ドクシング(Doxing)とは?仕組みと危険性、被害を防ぐための10の対策を徹底解説【2022年版】

「ドクシング(Doxing)」という言葉は、「document tracing(書類追跡)」に由来し、特定の個人や組織の個人情報・機密情報を収集し、公開の場に晒す行為を指します。デジタル化が進んだ現代では、ドクシングはソーシャルエンジニアリング(公的な記録から他人のデータを収集する手法)の一種としても知られています。

ドクシングとは何か?

ドクシングとは、他人の個人情報を集めてインターネット上に投稿する行為です。かつてこのような行為はサイバー犯罪者によって行われることが多く、一般の人々がそれほど心配する必要はありませんでした。しかし近年、ドクシング攻撃は深刻な問題となっています。なぜなら、ドクシングはなりすまし(ID盗難)や嫌がらせへの扉を開くからです。あなたが公の場で発した意見が悪用され、私生活や職業生活を破壊される可能性もあるのです。

さらに、ドクシングの被害者はスワッティング(Swatting)——警察を自宅に呼びつける悪質ないたずら——にさらされるリスクもあります。詳細については後述の「スワッティングとは?」のセクションをご覧ください。

ドクシングの危険性

ドクシングは、被害者に対して深刻な脅迫、嫌がらせ、個人・職業上の脅威をもたらし、仕事に支障をきたしたり、実際の危険にさらされたりする可能性があります。ドクシングは標的型攻撃であり、その暴力度や混乱の程度によっては、被害者が銀行口座情報や連絡先などを変更せざるを得なくなることもあります。最近では、Redditのモデレーターがドクシング被害に遭う騒動も発生しました。

ドクサー(攻撃者)はどんな情報を狙っているのか?

ドクシング攻撃が発生すると、サイバー犯罪者は以下のような情報を公開する可能性があります。

• 本名
• 電話番号
• 社会保障番号(SSN)
• 住所
• 国民登録識別カード番号
• クレジットカード番号
• 個人的な写真、動画、書類など
• SNSプロフィールに関する情報
• 本人やその関係者を特定できるその他の情報

ドクシングによって起こりうる被害

• 匿名での活動が暴露される
• いたずら電話がかかってくる
• 世間からの非難や屈辱にさらされる
• SNSアカウントを削除せざるを得なくなる
• 個人・職業上の評判が傷つけられる
• サイバーブリングやSNSでのバッシングを受ける
• 仕事を失う
• 法的訴訟に発展する可能性がある
• なりすましなどの他のサイバー攻撃につながる

一方で、リスク分析や法執行機関の捜査支援など、正当な理由で行われるケースもあります。しかし大多数の場合、ドクシングは恐喝、恥辱、私的制裁(自警団的正義)のために使われています。

ドクシングの仕組み

では、実際にどのようにしてドクシングは行われるのでしょうか?ドクシング攻撃を開始する際、ハッカーはまず個人や組織の個人情報を収集します(多くの場合、氏名、メールアドレス、電話番号など比較的簡単に入手できる情報から始めます)。その後、より高度なハッキング技術を使って、社会保障番号、クレジットカード番号などの機密情報といった入手困難なデータを収集していきます。

ドクシング攻撃で使われる主な手口

• パケットスニッフィング(Packet Sniffing)

ハッカーがインターネット通信データを傍受し、氏名、メールアドレス、パスワードなどの貴重な情報を収集する有名なハッキング手法です。サイバー犯罪者はネットワークに接続し、セキュリティを突破して、ネットワーク上でやり取りされるすべてのデータを傍受します。

• ファイルメタデータの解析

メタデータには、想像以上に多くの情報が含まれていることをご存じでしょうか?例えば、写真のメタデータからは撮影場所、カメラの機種、関連する設定などが判明します。ハッカーがこの情報にアクセスできれば、あなたについて多くのことを知られてしまいます。

豆知識:

かつて殺人事件の疑惑を逃れて潜伏していたジョン・マカフィーの正確な居場所が特定されたのは、写真のメタデータが原因だったと言われています。

• IPロギング(IP Logging)

