En France, le mot doxing s’est imposé dans le débat public après l’assassinat de Samuel Paty en 2020. L’adresse de cet enseignant avait circulé en ligne dans les jours précédant son meurtre, et cette affaire a poussé le législateur à créer une infraction spécifique dans le code pénal. Depuis, le sujet revient régulièrement, que ce soit à propos de journalistes, d’élus ou de simples internautes pris dans une dispute qui dégénère.
Le terme anglais « doxing » (parfois orthographié « doxxing ») dispose désormais d’un équivalent officiel en français. La Commission d’enrichissement de la langue française l’a traduit par « divulgation malveillante d’informations personnelles », souvent abrégée en « divulgation malveillante ». Dans la pratique, le mot « doxing » reste largement utilisé, y compris dans les textes de loi et la presse spécialisée. C’est celui que l’on retiendra dans la suite de cet article.
Cet article revient sur la définition du doxing, les raisons pour lesquelles il se produit, les méthodes utilisées par les attaquants, et surtout sur les réflexes à adopter pour protéger ses informations personnelles.
Qu’est-ce que le doxing ?
Le mot vient de l’expression anglaise « dropping dox », qui signifie littéralement « balancer des documents ». Il s’agit de rechercher puis de publier en ligne, sans consentement, des informations personnelles appartenant à quelqu’un, dans le but de lui nuire.
Les données visées sont en général les suivantes :
- Adresse personnelle ou professionnelle
- Numéro(s) de téléphone
- Nom complet
- Adresses e-mail
- Identité et coordonnées des proches
- Employeur
- Informations financières
- Comptes sur les réseaux sociaux et historique de localisation
- Photos ou vidéos
L’objectif n’est pas seulement d’exposer ces données, c’est de les transformer en arme. Une fois publiées, elles servent de point de départ à du harcèlement organisé, à des appels de « swatting » (fausses alertes qui provoquent l’intervention de forces de police armées au domicile de la victime), ou à du harcèlement dans la vie réelle.
Lire Aussi : Arnaques à la voix par IA : une technique simple pour ne pas se faire avoir
Pourquoi le doxing se produit-il ?
Les motivations varient, mais certaines reviennent plus souvent que d’autres:
Des disputes en ligne qui dégénèrent : Un désaccord dans une communauté de joueurs, un débat sur un forum de fans, une discussion qui part en vrille dans les commentaires. Quand une personne a le dessus dans un échange, l’autre partie riposte parfois en révélant son identité réelle.
Des règlements de comptes personnels : Ex-partenaires, anciens amis, collègues avec qui la relation s’est mal terminée. Ces situations s’accompagnent souvent d’autres formes de harcèlement, comme le stalking ou la diffusion d’images intimes sans consentement.
Des motifs financiers : Des données volées lors d’un phishing ou d’une fuite massive sont parfois réutilisées pour faire pression sur la victime ou pour l’extorquer.
Les discriminations : Les femmes, les personnes LGBTQ+ et les minorités sont surreprésentées parmi les victimes.
Des motivations politiques ou idéologiques : Le doxing sert de plus en plus à faire pression sur des personnes en raison de leurs opinions, qu’il s’agisse d’enseignants, de journalistes ou de simples internautes engagés dans un débat public. En France, c’est précisément ce type de dérive qui a conduit à la création d’un nouveau délit dans le code pénal.
Comment les auteurs récupèrent-ils vos informations ?
Contrairement à ce qu’on pourrait croire, le doxing ne demande pas forcément de compétences en piratage informatique. La plupart des données utilisées sont déjà accessibles publiquement, il suffit d’avoir le temps et la motivation pour les rassembler.
Le scraping des réseaux sociaux : Un profil LinkedIn qui indique l’employeur, un compte Instagram qui laisse deviner le quartier, une photo taguée qui révèle la salle de sport fréquentée…. En recoupant ces éléments, on peut reconstituer la localisation, les habitudes et l’entourage d’une personne.
