doxing
Los tablones de imágenes anónimos han sido durante mucho tiempo espacios en los que los usuarios podían charlar bajo seudónimos sin revelar sus nombres reales. Pero ahora, los usuarios de estos foros están debatiendo y probando herramientas de inteligencia artificial para el doxing, es decir, para localizar, cotejar y publicar los datos de los usuarios sin su consentimiento. A menudo, esto va acompañado del acoso hacia la víctima, el pirateo de sus cuentas, la intimidación y el chantaje, y termina dañando su reputación o incluso provocando consecuencias peores.
En esta publicación, explicamos cómo la inteligencia artificial ayuda a los atacantes maliciosos a filtrar datos de otras personas y cómo puedes defender tu derecho a la privacidad online.
¿Cómo descubren los atacantes información sobre los usuarios?
Los analistas de Open Measures han informado de que, desde octubre de 2025, los usuarios de Soyjak.party, un tablón de imágenes popular entre los jóvenes de extrema derecha, están debatiendo sobre el uso de la IA para desanonimizar a otros usuarios y utilizándola con ese fin. Sus víctimas suelen ser activistas, blogueros y miembros de otros foros “hostiles”.
Las herramientas que encontraron los expertos se ejecutan directamente en el navegador y automatizan casi todo el proceso de recopilación de información sobre una víctima. Pueden buscar en fuentes abiertas y bases de datos de filtraciones, y utilizan cualquier pista nueva (por ejemplo, una dirección de correo electrónico vinculada a un nombre de usuario) para profundizar aún más. También extraen metadatos de fotografías y vídeos, estiman la ubicación aproximada de una persona a partir de las direcciones IP que encuentran y lo reúnen todo en un enorme expediente digital. Estas herramientas de Soyjak.party ya no funcionan, pero otras similares se han ido difundiendo por otros tablones de imágenes.
En febrero de 2026, unos investigadores demostraron que, a veces, basta con unas conversaciones corrientes en un foro para revelar quién eres. Elaboraron resúmenes de las publicaciones de 338 usuarios de Hacker News, eliminaron los nombres, los nombres de usuario y los enlaces a redes sociales y, después, pidieron a la IA que averiguara quién estaba detrás de esas publicaciones. La IA comparó detalles sobre el trabajo, los intereses y la trayectoria personal con información disponible en línea e identificó correctamente a 226 personas, es decir, aproximadamente dos tercios de la muestra. El coste de la desanonimización resultó ser ridículamente bajo: entre 1 y 4 USD por usuario.
La realidad es que ya se sabía cómo elaborar expedientes digitales antes del auge de la IA generativa. Para empezar, existen herramientas OSINT que buscan datos en fuentes abiertas. Los periodistas e investigadores fueron los primeros en utilizarlas, pero, como puedes imaginar, los agentes maliciosos pronto aprendieron a manejarlas también. A diferencia de los modelos y agentes de inteligencia artificial, los servicios OSINT tradicionales siguen scripts predefinidos y no pueden “pensar” ni tomar decisiones sobre la marcha.
Un agente en busca de venganza: el caso OpenClaw
Si crees que el doxing siempre requiere una persona con malas intenciones, tenemos malas noticias: a veces quien ajusta cuentas puede ser… la propia inteligencia artificial.
Esta historia empezó de una forma de lo más inocente. Un agente de IA que se ejecutaba en la promocionadísima plataforma OpenClaw propuso una mejora para Matplotlib, una popular herramienta para crear gráficos y diagramas. Pero las normas del proyecto indicaban que no se aceptaba código enviado por agentes de IA. Uno de los voluntarios del proyecto, Scott Shambaugh, se limitó a rechazar la sugerencia de la IA.
Cabría pensar que todo acabaría ahí, pero no. El agente de IA decidió que el rechazo merecía algo de publicidad, así que publicó en su blog un artículo “revelador” sobre el desarrollador (sí, has leído bien: el agente tenía su propio blog). Recopiló información sobre Shambaugh de fuentes abiertas, estudió su actividad pública y lo acusó de tener prejuicios contra la IA. Incluso empezó a especular sobre las motivaciones psicológicas del desarrollador y sugirió que temía la competencia de la inteligencia artificial.
