Doxxing: qué es, cómo prevenirlo y qué hacer si publican tus datos

Tu dirección aparece publicada junto con tu nombre.

Alguien comparte tu teléfono, lugar de trabajo o información sobre tu familia.

Después comienzan los mensajes.

En otros casos no existe una amenaza explícita, pero una persona reúne deliberadamente suficiente información personal para facilitar acoso o intimidación.

Este tipo de situación suele asociarse con el término doxxing —también escrito doxing—.

Y requiere algo más que cambiar una contraseña.

La respuesta puede incluir preservar pruebas, identificar exactamente qué información fue expuesta, solicitar su retirada, proteger cuentas, vigilar posibles fraudes y, cuando existe riesgo para la seguridad física, contactar a las autoridades correspondientes.

En esta guía veremos qué es el doxxing, cómo reducir el riesgo y qué hacer si tus datos ya fueron publicados.

¿Qué es el doxxing?

CISA define el doxxing como la práctica de recopilar información personalmente identificable de una persona —o información sensible de una organización— desde fuentes abiertas o materiales comprometidos y publicarla o utilizarla con fines maliciosos.

La información puede incluir:

• nombre completo;
• dirección particular;
• número telefónico;
• correo electrónico;
• fecha de nacimiento;
• fotografías;
• lugar de trabajo;
• información sobre familiares;
• perfiles sociales;
• otros datos capaces de identificar o localizar a una persona.

¿De dónde salen los datos utilizados para doxxing?

No siempre proceden de un hackeo.

Parte de la información puede encontrarse públicamente.

Por ejemplo:

• redes sociales;
• sitios de búsqueda de personas;
• data brokers;
• registros públicos;
• directorios;
• sitios profesionales;
• fotografías;
• publicaciones antiguas;
• información compartida por familiares o amigos.

Otros datos sí pueden proceder de cuentas comprometidas, filtraciones o materiales obtenidos sin autorización.

El riesgo aumenta cuando piezas aparentemente pequeñas se combinan.

Doxxing no significa necesariamente hackeo

Esta distinción es importante.

Alguien puede construir un perfil detallado utilizando exclusivamente información pública.

Por tanto, sufrir doxxing no demuestra por sí solo que alguien haya entrado en tu teléfono o computadora.

Sin embargo, tampoco deberías asumir que todo provino de fuentes públicas.

Si aparece información que nunca publicaste, investiga qué cuentas o servicios podrían haberla expuesto.

¿Publicar información personal siempre es doxxing?

No necesariamente.

El contexto importa.

Un número comercial publicado voluntariamente por una empresa no es equivalente a divulgar una dirección particular con intención de facilitar acoso.

Google, por ejemplo, utiliza criterios que consideran tanto la información personal publicada como la presencia de amenazas, llamadas a causar daño o una agregación significativa de información personal sin propósito legítimo cuando evalúa determinados casos de doxxing.

Además, las definiciones y consecuencias legales pueden variar según la jurisdicción.

Doxxing y registros públicos

Que una información pueda encontrarse en un registro público no significa automáticamente que cualquier uso de ella sea inocuo.

Una persona puede reunir datos dispersos y colocarlos juntos en un contexto diseñado para hostigar, intimidar o facilitar daño.

Por otro lado, no toda republicación de un dato público cumple necesariamente las políticas de retirada de una plataforma o buscador.

Por eso debes documentar tanto la información publicada como el contexto.

¿Por qué puede ser peligroso el doxxing?

Las consecuencias dependen de los datos y del contexto.

Pueden incluir:

• acoso online;
• llamadas o mensajes no deseados;
• phishing personalizado;
• suplantación;
• fraude;
• intimidación;
• contacto con familiares o empleadores;
• amenazas;
• riesgos para la seguridad física.

CISA advierte que la información puede utilizarse para intimidar, chantajear o generar temor en una persona.

El riesgo cambia cuando aparece tu dirección

No todos los datos tienen la misma sensibilidad.

Una dirección particular puede convertir un conflicto exclusivamente digital en un problema de seguridad física.