Les sites d’annuaires inversés et de recherche de personnes : En France, des services comme les pages blanches en ligne ou certains annuaires inversés permettent de retrouver un nom à partir d’un numéro de téléphone, ou l’inverse. Ces informations, parfois issues d’anciens annuaires ou de fuites de données, circulent plus facilement qu’on ne le pense.
Les registres publics et documents administratifs : Certaines informations, comme les mentions au registre du commerce pour les indépendants et les dirigeants d’entreprise, ou les publications légales, sont consultables par tous. Un doxeur déterminé peut recouper ces données avec d’autres sources pour reconstituer une adresse ou une situation professionnelle.
Le dark web : Quand des données ont fuité lors du piratage d’une entreprise ou d’un service en ligne, elles finissent souvent sur des bases vendues ou partagées librement sur des forums clandestins.
Les informations WHOIS : Si vous possédez un nom de domaine, vos coordonnées d’enregistrement (nom, adresse, e-mail) peuvent être consultables publiquement, sauf si vous avez activé une option de confidentialité auprès de votre registraire.
Le recoupement entre plateformes : Utiliser le même pseudo, la même adresse e-mail ou la même photo de profil sur plusieurs sites permet de relier facilement les comptes entre eux, et donc de reconstituer une identité complète à partir de fragments d’informations en apparence anodins.
Lire Aussi : Comment reconnaître un faux site internet
Qui est le plus exposé ?
Le doxing touche tous les profils, mais certaines catégories de personnes sont plus souvent ciblées.
- Les figures publiques et les élus, exposés par nature à la critique
- Les journalistes et les militants associatifs, en particulier sur des sujets sensibles
- Les enseignants et les agents de service public, une catégorie explicitement visée par la loi française depuis 2021
- Les forces de l’ordre, régulièrement ciblées lors de manifestations ou d’opérations médiatisées
- Les joueurs et les streamers, un milieu où les conflits en ligne dégénèrent régulièrement
- Les femmes et les personnes LGBTQ+, souvent visées pour des motifs discriminatoires
- Les personnes lambda, prises dans une fuite de données ou une simple dispute en ligne
C’est justement ce dernier groupe qui pose le plus de questions. Beaucoup de personnes pensent ne pas être assez visibles pour être ciblées. C’est précisément sur cette idée reçue que comptent les auteurs de doxing.
Quelles sont les conséquences réelles ?
Les effets du doxing dépassent largement le simple embarras. Une étude publiée dans l’International Journal of Environmental Research and Public Health, menée sur plus de 2 100 lycéens à Hong Kong, montre que la divulgation d’informations personnelles entraîne presque systématiquement des conséquences psychologiques négatives, dont dépression, anxiété et stress.
Dans les cas les plus sérieux, les conséquences peuvent aller jusqu’à :
- La perte d’un emploi, quand l’employeur prend ses distances avec la personne visée
- Un déménagement forcé, une fois l’adresse du domicile rendue publique
- Un retrait progressif de la vie en ligne par mesure d’autoprotection
- Des risques de swatting, avec intervention de forces armées suite à de fausses alertes
- L’exposition de la famille et des proches, souvent visés en même temps que la cible principale
Que dit la loi française ?
Depuis la loi du 24 août 2021 confortant le respect des principes de la République, adoptée dans le contexte de l’affaire Samuel Paty, le doxing constitue une infraction pénale à part entière. L’article 223-1-1 du code pénal punit le fait de révéler, diffuser ou transmettre des informations relatives à la vie privée, familiale ou professionnelle d’une personne, permettant de l’identifier ou de la localiser, dans le but de l’exposer, elle ou sa famille, à un risque direct d’atteinte à la personne ou aux biens.
La peine de base est de trois ans d’emprisonnement et 45 000 euros d’amende. Elle grimpe à cinq ans et 75 000 euros d’amende lorsque la victime est mineure, dépositaire de l’autorité publique, chargée d’une mission de service public, titulaire d’un mandat électif, candidate à une élection, ou journaliste. La même aggravation s’applique quand les faits visent le conjoint, un ascendant, un descendant ou toute personne vivant au domicile de la victime en raison des fonctions que celle-ci exerce.
