Cuando alguien expone deliberadamente tu dirección, número de teléfono o lugar de trabajo en foros hostiles para intimidarte o ponerte en riesgo, ya estás ante un incidente de doxxing. La respuesta importa tanto como la prevención: documentar, delegar y actuar con rapidez puede marcar la diferencia entre contener el daño y perder el control de la situación.
El doxxing —término derivado del inglés “dropping documents”— consiste en recopilar información personal disponible públicamente y redistribuirla con intención de acosar, intimidar o poner en peligro a una persona. No requiere hackeo ni filtración técnica: en la mayoría de los casos el agresor usa fuentes abiertas —redes sociales, registros públicos, foros— y amplifica la exposición en comunidades hostiles. Lo que convierte ese dato en arma no es su origen, sino el contexto en que se publica y el daño que provoca.
El registro del incidente: primer paso antes de hacer cualquier otra cosa
Ante un caso de doxxing, la primera acción es crear un registro estructurado del incidente. No hace falta una herramienta sofisticada: una hoja de cálculo o un documento de texto con campos mínimos es suficiente. Según la guía publicada por la Electronic Frontier Foundation (EFF), ese registro debe incluir el sitio o plataforma donde ocurrió la publicación, la fecha y hora exacta, una descripción breve de lo expuesto, el nombre o descripción del actor de amenaza, y cualquier otra persona involucrada. La razón es doble: ordena el caos emocional del momento y genera evidencia utilizable si se decide involucrar a las fuerzas de seguridad o iniciar acciones legales.
Este punto es crítico en América Latina, donde los marcos legales de protección de datos personales —la Ley 25.326 en Argentina, la LGPD en Brasil, la LFPDPPP en México, o la Ley 1581 en Colombia— reconocen el tratamiento no autorizado de datos personales como una infracción con consecuencias civiles y administrativas. Una denuncia ante la Agencia de Acceso a la Información Pública (AAIP) en Argentina, la Autoridade Nacional de Proteção de Dados (ANPD) en Brasil o el Instituto Nacional de Transparencia (INAI) en México requiere evidencia documentada: sin registro, el reclamo se debilita.
Roles de equipo: la respuesta al doxxing no es una tarea individual
La EFF subraya un principio que suele subestimarse: la privacidad es un deporte de equipo. Definir roles antes de que ocurra el incidente —y reactivarlos en cuanto ocurre— reduce el impacto. Hay tareas que conviene distribuir: monitorear los foros donde se publicó la información, mantener actualizado el registro del incidente, configurar alertas web con el nombre de la víctima, reforzar la seguridad de las cuentas de redes sociales, y eventualmente contactar a las fuerzas de seguridad para reducir el riesgo de SWATing —una práctica en la que el agresor llama a servicios de emergencia con una denuncia falsa para enviar fuerzas policiales al domicilio de la víctima.
Distribuir estas tareas entre personas de confianza tiene un efecto secundario importante: separa a la víctima directa de la exposición continua al contenido dañino. Leer reiteradamente los mensajes hostiles o rastrear foros de odio en busca de actualizaciones genera estrés severo. Designar a alguien más para ese monitoreo es, en los términos de la EFF, tan estratégico como técnico.
Cuándo aplica este protocolo y cuándo no
Este tipo de respuesta aplica cuando hay publicación activa de datos personales con intención de daño: nombre completo más dirección física, información laboral combinada con mensajes de amenaza, o fotografías con geolocalización expuesta en foros hostiles. No aplica —o aplica de forma parcial— cuando la exposición es accidental y sin actor identificable, cuando los datos son estrictamente públicos y no hubo recopilación con fines de acoso, o cuando el incidente ya cesó sin consecuencias activas. En esos casos, la prioridad es reducir la huella digital futura, no gestionar un incidente en curso.
También conviene distinguir el doxxing del data breach corporativo: en el primero, el objetivo es una persona específica y el canal de difusión suele ser social; en el segundo, el compromiso es masivo y el vector es técnico. La respuesta legal y operativa difiere en cada caso, aunque ambos pueden activar las obligaciones de notificación que establece, por ejemplo, el artículo 11 de la Ley 25.326 argentina o el artículo 48 de la LGPD brasileña.
Acciones de contención una vez que el incidente está documentado
Con el registro en mano y los roles asignados, las acciones de contención pueden ejecutarse en paralelo. El primer frente es la restricción de acceso: revisar la configuración de privacidad en todas las cuentas activas, revocar el acceso de aplicaciones de terceros innecesarias y habilitar autenticación de dos factores donde aún no esté activa. El segundo frente es la solicitud de eliminación: la mayoría de las plataformas tienen mecanismos de reporte para contenido que expone datos personales sin consentimiento; en jurisdicciones con derecho al olvido o derecho de supresión —como las cubiertas por la LGPD o la Ley 25.326— existe además la vía administrativa ante la autoridad de control. El tercer frente es la evaluación del riesgo físico: si la información expuesta incluye domicilio o rutinas, la seguridad personal debe considerarse parte del protocolo, no un exceso.
La guía completa de respuesta a incidentes de doxxing de la EFF, incluyendo herramientas de inteligencia de fuentes abiertas y plantillas de registro, está disponible en eff.org/deeplinks. Para el contexto legal regional, la AAIP (Argentina), la ANPD (Brasil) y el INAI (México) publican canales de denuncia y orientación sobre derechos de supresión en sus sitios oficiales.