Si la dirección aparece acompañada de amenazas, llamadas a acosarte o señales de que alguien pretende acudir al lugar, trata la situación con mayor urgencia.

Doxxing y swatting no son lo mismo

El swatting consiste en realizar una denuncia falsa de una emergencia para provocar el envío de fuerzas policiales o servicios de emergencia a una dirección.

No es sinónimo de doxxing.

Pero una dirección expuesta mediante doxxing puede facilitar este tipo de abuso.

El FBI ha advertido sobre situaciones donde víctimas son doxxeadas o reciben respuestas policiales provocadas mediante falsas llamadas de emergencia.

Qué hacer inmediatamente si publicaron tus datos

No empieces discutiendo públicamente con quien los publicó.

Primero protege la evidencia y evalúa el riesgo.

Un orden práctico es:

1. documentar;
2. evaluar el riesgo;
3. identificar los datos expuestos;
4. reportar;
5. intentar retirar la información;
6. proteger cuentas y personas afectadas;
7. vigilar consecuencias posteriores.

Paso 1: guarda pruebas antes de que desaparezcan

CISA recomienda documentar lo ocurrido y tomar capturas que puedan compartirse con investigadores.

Guarda, cuando sea seguro hacerlo:

• capturas de pantalla;
• URL;
• nombre de usuario;
• fecha y hora;
• mensajes relacionados;
• amenazas;
• correos;
• información de perfiles implicados.

Si el contenido cambia o se elimina posteriormente, conservarás evidencia de lo ocurrido.

No redistribuyas innecesariamente tus propios datos

Al guardar pruebas, evita convertir una exposición limitada en una distribución más amplia.

Si compartes capturas con terceros, piensa qué información necesitan realmente ver.

Preservar evidencia no significa publicarla de nuevo en tus propias redes.

Paso 2: determina exactamente qué información fue publicada

Haz una lista.

Por ejemplo:

• nombre;
• dirección;
• teléfono;
• correo;
• empleador;
• familiares;
• información financiera;
• credenciales;
• documentos;
• fotografías.

CISA recomienda determinar qué información fue explotada, la gravedad de la amenaza y el posible punto de compromiso.

Paso 3: evalúa si existe una amenaza

Pregunta:

• ¿publicaron únicamente un dato?
• ¿hay mensajes amenazantes?
• ¿están animando a otras personas a contactarte?
• ¿publicaron tu dirección?
• ¿mencionan familiares?
• ¿alguien afirma que irá a tu casa o trabajo?
• ¿hay señales de posible violencia?

La respuesta determina la urgencia.

Si temes por tu seguridad física

No dependas solamente de formularios de eliminación online.

CISA recomienda contactar a las autoridades locales cuando existe preocupación por la seguridad física.

Si existe una emergencia o peligro inmediato, utiliza el servicio de emergencias correspondiente a tu ubicación.

Las leyes y procedimientos sobre doxxing varían según la jurisdicción.

Paso 4: reporta la publicación a la plataforma

Las plataformas suelen disponer de categorías relacionadas con:

• información personal;
• acoso;
• amenazas;
• suplantación;
• privacidad.

Utiliza la categoría que mejor describa lo ocurrido.

Incluye URLs concretas y el contexto necesario.

Guarda cualquier número de caso o confirmación.

Paso 5: intenta retirar la información desde la fuente

Si el contenido está en un sitio web, intenta identificar al administrador o utilizar su procedimiento de privacidad.

CISA recomienda trabajar con administradores de sitios para retirar información publicada.

Esto es especialmente importante porque eliminar un resultado de un buscador no elimina necesariamente la página original.

Solicitar retirada de doxxing en Google

Google permite solicitar la retirada de determinados contenidos con información personal de sus resultados de búsqueda.

Su política contempla casos de doxxing cuando existe información personal y además aparecen elementos como:

• amenazas explícitas o implícitas;
• llamadas para que otras personas te dañen o acosen;
• una cantidad significativa de información personal agregada sin un propósito legítimo.

Google solicita URLs específicas para evaluar el contenido.