ドクサーが使うもう一つの恐ろしい手口です。この方法では、ハッカーが被害者には見えないコードをメールに仕込みます。ターゲットがそのメールを開くと同時に、コードがユーザーのIPアドレスを追跡し、IPロガーへ送信します。攻撃者がIPアドレスを手に入れると、さらに多くの情報を収集するための次の手を実行できます。

• 逆引き電話番号検索(Reverse Cellphone Lookup)

ハッカーがあなたの電話番号を手に入れたら何が起こるでしょうか?Whitepagesのようなサービスのおかげで、さまざまなことが可能になります。電話番号を入力するだけで、その番号の持ち主に関する多くの情報を取得できるのです。逆引き電話検索でどれほどの情報が得られるか、驚くことでしょう。

• SNSストーキング(Social Media Stalking)

多くの悪意ある人物は、ターゲットのSNSアカウントをくまなく調べ、個人情報を探し出して収集します。攻撃者がこのデータにアクセスすれば、それを自分の目的のために利用します。

豆知識:

2021年の調査によると、ティーンエイジャーのSNSユーザーがプロフィールに投稿している個人情報のうち、ハッカーが容易に取得できるものは以下の通りです。

• 92%のユーザーが本名を投稿
• 91%のユーザーが自分の写真を掲載
• 84%のユーザーが本当の興味関心事を投稿
• 82%のユーザーが正確な生年月日を設定
• 62%のユーザーが交際状況を投稿
• 53%のユーザーが正確なメールアドレスを設定
• 20%のユーザーが正確な連絡先を投稿

スワッティング(Swatting)とは?

ドクシングによる最も懸念すべき被害が「スワッティング」です。これは、盗んだ他人の名義で偽の爆弾予告や重大な事件通報を行い、結果的に警察を被害者の自宅に出動させる行為です。

スワッティングの実例: 2017年12月、スワッティング攻撃によりカンザス州のアンドレ・フィンチさんが死亡する事件が発生しました。経緯としては、「フィンチ」と「バリス」がオンラインゲームをプレイ中、「Miruhcle」という名前の別プレイヤーが両者の対立を煽りました。何らかの手段で身元不明のプレイヤーがフィンチさんの住所を突き止め、バリスにスワッティングをけしかけたのです。バリスは警察に電話をかけ、フィンチさんの住所で偽の爆弾予告を通報しました。警察がフィンチさんの家に到着した際、彼は即座に射殺されてしまったのです。」

ドクシングを防ぐための10の必須対策(2022年版)

ドクシング被害に遭うことは、トラウマになるほどの経験になりかねません。しかし、個人情報の漏洩を防ぎ、データを守るために実践できる対策があります。

1. VPNを使用する

専用VPNサービスやプロキシを使って、IPアドレスを隠すことを検討しましょう。これらのツールは、インターネット閲覧時や公共Wi-Fi接続時にIPアドレスを保護してくれます。匿名性を保ちながらブラウジングするには、Systreak VPNなどの信頼できるVPNサービスの利用をおすすめします。

豆知識:

196か国のうち30か国がVPNサービスの使用を禁止しています。これらの国々は、市民のオンライン活動を完全に管理するための権威主義的な法律を維持することを好んでいるのです。

2. パスワードを定期的に変更する

強力で暗号化されたパスワードの使用は、最高水準のセキュリティを維持するために不可欠です。パスワードマネージャーを活用して毎月認証情報を変更しましょう。複雑で解読困難なパスワードの作成をサポートしてくれます。

必見:TweakPass——究極のパスワードマネージャー

3. WHOISからドメイン登録情報を隠す

インターネットドメイン名を所有していますか?その場合、登録情報はWHOISと呼ばれる専用データベースに保存されます。このデータベースの大きな欠点は、誰でも公開閲覧できることです。ウェブサイト登録者の氏名や連絡先など、さまざまな情報を見ることができてしまいます。

4. Google高度な保護プログラムに登録する

政治家、活動家、ジャーナリストなどの方は、追加の対策が必要になる場合があります。TORのようなプライベートブラウザの使用や、Google高度な保護プログラムへの登録を検討しましょう。データを完全にロックダウンできます。ただし、このようなメリットを得るには費用がかかることもあります。