Le doxing peut aussi, selon les cas, être poursuivi au titre du harcèlement moral en ligne, prévu par l’article 222-33-2-2 du code pénal, ou donner lieu à une action devant la CNIL si les données diffusées relèvent du RGPD. Toute personne peut demander la suppression d’informations la concernant auprès d’un site ou d’un moteur de recherche, au titre du droit à l’effacement.
En pratique, faire condamner un auteur reste souvent compliqué. Beaucoup agissent sous pseudonyme, parfois depuis l’étranger, ce qui complique l’identification et les poursuites. Cela ne doit pas décourager les démarches, mais mieux vaut agir vite et garder des preuves de tout ce qui a été publié.
Lire Aussi : Est-ce que l’opérateur voit ce que l’on regarde sur Internet ?
Comment limiter les risques de doxing ?
La majorité des données utilisées par les auteurs de doxing sont déjà publiques, ce qui veut dire qu’il est possible d’agir en amont pour réduire son exposition.
1. Sécuriser ses réseaux sociaux
- Passer les comptes en privé et vérifier régulièrement la liste des abonnés
- Retirer l’adresse, le numéro de téléphone et l’employeur des bios publiques
- Éviter la géolocalisation des publications
- Ne pas publier de photos qui laissent deviner la façade du domicile, le quartier ou la plaque d’immatriculation
2. Réduire son empreinte numérique
- Taper son propre nom, pseudo, numéro et adresse e-mail dans un moteur de recherche pour voir ce qui ressort
- Supprimer les comptes inutilisés (vieux forums, applications de rencontre, réseaux abandonnés)
- Demander le retrait de ses données auprès des annuaires en ligne et des sites de recherche de personnes, en s’appuyant si besoin sur son droit d’opposition prévu par le RGPD
- Surveiller les fuites de données touchant ses comptes via un service d’alerte ou en vérifiant régulièrement si son adresse e-mail apparaît dans une base compromise
3. Renforcer la sécurité des comptes
- Utiliser un mot de passe unique et complexe pour chaque service, idéalement via un gestionnaire de mots de passe
- Activer la double authentification via une application dédiée plutôt que par SMS
- Demander un code PIN SIM auprès de son opérateur pour éviter le SIM swapping
- Apprendre à repérer les tentatives de phishing, souvent utilisées comme point d’entrée
4. Séparer ses identités en ligne
- Éviter d’utiliser le même pseudo sur plusieurs plateformes, en particulier entre identité réelle et identité de gamer
- Créer une adresse e-mail dédiée aux comptes publics, distincte de l’adresse personnelle ou professionnelle
- Activer la protection WHOIS si vous possédez un nom de domaine
5. Réagir en cas de doxing
- Ne pas répondre directement aux auteurs, au risque d’aggraver la situation
- Conserver des captures d’écran de chaque publication, avec les liens et les horodatages
- Signaler le contenu à la plateforme concernée, et au besoin sur la plateforme Pharos (internet-signalement.gouv.fr)
- Déposer plainte auprès de la police ou de la gendarmerie, en citant si possible l’article 223-1-1 du code pénal
- Appeler le 3018 en cas de cyberharcèlement, notamment pour les mineurs
- Alerter les proches qui pourraient être visés à leur tour
- Consulter un avocat en cas de menaces physiques crédibles, ou saisir la CNIL si des données personnelles restent en ligne malgré une demande de retrait
Le doxing pose une question plus large que celle de la sécurité individuelle, celle de ce que les gens acceptent de dévoiler d’eux-mêmes en échange d’un peu de visibilité ou de confort en ligne. Les plateformes ont largement construit leur modèle sur cette exposition volontaire, et il serait naïf de croire qu’elles vont spontanément inciter leurs utilisateurs à s’en protéger. La responsabilité individuelle reste, pour l’instant, l’outil le plus fiable dont on dispose.