Google puede retirar el resultado sin borrar la página

Este límite continúa aplicándose incluso en casos de doxxing.

Google puede controlar lo que aparece en sus productos.

No controla necesariamente el sitio que publicó la información.

Por eso conviene trabajar en paralelo:

1. solicitud a la plataforma o sitio original;
2. solicitud al buscador cuando corresponda.

En nuestra guía sobre cómo eliminar información personal de Google y sitios de búsqueda de personas explicamos este proceso paso a paso.

Paso 6: protege tus cuentas

Si el atacante conoce información privada, considera que puede intentar utilizarla para acceder a tus cuentas.

Prioriza:

• correo electrónico;
• cuenta principal del teléfono;
• gestor de contraseñas;
• redes sociales;
• servicios financieros;
• almacenamiento en la nube;
• cuentas profesionales.

Revisa actividad, sesiones y métodos de recuperación.

Cambia contraseñas cuando exista una razón para hacerlo

No necesitas cambiar indiscriminadamente cada contraseña simplemente porque alguien publicó tu nombre.

Pero sí deberías cambiar inmediatamente:

• credenciales expuestas;
• contraseñas que sospeches comprometidas;
• contraseñas reutilizadas asociadas con una exposición.

Utiliza credenciales únicas.

Activa autenticación fuerte

En cuentas importantes utiliza MFA y, cuando esté disponible, métodos resistentes al phishing como FIDO/passkeys.

En nuestra guía de 2FA y passkeys explicamos las diferencias entre los principales métodos.

Paso 7: protege la recuperación

Un atacante puede conocer datos utilizados históricamente para preguntas de seguridad.

Revisa:

• correo de recuperación;
• teléfono;
• dispositivos autorizados;
• preguntas de seguridad;
• métodos alternativos de acceso.

No confíes en datos biográficos públicos como si fueran secretos.

Paso 8: avisa a personas que puedan verse afectadas

Si publicaron información de familiares, compañeros o empleados, avísales.

También puede ser útil advertirles si esperas intentos de:

• suplantación;
• phishing;
• llamadas fraudulentas;
• mensajes que aparentan venir de ti.

No necesitas enviarles toda la información publicada.

Dales el contexto suficiente para reconocer posibles intentos de engaño.

Paso 9: vigila señales de robo de identidad

Si se expusieron identificadores sensibles, información financiera u otros datos útiles para fraude, revisa las medidas apropiadas para ese tipo de información.

Puede ser necesario vigilar:

• cuentas financieras;
• nuevas cuentas;
• cambios no autorizados;
• informes de crédito, cuando corresponda;
• mensajes de recuperación de cuentas.

En nuestra guía sobre datos filtrados explicamos qué hacer según la información expuesta.

Paso 10: reduce información adicional disponible

Una vez controlada la emergencia, realiza una auditoría más amplia.

Busca:

• direcciones antiguas;
• teléfonos;
• perfiles abandonados;
• fotografías;
• people search sites;
• data brokers;
• información sobre familiares.

CISA recomienda revisar redes sociales, eliminar perfiles que ya no se utilizan, limitar permisos y considerar opt-outs de data brokers y sitios de búsqueda de personas.

Cómo prevenir doxxing

No puedes garantizar que nadie encuentre nunca información sobre ti.

Pero puedes reducir la cantidad disponible y hacer más difícil construir un perfil completo.

1. Revisa la privacidad de tus redes

Limita la información pública que no necesitas compartir.

2. Elimina cuentas abandonadas

Los perfiles antiguos pueden contener años de información personal.

3. Revisa seguidores y contactos

CISA recomienda evitar aceptar automáticamente a personas que no conoces.

4. Limita permisos de aplicaciones

Especialmente ubicación, contactos, fotografías, cámara y micrófono cuando no sean necesarios.

5. Evita publicar ubicación en tiempo real

La ubicación puede revelar rutinas y lugares frecuentes.

6. Examina las fotografías

Fondos, documentos, matrículas y otros elementos pueden revelar más de lo previsto.

7. Separa contextos cuando sea útil

Un correo profesional separado del personal puede reducir la conexión directa entre determinadas actividades.

