Seit den frühen 1990er-Jahren wird Doxing als eine Form toxischer digitaler Rache eingesetzt: Dabei wird jemandem seine Anonymität entzogen, indem seine Identität online preisgegeben wird. Doch in den letzten Jahren hat diese giftige Praxis eine neue Wendung genommen: Menschen werden Opfer von Kryptowährungs-Doxing und -Erpressung, und in den extremsten Fällen sind sie potenziell körperlicher Gewalt ausgesetzt.
Jacob Larsen, Computersicherheitsforscher, der vor rund zehn Jahren Opfer von Doxing wurde, als versucht wurde, einen Spielaccount von ihm zu erpressen, beobachtet seit einem Jahr Doxing-Gruppen und beobachtet die Techniken, mit denen Personen entlarvt werden, und interviewt prominente Mitglieder von Die Doxing-Community. Laut Larsens Interviews haben Doxing-Akte zu Einnahmen „weit über sechsstelliger Beträge pro Jahr“ geführt. Zu den verwendeten Methoden gehört das Versenden falscher Informationsanfragen an die Strafverfolgungsbehörden, um an die Daten von Personen zu gelangen.
„Das Hauptziel von Doxing, insbesondere wenn es eine physische Erpressungskomponente beinhaltet, ist die Finanzwelt“, sagt Larsen, der ein offensives Sicherheitsteam beim Cybersicherheitsunternehmen CyberCX leitet, die Studie zu Doxing jedoch persönlich mit Unterstützung des Unternehmens leitete.
Während mehrerer Online-Chat-Sitzungen im vergangenen August und September interviewte Larsen zwei Mitglieder der Doxing-Community: „Ego“ und „Reiko“. Obwohl keine ihrer Offline-Identitäten öffentlich bekannt ist, wird angenommen, dass Ego Mitglied der fünfköpfigen Doxing-Gruppe namens ViLe war, und Reiko fungierte letztes Jahr als Administratorin der größten öffentlichen Doxing-Website, Doxbin, während sie gleichzeitig Mitglied war in anderen Gruppen engagieren. (Zwei weitere ViLe-Mitglieder bekannten sich im Juni des Computerhackings und Identitätsdiebstahls schuldig.) Larsen sagt, dass sowohl Ego als auch Reiko ihre Social-Media-Konten gelöscht haben, seit sie mit ihm gesprochen haben, was es WIRED unmöglich machte, unabhängig mit ihnen zu sprechen.
Menschen können aus vielen Gründen gedoxt werden, von Belästigung in Online-Spielen bis hin zur Anstiftung zu politischer Gewalt. Doxing kann die Zielpersonen „demütigen, schädigen und ihre Informationsautonomie einschränken“, sagt Bree Anderson, eine digitale Kriminologin an der Deakin University in Australien, die sich mit ihren Kollegen mit dem Thema befasst hat. Es gibt direkte „Schäden erster Ordnung“, wie beispielsweise Risiken für die persönliche Sicherheit, und längerfristige „Schäden zweiter Ordnung“, einschließlich der Angst vor der künftigen Offenlegung von Informationen, erklärt Anderson.
Larsens Forschung konzentrierte sich hauptsächlich auf Menschen, die Informationen aus Profitgründen preisgeben. Doxbin steht im Mittelpunkt vieler Offenlegungsaktivitäten. Auf der Website werden mehr als 176.000 öffentliche und private Doxes gehostet, die Namen, Social-Media-Informationen, Sozialversicherungsnummern, Privatadressen, Arbeitsorte und ähnliche Informationen von Familienmitgliedern einzelner Personen enthalten können . Larsen glaubt, dass die meisten Offenlegungen auf Doxbin durch Erpressungsaktivitäten motiviert sind, obwohl es auch andere Beweggründe und Offenlegungen zum Zweck der Bekanntheit geben könnte. Sobald Informationen hochgeladen wurden, werden sie von Doxbin nicht gelöscht, es sei denn, sie verstoßen gegen die Nutzungsbedingungen der Website.
„Es liegt in Ihrer Verantwortung, Ihre Privatsphäre im Internet zu wahren“, sagte Reiko in einem Gespräch mit Larsen, der die Transkripte veröffentlichte. Ego fügte hinzu: „Es liegt an den Benutzern, sich online zu schützen, aber seien wir ehrlich: Egal wie vorsichtig Sie sind, jemand kann Sie trotzdem stalken.“ »
Sich als Polizist ausgeben, Gewalt als Dienstleistung
Es ist fast unmöglich, online völlig anonym zu bleiben, und viele Menschen versuchen es auch nicht, indem sie in ihren Online-Konten häufig ihren echten Namen und ihre persönlichen Daten verwenden und Informationen in sozialen Medien teilen. Doxing-Taktiken zum Sammeln persönlicher Daten, von denen einige in den Anklagen gegen ViLe-Mitglieder detailliert beschrieben werden, können die Wiederverwendung gängiger Passwörter für den Zugriff auf Konten, den Zugriff auf öffentliche Datenbanken sowie privates und soziales Engineering zur Durchführung von SIM-Swapping-Angriffen umfassen. Es gibt auch schädlichere Methoden.
Auch Notfalldatenanfragen (EDRs) können missbraucht werden, sagt Larsen. BDUs ermöglichen es den Strafverfolgungsbehörden, Technologieunternehmen ohne Gerichtsbeschluss nach Namen und Kontaktinformationen von Personen zu fragen, weil sie glauben, dass Gefahr oder Risiko für das Leben von Menschen bestehen könnte. Diese Anfragen werden direkt an Technologieplattformen gerichtet, oft über spezielle Online-Portale, und müssen in der Regel von offiziellen Strafverfolgungs- oder Regierungs-E-Mail-Adressen stammen.