Cuando esta conversación “privada” entre Shambaugh y el agente de IA se hizo pública, otros usuarios salieron en defensa del desarrollador y el agente tuvo que publicar una “disculpa”.
Es una historia bastante absurda, pero deja una buena lección: lee siempre con atención la política de privacidad de cualquier servicio de IA y evita los modelos nuevos de origen desconocido.
Cómo evitar ser víctima del doxing: una guía
Si la IA agiliza las búsquedas y relaciona datos que antes estaban dispersos por decenas de sitios web, la siguiente pregunta lógica es “¿qué puedes hacer para reducir tu rastro digital?”.
Desaparecer por completo de Internet es casi imposible. Por tanto, proteger tus datos no consiste tanto en dejar el menor rastro posible como en reducir la cantidad de conexiones que pueden utilizarse para reconstruir tu identidad. Si eres un usuario avanzado, te recomendamos leer nuestra entrada Cómo desaparecer de Internet, además de los consejos que encontrarás a continuación.
Administra tu huella digital
- Búscate en Internet. No te limites a tu nombre: prueba también con tu dirección de correo electrónico, tus apodos y tu número de teléfono. Si no te importa que la IA procese tus datos, puedes incluso pedirle que elabore un expediente sobre ti. Solo recuerda que siempre existe el riesgo de que una filtración o un fallo hagan públicos tus datos por accidente. Y no, los grandes servicios de buena reputación no son una excepción.
- Configura como privados los perfiles que no quieras compartir con todo el mundo. Así dificultarás que los motores de búsqueda indexen las nuevas publicaciones que hagas y que los programas de extracción de datos y las herramientas de OSINT las recopilen. Ya que estás, revisa tus comentarios y publicaciones antiguos y elimina todo lo que no necesites.
- Elimina tus cuentas fantasma. Revisa tus bandejas de entrada y comprueba en qué sitios web te has registrado. Acostúmbrate a eliminar las cuentas que ya no usas: pueden conservar tus datos personales durante años y siempre existe el riesgo de que acaben en la próxima filtración de datos.
- Configura la autenticación de dos factores. Así, aunque un atacante consiga adivinar tu contraseña o la encuentre en una filtración, no podrá acceder a tu cuenta sin la autenticación adicional. Para el segundo factor, recomendamos usar códigos de un solo uso que se actualicen cada 30 segundos y guardarlos en un administrador de contraseñas de confianza.
- Elimina los metadatos antes de publicar fotografías y vídeos. Los metadatos pueden ayudar a una persona malintencionada a averiguar mucho sobre ti. Por ejemplo, el lugar y la fecha exacta en que se tomó una fotografía y el modelo de tu dispositivo.
- Usa una contraseña diferente para cada una de tus cuentas. Nuestras investigaciones han demostrado que las contraseñas creadas a partir de datos personales (como el apellido de soltera de tu madre o tu fecha de nacimiento) y con un carácter especial al final son extremadamente débiles. Este tipo de información suele acabar en filtraciones o se puede descifrar a partir de fuentes públicas, por lo que los algoritmos inteligentes pueden adivinar fácilmente las contraseñas mediante ataques forzados. Por supuesto, nadie puede recordar cientos de contraseñas únicas, por lo que tiene sentido delegar ese trabajo en nuestro administrador de contraseñas: una caja fuerte segura que genera y recuerda contraseñas complejas y únicas por ti, y las sincroniza en todos tus dispositivos.
- Entérate de las filtraciones nuevas lo antes posible. Algunos servicios en línea te enviarán una alerta gratuita si tu dirección de correo electrónico aparece en una filtración de datos conocida. Pero es mucho más cómodo supervisar las filtraciones con una aplicación de seguridad específica. Por ejemplo, Kaspersky Password Manager comprueba constantemente todas las entradas que has guardado. Te avisa si usas la misma contraseña en distintos sitios web o si alguna de las combinaciones de nombre de usuario y contraseña que has guardado se ha visto vulnerada. Nuestras sencillas instrucciones para Windows, macOS, Android e iOS te ayudarán a comprobar fácilmente todas las contraseñas que has guardado en Kaspersky Password Manager. Tus contraseñas nunca se envían a Kaspersky. Explicamos cómo podemos analizar tus contraseñas sin conocerlas en nuestra publicación Cómo crear contraseñas seguras y dónde almacenarlas.