8. Revisa data brokers

Utiliza procedimientos legítimos de opt-out cuando corresponda.

9. Busca periódicamente tu nombre

Una revisión ocasional puede detectar nuevas exposiciones.

¿Conviene configurar alertas sobre tu nombre?

CISA incluye entre sus recomendaciones considerar alertas de búsqueda para detectar nuevas menciones.

Esto no garantiza encontrar todo lo publicado.

Pero puede servir como una capa adicional de monitoreo para personas con mayor exposición pública.

Personas con mayor riesgo

La exposición puede ser especialmente relevante para:

• periodistas;
• creadores públicos;
• directivos;
• trabajadores de infraestructura crítica;
• activistas;
• personas que reciben acoso;
• víctimas de violencia o stalking;
• personas involucradas en controversias públicas.

En estos escenarios puede ser apropiado realizar auditorías más frecuentes y separar con mayor cuidado información pública y privada.

Doxxing en empresas

El problema no afecta solamente a individuos.

Un atacante puede publicar información sobre:

• ejecutivos;
• empleados;
• familiares;
• ubicaciones;
• infraestructura;
• información interna.

CISA recomienda que organizaciones preparen políticas, procedimientos de respuesta y apoyo para empleados potencialmente afectados.

Un plan básico para organizaciones

Antes de un incidente, define:

• quién recibe el reporte;
• quién preserva evidencia;
• quién contacta a plataformas;
• cuándo participa seguridad física;
• cuándo interviene el equipo legal;
• cómo se protege al empleado afectado;
• cómo se comunica internamente.

Improvisar después de que una dirección privada se hace pública suele ser más difícil.

No respondas con más doxxing

Si alguien publica tus datos, no publiques los suyos como represalia.

Eso puede ampliar el conflicto, perjudicar a terceros y crear nuevos problemas legales o de seguridad.

Preserva evidencia, reporta y utiliza las vías apropiadas.

No amenaces públicamente al responsable

Una reacción impulsiva puede:

• escalar el conflicto;
• alertar al responsable antes de preservar pruebas;
• generar nuevas publicaciones;
• complicar una investigación.

Prioriza seguridad y documentación.

¿Debo borrar todas mis redes?

No necesariamente.

La decisión depende del nivel de riesgo.

Puede ser suficiente con:

• hacer perfiles privados;
• eliminar información sensible;
• desactivar temporalmente determinadas cuentas;
• revisar seguidores;
• eliminar publicaciones antiguas.

En situaciones de riesgo elevado, puede ser necesario un plan más amplio.

¿Debo cambiar mi número de teléfono?

No automáticamente.

Si solamente apareció publicado, puedes comenzar bloqueando contactos y revisando seguridad.

Pero si existe acoso persistente, amenazas o abuso continuo, cambiarlo puede formar parte de una estrategia más amplia.

Antes de hacerlo, considera qué cuentas dependen de ese número para recuperación.

¿Debo mudarme si publicaron mi dirección?

La publicación de una dirección no implica automáticamente que debas mudarte.

La decisión depende de amenazas, comportamiento del responsable, vulnerabilidades físicas y circunstancias personales.

Si existe preocupación real por seguridad física, busca asesoramiento de las autoridades locales o profesionales adecuados en lugar de basarte exclusivamente en una guía online.

¿Qué ocurre si publicaron datos falsos?

La información falsa también puede utilizarse para acosar o dañar reputación.

Documenta el contenido y utiliza las herramientas de reporte de la plataforma.

El procedimiento puede diferir del utilizado para retirar información personal auténtica.

Las leyes sobre doxxing no son iguales en todas partes

No existe una regla legal universal.

CISA señala expresamente que las leyes relacionadas con doxxing varían por jurisdicción.

Dependiendo del comportamiento, también pueden entrar en juego normas relacionadas con amenazas, stalking, acoso, fraude, suplantación u otros delitos.

Para decisiones legales concretas necesitas revisar las reglas aplicables en tu jurisdicción.

