⚠️ DOXXING: ora SANNO TUTTO DI TE

Immaginate di svegliarvi una mattina e ritrovare il telefono impazzito con centinaia di notifiche dai vari social, messaggi da persone che conoscete ma anche da numeri sconosciuti e via dicendo. Persino il vostro capo vi ha scritto chiedendovi di andare subito da lui appena arrivate in ufficio, perché a quanto pare in diversi hanno scritto alla vostra azienda chiedendo che vi licenzino. Alcuni messaggi sono insulti, altre sono vere e proprie minacce con indicazione persino del vostro indirizzo di casa e dei nomi dei vostri figli. In preda all'ansia cercate di capire cos'è successo e scoprite che alla base di tutto c'è uno screenshot di un post pubblicato su Facebook anni prima con frasi gravemente razziste. Magari l'avete scritto voi, magari no, ma la vostra reputazione è ormai rovinata e un po' anche la vostra vita. Qualcuno ha preso quello screenshot, l'ha attribuito a voi, ha raccolto tutte le informazioni possibili sul vostro conto e poi le ha sbattute online in modo che altre persone potessero attaccarvi. Siete appena stati vittime di doxxing. Ciao a tutti e benvenuti in questo nuovo video. Oggi affrontiamo un tema un po' particolare perché, come vedremo, ha diverse forme, alcune più vicine al cyberbullismo, altre più vicine al mondo dei malware, tutte comunque raccolte sotto un unico nome, cioè doxxing. Termine che in realtà non ha una traduzione vera e propria in italiano. Che cos'è il doxxing? Di fatto consiste nel raccogliere informazioni su qualcuno e poi esporlo all'agonia pubblica. Il fenomeno nasce negli anni '90 nell'ambito della cultura hacker e viene dal termine doxx con la X, che è il modo storpiato di scrivere docs con CS, cioè i documenti. L'espressione che si usava inizialmente era dropping docs e significava rilasciare dei documenti su qualcuno, cioè quindi smascherare hackerarlo. Questo perché nei forum e nelle chat del mondo hacker l'anonimato era sacro, quindi la punizione peggiore che potevi infliggere a qualcuno era toglierglielo questo anonimato, collegare il suo nickname alla sua vera identità e rendere pubbliche queste informazioni. A rendere famosa questa pratica è stato proprio, ironicamente, Anonymous. Ironicamente perché consiste proprio nel togliere l'anonimato a qualcuno. Il gruppo Anonymous negli anni 2000 ha cambiato un po' i connotati a questa tecnica, perché anche anziché limitarsi a tenerla confinata nel mondo degli hacker, nei forum underground, l'ha portata alla luce, usandolo come metodo per fare attivismo. Se c'era qualcuno che secondo i criteri di Anonymous aveva fatto qualcosa di sbagliato, loro iniziavano subito a scavare per cercare dettagli su questa persona, cercavano informazioni su dove vivesse e poi appunto droppavano i documenti, cioè se ne uscivano pubblicando online una relazione dettagliata in cui spiegavano cosa aveva fatto questa persona e perché la gente dovesse darle contro. E la gente lo faceva. Molto spesso queste azioni si tramutavano in una vera e propria gogna pubblica online. In sostanza, quindi, il doxxing consiste nel cercare informazioni su una persona con fini malevoli e il pubblicare su internet e sui social tutto quello che è stato trovato. Molto spesso il punto di partenza è un semplice nickname, neanche un nome cognome. Una persona scrive qualcosa di controverso sui social o fa qualcosa che comunque scatena in qualcun altro la voglia di agire, di iniziare a scavare e via dicendo. Vedremo fra poco le motivazioni che possono esserci dietro alla tecnica del doxxing. Si parte quindi da questo nickname e si inizia a verificare anche con strumenti automatici se è stato usato in altri social. Magari lo stesso nickname usato su forum meno conosciuti come Reddit è usato dall'utente anche su social più mainstream come Instagram, e magari su Instagram l'utente ha messo una foto in palestra e si riesce a capire in quale palestra va, e quindi più o meno anche in che zona abita o lavora. Magari è stato taggato in qualche foto scattata da familiari, quindi si riesce a risalire in qualche modo alla cerchia delle persone che conosce. Sono tutti dati pubblici che si trovano guardando semplicemente online con la tecnica che ormai conosciamo benissimo chiamata OSINT, cioè open source intelligence, intelligence basata su fonti aperte. Prima o poi scavando un nome cognome viene fuori e si può scoprire dove la vittima lavora e magari anche il posto in cui abita. Ad esempio, per che si trova, non so, un curriculum dimenticato online da qualche parte che contiene anche l'indirizzo e il numero di telefono della vittima. Ci sono anche aziende chiamate data broker