Doxing: Wat is het en hoe voorkom je het?

Wat is doxing?

De term 'doxing' (ook geschreven als 'doxxing') is afgeleid van 'dropping documents' - het publiekelijk vrijgeven van privéinformatie over een persoon zonder diens toestemming, met de intentie schade aan te richten. Doxing gaat verder dan laster of belediging: het verschaft kwaadwillenden de fysieke gegevens die nodig zijn om iemand te stalken, lastigvallen of aanvallen.

Typische informatie die bij doxing wordt gepubliceerd: volledige naam, thuisadres, telefoonnummer, e-mailadres, werkgever en werkadres, namen van familieleden, voertuigregistratie en soms financiële informatie of privéfoto's.

Doxing is in Nederland in veel gevallen strafbaar als stalking, bedreiging of als overtreding van de AVG. Toch zijn de praktische gevolgen voor slachtoffers ernstig: zij worden geconfronteerd met intimidatie, bedreigingen of zelfs fysiek geweld voordat juridische bescherming effect heeft.

Bekende gevallen

Doxing treft mensen uit alle lagen van de samenleving. Journalisten die kritisch schrijven over machtsfiguren, activisten die opkomen voor een omstreden zaak, gamers die online een conflict hebben, werknemers die publiekelijk commentaar geven - iedereen kan een doelwit worden.

In 2022 werden meerdere Nederlandse zorgprofessionals gedoxed na online-discussies over het coronabeleid. Hun thuisadressen en telefoonnummers werden gepubliceerd op forums, wat leidde tot intimidatiecampagnes en in één geval tot fysieke bedreiging aan de deur. In 2023 werden tientallen gemeenteraadsleden gedoxed na publicaties over lokaal beleid. De AP ontving dat jaar een recordaantal klachten over doxing-gerelateerde privacyschendingen.

Hoe verzamelen doxers hun informatie?

Databrokers: de grootste informatiebron

Databrokers zijn de meest efficiënte bron voor doxers. Op mensen-zoeksites als Whitepages, Spokeo, BeenVerified of vergelijkbare Europese equivalenten staat een schat aan informatie beschikbaar: je huidige en vorige adressen, telefoonnummer, namen van familieleden en soms zelfs je werkgever. Veel van deze sites bieden betaalde rapporten aan - voor tientallen euro's kunnen aanvallers een gedetailleerd profiel van jou kopen.

Sociale media

Mensen delen onbewust veel informatie via sociale media. Een foto op Facebook toont je thuisomgeving; een LinkedIn-profiel geeft je werkgever en locatie prijs; een Twitter-bio vermeldt soms je stad. Gecombineerd met metadata van foto's (die de exacte GPS-locatie kunnen bevatten) en publieke check-ins is het voor een gemotiveerde aanvaller eenvoudig je dagelijkse routine te reconstrueren.

OSINT-technieken

OSINT staat voor Open Source Intelligence - het verzamelen van informatie uit openbaar beschikbare bronnen. Doxers gebruiken gespecialiseerde zoekmachines (Shodan, Pipl), reverse image search, domeinregistratie-databases (WHOIS), Google Cache en Wayback Machine om historische informatie te vinden die je allang hebt verwijderd maar nog steeds ergens gecached staat.

Gelekte databases

Wanneer een bedrijf wordt gehackt, belanden de gegevens op dark-web-markten. Combinaties van e-mailadres en wachtwoord uit oude datalekken worden gebruikt voor credential stuffing - het proberen van gelekte wachtwoorden bij andere diensten. Websites als HaveIBeenPwned.com laten je zien in welke bekende lekken je e-mailadres voorkomt.

Hoe minimaliseer je je online voetafdruk?

Verwijder je gegevens bij databrokers

Dit is de meest impactvolle stap. Door je informatie te laten verwijderen bij mensen-zoeksites en databrokers maak je het voor doxers aanzienlijk moeilijker. Diensten als Uitgewist doen dit automatisch voor jou bij meer dan 180 brokers. Handmatig kun je beginnen bij de bekendste Nederlandse en Europese zoeksites door hun opt-out-formulieren in te vullen.

Beveilig je sociale media

Stel je profielen in op privé - alleen vrienden/connecties kunnen je berichten zien
Verwijder je telefoonnummer en adres uit je profiel
Schakel locatietagging uit op foto's
Gebruik geen volledige naam als je niet-publieke persoon bent
Wees voorzichtig met foto's van je huis, auto of omgeving

Verwijder je gegevens uit openbare registers

In Nederland staat je adres mogelijk in het handelsregister (als je zzp'er bent) of in andere openbare bronnen. Overweeg een zakelijk postadres of een postbus te gebruiken als je als ondernemer ingeschreven bent. Vraag bij je gemeente naar een geheimhouding van adresgegevens als je bedreigingen hebt ontvangen.

Gebruik een alias voor online activiteiten

Voor online forums, gaming-communities en discussieplatforms hoef je je echte naam niet te gebruiken. Een consistent maar anoniem alias geeft je de vrijheid om online aanwezig te zijn zonder je identiteit bloot te leggen. Gebruik ook unieke e-mailadressen per platform, zodat een lek bij één dienst niet leidt tot herleidbaarheid.

Juridische opties als je gedoxed wordt

Als je slachtoffer bent van doxing, zijn er meerdere juridische wegen:

Aangifte bij de politie: Doxing in combinatie met bedreiging of stalking is strafbaar. Leg al het bewijsmateriaal vast (screenshots, links) voordat je aangifte doet.
AVG-verwijderingsverzoek: Dien een verzoek in bij de platforms waar je gegevens zijn gepubliceerd op grond van artikel 17 AVG.
Klacht bij de AP: Als platformen weigeren te verwijderen, kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
Civiele procedure: Een advocaat kan namens jou een kort geding aanspannen voor spoedige verwijdering.
Google-verwijdering: Vraag Google via hun privacyverwijderingstool om verwijdering van zoekresultaten die je privégegevens bevatten.

Preventie is effectiever dan herstel

Eenmaal gepubliceerde informatie is praktisch onmogelijk volledig van het internet te verwijderen. Screenshots worden gemaakt, berichten worden gecached en gearchiveerd. De beste bescherming is preventie: zorg dat er zo weinig mogelijk over jou te vinden is voordat iemand op zoek gaat.

Begin vandaag met het controleren wat er over jou online staat. Zoek je naam op in combinatie met je woonplaats, e-mailadres en telefoonnummer. Wat je vindt, ziet een potentiële doxer ook.