uti­li­za­dos por atacantes para refinar ataques de doxxing. Quando com­bi­na­dos com in­for­ma­ções dis­po­ní­veis gra­tui­ta­mente, eles permitem criar um perfil ex­tre­ma­mente detalhado da pessoa afetada, muitas vezes revelando onde ela mora, seu ambiente pro­fis­si­o­nal ou seus in­te­res­ses pessoais.

Exemplos de doxxing

Em setembro de 2025, quando o ativista con­ser­va­dor Charlie Kirk foi baleado e morto enquanto dis­cur­sava em um evento uni­ver­si­tá­rio, uma onda ge­ne­ra­li­zada de reações on-line ra­pi­da­mente se trans­for­mou em uma campanha ao estilo doxxing, voltada contra pessoas que o haviam criticado ou publicado co­men­tá­rios con­si­de­ra­dos in­sen­sí­veis sobre sua morte. Contas de redes sociais de extrema direita e sites anônimos começaram a publicar nomes, fotos, em­pre­ga­do­res e outros dados de iden­ti­fi­ca­ção de críticos e co­men­ta­ris­tas. Edu­ca­do­res, aca­dê­mi­cos e outras pessoas en­fren­ta­ram medidas dis­ci­pli­na­res, sus­pen­sões ou até mesmo perda de emprego depois que seus dados pessoais foram di­vul­ga­dos on-line, e muitos sofreram assédio intenso e ameaças à medida que seus dados se es­pa­lha­vam am­pla­mente pelas redes sociais.

Outro exemplo envolve ativistas as­so­ci­a­dos ao coletivo Anonymous, que em algumas ocasiões foram ligados a ações hack­ti­vis­tas que expõem os dados pessoais de supostos opo­si­to­res. Em um movimento enraizado no vi­gi­lan­tismo on-line e no protesto político, alguns membros veem o doxxing como uma forma de expor ir­re­gu­la­ri­da­des ou pres­si­o­nar ins­ti­tui­ções e pessoas às quais se opõem. Como o Anonymous é um movimento or­ga­ni­zado de forma flexível e sem liderança formal, essas táticas às vezes são usadas para hu­mi­lha­ção pública ou in­ti­mi­da­ção, em vez de ganho fi­nan­ceiro.

Como você pode se proteger contra o doxxing?

Em princípio, qualquer usuário da internet pode se tornar vítima de um ataque de doxxing. Pessoas que par­ti­ci­pam de debates políticos on-line ou que expressam pu­bli­ca­mente opiniões políticas em blogs, vídeos ou pu­bli­ca­ções em redes sociais têm uma pro­ba­bi­li­dade es­pe­ci­al­mente maior de atrair hos­ti­li­dade. Durante campanhas co­or­de­na­das de assédio ou bullying, os atacantes podem então in­ten­si­fi­car suas ações e recorrer ao doxxing.

Como as vítimas às vezes são es­co­lhi­das ale­a­to­ri­a­mente, todos os usuários da internet devem limitar a quan­ti­dade de in­for­ma­ções pessoais que com­par­ti­lham on-line e seguir o princípio da mi­ni­mi­za­ção de dados. Quanto menos dados sensíveis os autores con­se­gui­rem encontrar, menores serão as opor­tu­ni­da­des de causar danos.

Se você se tornar vítima e o doxxing levar a ameaças ou assédio, você deve contatar as au­to­ri­da­des policiais e registrar um boletim de ocor­rên­cia. Além disso, você pode entrar em contato com as pla­ta­for­mas onde as in­for­ma­ções foram pu­bli­ca­das e solicitar sua remoção. No entanto, se pretende denunciar o incidente, o ideal é primeiro fazer capturas de tela para preservar as evi­dên­cias.

Como o doxxing é re­gu­la­men­tado no Brasil

No Brasil, a proteção contra o doxxing depende de um conjunto de dis­po­si­ti­vos já exis­ten­tes no Código Penal. Se um episódio se­me­lhante ao as­sas­si­nato de Charlie Kirk ocorresse no país, com uma onda de ataques on-line contra críticos de uma figura pública as­sas­si­nada, a di­vul­ga­ção dos dados pessoais dessas pessoas pro­va­vel­mente se en­qua­dra­ria como per­se­gui­ção, também chamada de stalking (art. 147-A, incluído pela Lei nº 14.132/2021), ou como di­vul­ga­ção de segredo (art. 153), superando a antiga lacuna deixada pela extinta con­tra­ven­ção de per­tur­ba­ção da tran­qui­li­dade. O art. 147-A cri­mi­na­liza perseguir alguém rei­te­ra­da­mente, por qualquer meio, ameaçando sua in­te­gri­dade física ou psi­co­ló­gica ou invadindo sua pri­va­ci­dade, prevendo penas de até dois anos de reclusão e aplicando-se de forma uniforme em todo o ter­ri­tó­rio nacional, já que se trata de le­gis­la­ção federal, mesmo que os dados di­vul­ga­dos já fossem públicos, desde que a conduta seja reiterada e associada a ameaças.

A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) reforça essa proteção com suas próprias sanções ad­mi­nis­tra­ti­vas, multa de até 2% do fa­tu­ra­mento, limitada a R$ 50 milhões por infração, para o tra­ta­mento indevido de dados pessoais, e, desde 2024, o Código Penal também tipifica a in­ti­mi­da­ção sis­te­má­tica virtual (art. 146-A, incluído pela Lei nº 14.811/2024), voltada a campanhas co­or­de­na­das de assédio como a que atingiria os críticos nesse cenário. Embora o Marco Civil da Internet his­to­ri­ca­mente exigisse ordem judicial para res­pon­sa­bi­li­zar as pla­ta­for­mas por conteúdo de terceiros, decisão do STF em 2025 (Temas 987 e 533) ampliou essa res­pon­sa­bi­li­za­ção para casos de no­ti­fi­ca­ção ex­tra­ju­di­cial e de falha sistêmica diante da cir­cu­la­ção massiva de conteúdos ilícitos graves. Isso tem obrigado sites como X e TikTok a agir com mais rapidez na remoção de conteúdos de doxxing e de assédio co­or­de­nado. Para as vítimas, a proteção é mais forte diante de ameaças, per­se­gui­ção ou violência. Preserve as evi­dên­cias, registre um boletim de ocor­rên­cia em uma delegacia es­pe­ci­a­li­zada em crimes ci­ber­né­ti­cos, solicite a remoção do conteúdo pelas pla­ta­for­mas e busque ações civis por danos.