Protocolo rápido si publican tus datos

Situación Prioridad

Dato personal publicado sin amenaza visible Documentar, reportar y solicitar retirada

Contraseña o credencial expuesta Cambiarla inmediatamente y revisar reutilización

Información financiera expuesta Contactar a la entidad correspondiente y vigilar actividad

Dirección + acoso Documentar, retirar, proteger entorno y evaluar seguridad física

Amenaza creíble o peligro inmediato Priorizar seguridad personal y contactar servicios de emergencia o autoridades apropiadas

Checklist después de un incidente

• Guardar capturas.
• Guardar URLs.
• Registrar usuarios y fechas.
• Identificar todos los datos expuestos.
• Evaluar amenazas.
• Reportar a la plataforma.
• Solicitar retirada en origen.
• Solicitar desindexación cuando corresponda.
• Revisar contraseñas y sesiones.
• Proteger recuperación de cuentas.
• Avisar a personas afectadas.
• Vigilar fraude e identidad.
• Reducir exposición adicional.

La siguiente capa: proteger el teléfono

Muchas de las cuentas, códigos, fotografías y mecanismos de recuperación que forman nuestra identidad digital terminan concentrados en un dispositivo: el smartphone.

Perderlo o sufrir su robo puede convertirse en un problema mucho mayor si el dispositivo, la SIM y las cuentas asociadas no están correctamente protegidos.

En nuestra siguiente guía veremos qué hacer si te roban o pierdes el celular y cómo proteger tus cuentas.

Conclusión

El doxxing convierte información personal en una herramienta de presión, intimidación o daño.

Y no necesita comenzar con un hackeo sofisticado.

Redes sociales, directorios, data brokers, registros y filtraciones pueden proporcionar piezas suficientes para construir un perfil detallado.

Si ocurre, no empieces por enfrentarte públicamente al responsable.

Documenta primero.

Después determina qué se publicó, evalúa el riesgo, reporta, intenta retirar la información y protege las cuentas y personas potencialmente afectadas.

Si existe riesgo físico, amenazas o posibilidad de violencia, la prioridad deja de ser únicamente la privacidad digital y pasa a ser la seguridad personal.

La prevención tampoco exige desaparecer de Internet.

Reducir información innecesaria, revisar perfiles, limitar ubicación, eliminar cuentas abandonadas y controlar data brokers puede disminuir considerablemente la cantidad de material disponible para quien intente utilizarlo contra ti.

Preguntas frecuentes sobre doxxing

¿Qué significa doxxing?

Es la recopilación y publicación o utilización maliciosa de información identificable o sensible sobre una persona u organización.

¿El doxxing requiere hackear una cuenta?

No. Puede realizarse utilizando información disponible públicamente, aunque también puede involucrar datos obtenidos mediante filtraciones o accesos no autorizados.

¿Qué debo hacer primero si publican mi dirección?

Documenta la publicación y evalúa si existe una amenaza asociada. Reporta el contenido y solicita su retirada. Si existe preocupación por tu seguridad física, contacta a las autoridades correspondientes.

¿Google puede eliminar contenido de doxxing?

Google permite solicitar la retirada de determinados resultados que cumplen sus políticas sobre información personal y doxxing. Retirar el resultado no elimina necesariamente la página original.

¿Debo borrar mis redes sociales?

No necesariamente. Dependiendo del riesgo, puede bastar con reforzar privacidad, retirar información sensible, revisar contactos o desactivar temporalmente determinadas cuentas.

¿Doxxing y swatting son lo mismo?

No. Swatting consiste en realizar falsas denuncias de emergencia para provocar una respuesta policial o de servicios de emergencia. Una exposición de dirección mediante doxxing puede facilitarlo, pero son conductas distintas.

¿El doxxing es ilegal?

Las leyes varían según la jurisdicción y las circunstancias. Amenazas, stalking, acoso, fraude u otras conductas asociadas pueden tener consecuencias legales independientes.

¿Cómo puedo reducir el riesgo?

Limita información personal pública, revisa privacidad y seguidores, evita publicar ubicación innecesariamente, elimina cuentas antiguas y revisa sitios de búsqueda de personas y data brokers.