che fanno esattamente questo, cioè raccolgono e rivendono dati sulle persone usando sempre le stesse tecniche, ma facendo il lavoro sporco al posto del malintenzionato o dell'attivista. Solo raramente si spingono a usare tecniche di ingegneria sociale, cioè a ingannare le persone per convincerle a dare ulteriori informazioni. Generalmente la raccolta di dati è passiva, cioè non si entra in contatto diretto con la vittima, mentre le tecniche di ingegneria sociale prevedono un contatto con qualcuno, quindi comportano un rischio in più. Una volta che si hanno tutti questi dati sul bersaglio, è il momento di pubblicarli su internet, di droppare quel documento che raccoglie tutti i panni sporchi della persona. La cosa più curiosa, se vogliamo, del fenomeno è che la stessa tecnica può essere usata per motivazioni e scopi diversissimi. Algoritmi tra loro. Ad esempio, sono stati raccolti casi di doxxing compiuti da qualcuno contro il proprio ex o la propria ex perché non aveva accettato la fine della relazione. Il caso più famoso di questo tipo è il cosiddetto Gamergate, avvenuto nel 2014. Un ex fidanzato pubblica un lungo post pieno di accuse contro la sviluppatrice di videogiochi Zoe Quinn. In poche settimane quella faccenda, nata alla fine come cosa privata fra due partner che si erano lasciati, si trasforma in una campagna di molestie di massa contro diverse donne del settore, tra cui la critica culturale Anita Sarkeesian. Nell'ondata di doxxing del Gamergate furono pubblicati indirizzi di casa delle vittime, arrivarono minacce di morte e di stupro, al punto che alcune donne facenti parte di questo mondo furono costrette ad annullare apparizioni pubbliche e addirittura a lasciare le proprie abitazioni per paura di ritorsioni. Fu il primo caso, ma non certo l'ultimo. Ancora oggi oggi molte dinamiche di odio coordinato ricalcano quello schema. Un'altra motivazione che può spingere qualcuno a fare del doxxing, come dicevamo prima, è l'attivismo, il giustizialismo digitale. Quindi queste cose vengono fatte da qualcuno che pensa di essere nel giusto e che decide di dare una punizione meritata a chi ha detto, fatto qualcosa di sbagliato. Questa forse fra tutte è l'ipotesi peggiore a livello di conseguenze, perché è il caso in cui la gente si fomenta di più, e prende quindi parte più volentieri all'agonia pubblica. E la cosa peggiore è che spesso le informazioni sul bersaglio sono raccolte in modo frettoloso e approssimativo, quindi c'è anche il rischio concreto di sbagliare persona. Questa cosa è successa sempre nel 2014, ad opera fra l'altro di Anonymous, dopo l'uccisione del 18enne Michael Brown da parte di un agente che ha pensato che la giusta reazione a un sospetto di furto fosse sparare ripetutamente al ladro disarmato. Ovviamente dopo questo fatto le persone insorgono, anche perché negli Stati Uniti c'è una lunga storia di brutalità della polizia, e Anonymous decide di indagare per i fatti propri, pubblicando poi il nome di quello che secondo loro era il poliziotto coinvolto. Il problema è che avevano indicato la persona sbagliata, avevano fatto il nome di qualcuno che non c'entrava niente con la vicenda e che si ritrovò travolto da minacce di morte per un omicidio che non aveva commesso. Più di recente, un caso che sicuramente avrete sentito è quello dell'assassinio di Charlie Kirk, un attivista e opinionista politico americano molto noto per le sue idee fortemente conservatrici. Subito dopo l'omicidio di Charlie Kirk è partita una caccia online contro chiunque l'avesse criticato mentre era in vita o avesse poi commentato la sua morte in modo offensivo o ironico. Sono addirittura nati dei siti costruiti apposta per raccogliere nomi e datori di lavoro, con tanto di screenshot dei commenti con l'obiettivo dichiarato di far licenziare queste persone. A quanto pare, a distanza di qualche settimana dall'evento, oltre 600 persone negli Stati Uniti hanno perso il lavoro per qualcosa che avevano scritto sull'episodio o per qualcosa che era stato erroneamente attribuito a loro. Un altro scopo del doxxing può essere poi quello di danneggiare in qualche modo un nemico di guerra, come sanno bene Russia e Ucraina da quando è scoppiata la guerra fra i due stati nel 2022. Da parte ucraina sono stati diffusi dati personali di decine di migliaia di soldati russi, e i gruppi invece schierati con Mosca hanno risposto facendo lo stesso con militari ucraini e con volontari anche stranieri. Cosa che ci fa capire quanto un fenomeno nato in un contesto dei forum underground, degli hacker, abbia poi assunto una dimensione a volte anche statale. È diventata una tecnica bellica