5. データブローカーサイトから自分の情報を削除する

イエローページのように機能するウェブサイトは数多く存在します。これらのデータブロカーサイトはインターネット上からあらゆる種類の情報を収集し、一箇所にまとめています。氏名、連絡先、住所、写真などが含まれます。www.peoplefinder.com や www.whitepages.com などのサイトで自分のデータを確認してみましょう。また、DeleteMeのようなデータ削除ツールを使えば、自動的に情報をクリーンアップすることもできます。

6. 使い捨て用のメールアドレスを作成する

さまざまなウェブサイトにアクセスする際は、使い捨てのメールアドレスを使用することをおすすめします。メールアドレスだけで登録できるプラットフォームでアカウントを作る際の効果的な対策になります。また、スパムや不要な通知を避けるのにも最適です。

7. 投稿履歴を消去する

オンラインでの発言に注意するだけでは不十分です。過去に共有した個人的・私的なコンテンツを見直す必要があります。すべてのアカウントを見直し、共有しすぎている箇所をリストアップしましょう。一つずつ削除して、機密情報を完全に消去してください。

8. ペンネーム(偽名)を使用する

複数のウェブサイトを利用する方は、プラットフォームごとに異なる名前を使うことをおすすめします。ドクシングの試みの多くは複数の情報源からの情報収集によって行われるため、ハッカーがアカウントを照合して一人の人物のデータを一箇所にまとめることが困難になります。

9. Advanced Identity Protectorで情報を保護する

信頼できるID盗難防止サービスの利用は、隠れた個人情報の痕跡を検出し、安全な保管庫(セキュアボルト)に整理された形で保存する最良の方法です。認証情報やメールアカウントなど、さまざまなデータを不正アクセスから守ることができます。

10. SNSのプライバシーを守るためのコツ

以下の方法を実践すれば、すべてのアカウントを簡単に保護できます。

• SNSへの投稿量を制限する
• 日常のすべての活動を投稿しない
• 知らない人からの友達申請は承認しない
• 友人や親族に、自分に関連する写真や個人情報の削除を依頼する

関連記事:インターネットからデジタルフットプリントを消去する9つの方法!

オンラインで見つかった自分の情報をどうすればよいかわからない方へ。欧州連合(EU)にお住まいの場合、GDPR規則のおかげで、プラットフォームから個人情報の即時削除を要求することができます。

• GDPRについて知っておくべきすべてのこと
• グローバルレベルでのGDPRの影響!
• GDPRがビジネスにもたらす真の課題とは?
• GDPR施行2年:成功か失敗か?

ドクシング被害に遭ってしまったら?

ドクシング被害に遭った場合は、以下の対策を実践して被害を最小限に抑えましょう。

• 情報が掲載されているプラットフォームに攻撃を報告する
• 攻撃者から脅迫を受けた場合は、地元の警察署に連絡する
• 投稿されたすべての情報を記録・保存する。これは法執行機関やその他の機関がドクシング事件を調査する際に役立ちます
• 銀行口座情報やクレジットカード番号が公開されていることに気づいたら、すぐに金融機関に連絡する
• 覗き見やドクサーを寄せ付けないよう、すべてのSNSのプライバシー設定を見直す

本ガイドが、ドクシングとは何か、その潜在的な危険性、そしてドクシング攻撃を防ぐための効果的な対策を理解する一助となれば幸いです。ご質問やフィードバックがありましたら、下のコメント欄でお聞かせください!

こちらの記事もチェックしてみましょう:

クレデンシャルスタッフィング攻撃——それは氷山の一角にすぎない!

サイバー犯罪者がコロナウイルスマップを利用して情報を窃取!

マイクロソフト警告:偽コールセンターがメールや無料トライアルを通じてマルウェアを拡散

Google広告に潜むマルウェアの見分け方と対策方法

50億回目の検索詐欺とは?削除方法を解説

要注意——偽パルスオキシメーターアプリがオンライン上のIDを盗む!