- Utiliza una protección de confianza que rastree y bloquee las filtraciones de tus datos. Mientras que Kaspersky Password Manager solo comprueba las entradas de contraseñas activas que has añadido, Kaspersky Premium puede detectar cuentas vulneradas vinculadas a tus direcciones de correo electrónico (puedes añadir hasta 50 direcciones para comprobarlas), así como casos de robo de identidad digital vinculados a tus números de teléfono. Además de informar de las filtraciones que ya se han producido, nuestras soluciones de seguridad también pueden impedir que se recopilen datos sobre ti en línea.
- Configura la privacidad de tus dispositivos y aplicaciones con nuestro servicio en línea gratuito, Privacy Checker.
Mantén tus cuentas separadas
Cuantos más sitios web conozcan tu dirección de correo electrónico, más a menudo aparecerá en perfiles publicitarios y posibles filtraciones. Para registros puntuales y de poca importancia, puedes utilizar un servicio de enmascaramiento de correo electrónico. Todos los usuarios de Apple disponen de esta función de manera predeterminada (Ocultar mi correo electrónico). Si utilizas otro sistema operativo, puedes probar Firefox Relay, por ejemplo.
El servicio crea una dirección de correo electrónico intermediaria independiente para el sitio web en el que intentas registrarte. Los mensajes enviados a esa dirección se reenvían automáticamente a tu bandeja de entrada real, pero el sitio web nunca ve tu dirección de correo electrónico real.
Si quieres ir un paso más allá, puedes intentar dividir manualmente tu vida digital en varias identidades secundarias. Crea varias direcciones de correo electrónico para distintos fines. Por ejemplo, utiliza una para tiendas en línea, bancos y servicios gubernamentales, otra para redes sociales públicas y una tercera para foros y redes sociales en los que quieras mantener el anonimato.
Ten en cuenta que todo esto supone un reto: tendrás que seguir inventando nuevos alias y asegurarte de que tus identidades secundarias nunca se solapen. Si utilizas una dirección de correo electrónico para un perfil anónimo, no la vincules a servicios que ya tengan tus datos reales ni la uses como correo electrónico de recuperación de una cuenta pública. Una sola vinculación accidental puede echar por tierra todo tu esfuerzo.
Revisa lo que compartes con tus exparejas
Si has roto con tu pareja recientemente, asegúrate de comprobar a qué partes de vuestra vida digital compartida sigue teniendo acceso. Por desgracia, muy a menudo son las exparejas quienes divulgan datos personales sin consentimiento o acosan a sus antiguas parejas, espiándolas sin detenerse ante nada. Para obtener más información sobre qué hacer exactamente en esta situación, lee nuestro artículo Higiene digital después de una ruptura: qué hay que revisar y bloquear.
Ejerce tu derecho al olvido
Muchos países cuentan con una ley que reconoce el derecho al olvido. Esta ley te permite pedir a los motores de búsqueda que eliminen los enlaces a páginas que contienen tus datos personales.
Puedes enviar los enlaces a esas páginas, explicar por qué quieres que se oculten y solicitar que desaparezcan de los resultados de búsqueda. Ten en cuenta que la página que contiene tus datos no se elimina. Es posible que otros motores de búsqueda sigan mostrándola, y podrían seguir apareciendo al realizar otras consultas de búsqueda.
Para enviar una solicitud de este tipo, utiliza los formularios específicos de Google o Bing. Pero recuerda que un motor de búsqueda puede rechazar tu solicitud si considera que la información es de interés público o que la ley exige su publicación.
Hay formas más eficaces de eliminar tus datos de Internet, aunque requieren más tiempo. Hablamos de ellas en detalle en nuestra publicación Por qué los brokers de datos crean dosieres sobre ti y cómo evitar que lo hagan.
¿Buscas más formas de proteger tu identidad digital? Consulta nuestras otras publicaciones:
Consejos