Le doxing comme outil de renseignement offensif

Le doxing, parfois épelé doxxing ou d0xing, est une pratique malveillante qui consiste à divulguer les informations personnelles d'un individu sans son consentement.

Les données visées sont généralement des adresses physiques, des numéros de téléphone, des adresses e-mail, des emplois et intitulés de poste, des informations financières telles que des numéros de carte bancaire, et des numéros de sécurité sociale. Le terme est une contraction de " droping " (divulguer) et "docx " (documents).

Cette pratique est initialement utilisée à des fins de cyberintimidation et/ou de cyberharcèlement, d’extorsion ou de représailles envers des victimes ciblées en raison de leurs opinions. Le terme s’est démocratisé dans les années 1990, lorsque des acteurs malveillants ont commencé à recourir au doxing pour lever l’anonymat de leurs rivaux, les exposant ainsi à leurs pairs comme aux autorités.

Le doxing se déroule généralement en deux étapes. La première consiste à recueillir un maximum d’informations sur la cible. La seconde vise à diffuser ces données sur des plateformes anonymes ou sur les réseaux sociaux, souvent au moyen de faux profils.

Certains sites se sont spécialisés dans cette pratique, à l’image de Doxbin, une plateforme de type Pastebin permettant de publier anonymement des données personnelles et des descriptions. Les internautes peuvent également y contribuer en ajoutant d’autres informations. La seule façon pour une victime de faire retirer son nom du site est de payer.

Le doxing comme tactique de reconnaissance

Le doxing s’inscrit dans la première étape de la Cyber Kill Chain, ainsi que dans la phase de reconnaissance du framework MITRE ATT&CK, référencée TA0043. Ces deux modèles soulignent l’importance de la collecte d’informations comme préalable à la poursuite d’une cyberattaque.

Le doxing ne se limite donc plus aux conflits internes entre acteurs isolés. Il est désormais utilisé comme un outil de renseignement offensif, ce qui en fait une menace réelle pour les entreprises.

Plusieurs cyberattaques récentes montrent que les attaquants exploitent des données divulguées afin de tenter de compromettre des entreprises ou de diffuser un message politique à l’échelle internationale.

Ce fut notamment le cas lorsque des attaquants du groupe Handala, présumé lié à l’Iran, ont compromis la messagerie personnelle de Kash Patel, directeur de la police fédérale américaine (FBI). Ils ont ensuite publié en ligne des documents et des photos récupérés à partir de cette messagerie.

Si l’incident n’a pas entraîné d’impact sécuritaire majeur, il s’inscrit néanmoins dans une logique de représailles symboliques contre les États-Unis, dans un contexte de fortes tensions impliquant également Israël et l’Iran.

Dans le cadre d’activités d’analyse en cybersécurité, il est fréquent de devoir alerter les clients sur des cas de doxing visant leurs employés. Cela concerne notamment la divulgation d’informations relatives à des agents de sécurité de grands groupes, ou encore le partage d’identifiants valides appartenant à des collaborateurs.

Comment réduire son empreinte numérique ?

Pour se protéger du doxing, la principale mesure de prévention consiste à limiter la diffusion d’informations personnelles en ligne, notamment sur les réseaux sociaux. Il est également recommandé de restreindre l’accès à ces données aux seuls contacts de confiance.

Lorsque cela est possible, il est recommandé d’éviter d’utiliser ses nom et prénom sur Internet, y compris dans les adresses e-mail, et de privilégier l’usage de pseudonymes. Il convient également de limiter le recours aux mécanismes d’inscription ou de connexion automatique proposés par les grandes plateformes, comme Google ou Facebook, afin de réduire le volume de données personnelles partagées avec ces services.

Les paramètres de confidentialité des réseaux sociaux doivent être configurés de manière stricte afin de limiter l’accès aux publications. L’utilisation d’un compte tiers peut également permettre de vérifier la visibilité publique d’un profil. Il est par ailleurs utile de rechercher régulièrement son nom sur les moteurs de recherche afin d’identifier les informations accessibles en ligne.

Enfin, l’authentification multifacteur doit être activée dès que possible, en complément de mots de passe robustes, uniques et confidentiels, composés d’au moins 12 caractères mêlant lettres, chiffres et caractères spéciaux. L’usage d’un VPN peut aussi être pertinent, notamment sur des réseaux non fiables, afin de sécuriser les connexions et de limiter l’exposition des échanges.