in tutto e Tutto. L'ultima, ma non meno importante, motivazione dietro al doxxing è ovviamente il denaro. Quindi si minaccia la pubblicazione su internet di una serie di dati per estorcere a qualcuno una somma più o meno alta. In questo caso è spessissimo abbinato al ransomware, il malware che blocca tutti i sistemi di una persona o di un'azienda e chiede il riscatto. Infatti, non a caso, si parla in questo caso di doxxware. Questo è particolarmente pericoloso perché in realtà è una tecnica unica che neutralizza l'unica difesa possibile contro il ransomware. Se siamo stati colpiti da un ransomware, quindi abbiamo tutti i sistemi bloccati e tutti i file sono inaccessibili, possiamo salvarci senza pagare nulla se a tempo debito avevamo fatto un bel backup. È qui che nasce il Doxware. I malintenzionati minacciano di pubblicare tutte le informazioni su cui sono riusciti a mettere le mani se la vittima non paga. La vittima può quindi scegliere di non pagare e ripristinare tutti i propri file grazie ai backup che aveva atto, ma non è detto che questo sia sufficiente a evitarle la pubblicazione di informazioni sensibili che possono finire nelle mani di clienti, fornitori, partner, eccetera. Il caso più eclatante del fenomeno del doxxware è senza ombra di dubbio il caso Bastamo, un episodio da mettersi le mani nei capelli. Ma proprio per questo ne parliamo nel video della prossima settimana. Un altro esempio di doxxware meno noto, ma comunque molto interessante, è quello del gruppo che si faceva chiamare The Dark Overlord. Nel 2017 questo gruppo sottrae alcuni episodi non ancora usciti di una serie Netflix, cioè Orange is the New Black, bucando non Netflix stesso ma uno studio di post-produzione che stava lavorando alla serie, cioè i Larson Studios. Il gruppo chiede un riscatto e quando Netflix rifiuta di pagare decide di pubblicare gli episodi online. Loro in realtà non avevano cifrato niente, la loro unica leva era la minaccia di rendere pubblico pubblico quello che avevano rubato. La storia, per inciso, non è finita benissimo per loro, perché un membro del gruppo, Nathan Wyatt, è stato poi arrestato e condannato a 5 anni di reclusione. Arrivati a questo punto, e viste tutte le possibili evoluzioni del doxxing, una domanda che mi aspetto che possiate fare è: ma il doxxing è reato? In Italia ci sono delle conseguenze per chi fa qualcosa di questo tipo? La risposta è un po' complessa. Un reato col nome doxxing non esiste, però molto spesso questa tecnica finisce in realtà per violare altre norme, e quindi una sanzione in qualche modo risulta comunque applicabile. Ad esempio, può integrare la condotta punita ai sensi dell'articolo 612-bis del codice penale, articolo dedicato agli atti persecutori che conosciamo come stalking. Oppure può trattarsi di diffamazione della vittima, anche questa punita dal codice penale. Sul piano civile, chi subisce un doxxing può sempre chiedere risarcimento del danno. La diffusione di dati personali è punita anche dal codice della privacy, se ricorrono determinate condizioni. Insomma, non c'è una norma specifica, ma non è che allora si possa fare. In un modo o nell'altro questa condotta può essere punita. La seconda cosa più importante da chiedersi è allora forse un'altra, cioè come evitiamo che ci capiti. Anche qui non c'è una risposta facile. A volte questo fenomeno assume le forme quasi di un cyberbullismo fatto da gente che magari conosciamo. Non c'è una motivazione vera e propria dietro se non il semplice odio. A volte oppure nasce da una relazione finita male, ma anche lì non è che possiamo restare con qualcuno solo per timore che altrimenti diffonda nostre informazioni private. L'unica cosa che possiamo sicuramente fare è lasciare in giro meno informazioni possibili su di noi, soprattutto sui social, perché è proprio da lì che molto spesso si parte. Possiamo magari usare nickname diversi scollegati fra loro, evitare di usare il nostro nome e cognome reale sui siti e sui social, social, per rendere, diciamo, un po' più difficile a chi ci vuole attaccare creare un quadro chiaro su di noi. Ovviamente poi, se siamo vittime di doxxing, dobbiamo denunciare. Non è detto che porti a qualcosa di concreto, però magari sì, e comunque aiuta a evitare che si alimenti la convinzione sbagliata che il doxxing sia una cosa di poco conto, che si può fare tranquillamente. Bene, come sempre, spero che il video di oggi vi sia piaciuto e di essere stata chiara, perché le informazioni che vi ho dato saranno fondamentali per capire bene il caso della prossima settimana. Il caso Bassamo, che come vedrete ha davvero dell'assurdo. A presto!