پیشگیری و واکنش به داکسینگ (Doxxing)

داکسینگ (افشای اسناد) عمل تحقیق و انتشار عمومی اطلاعات خصوصی یا هویتی (PII) در مورد یک فرد یا سازمان است. در زمینه امنیت دیجیتال ایران، داکسینگ به طور مکرر توسط عوامل وابسته به دولت، گروه‌های خودسر و مجرمان سایبری برای ارعاب فعالان، روزنامه‌نگاران و مخالفان به عنوان یک سلاح استفاده می‌شود. هدف از این کار معمولاً تحریک به آزار و اذیت، ساکت کردن مخالفان یا تسهیل دستگیری فیزیکی است.

این راهنما اقدامات پیشگیرانه برای به حداقل رساندن ردپای دیجیتال شما و استراتژی‌های واکنشی برای کاهش آسیب در صورت هدف قرار گرفتن را تشریح می‌کند.

---

بخش اول: پیشگیری و مقاوم‌سازی

موثرترین دفاع در برابر داکسینگ پیشگیری است — یعنی دشوار کردن کار برای مهاجمان تا نتوانند فعالیت‌های آنلاین شما را به هویت فیزیکی‌تان مرتبط کنند.

۱. خود-داکسینگ (بررسی ردپای خودتان)

برای دفاع از خود، باید مانند یک مهاجم فکر کنید. مرتباً اطلاعات خود را جستجو کنید تا ببینید چه چیزهایی به صورت عمومی در دسترس است.

• موتورهای جستجو: از گوگل، بینگ و داک‌داک‌گو استفاده کنید. موارد زیر را جستجو کنید:
  • نام و نام خانوادگی قانونی شما (به فارسی و انگلیسی).
  • نام‌های کاربری/شناسه‌های شما.
  • آدرس‌های ایمیل و شماره تلفن‌های شما.
  • آدرس منزل شما (اگر قبلاً به اشتراک گذاشته شده است).
  • نکته: برای یافتن نتایج دقیق، از علامت نقل قول (مثلاً "نام نام‌خانوادگی") استفاده کنید.
• جستجوی معکوس تصویر: از Google Images، TinEye یا Yandex استفاده کنید تا ببینید آیا عکس‌های پروفایل شما در جای دیگری ظاهر می‌شوند یا به حساب‌هایی با نام واقعی شما پیوند خورده‌اند یا خیر.
• بررسی پایگاه‌های داده لو رفته: کاربران ایرانی به طور مکرر در نقض‌های گسترده داده‌ها (مانند برنامه‌های تاکسی اینترنتی، بانک‌ها، خدمات سفارش غذا) در معرض خطر قرار می‌گیرند. با استفاده از ابزارهایی مانند Have I Been Pwned بررسی کنید که آیا ایمیل یا شماره تلفن شما به خطر افتاده است یا خیر. اگرچه نمی‌توانید داده‌ها را از یک پایگاه داده لو رفته حذف کنید، اما آگاهی از وجود آن‌ها به شما کمک می‌کند تا ریسک خود را ارزیابی کنید.

۲. قفل کردن شبکه‌های اجتماعی

شبکه‌های اجتماعی منبع اصلی داده برای داکسرها هستند.

• اینستاگرام (بسیار مهم در ایران):
  • حساب کاربری خود را روی حالت Private (خصوصی) تنظیم کنید.
  • تگ‌های موقعیت مکانی را از پست‌های قدیمی حذف کنید.
  • فالوورهای خود را پاکسازی کنید: حساب‌هایی را که نمی‌شناسید یا به آن‌ها اعتماد ندارید حذف کنید.
  • وضعیت فعالیت (Activity Status) را غیرفعال کنید تا زمانی که آنلاین هستید پنهان بماند.
  • از اشتراک‌گذاری عکس‌های مکان‌های شناخته‌شده و نزدیک به خانه یا محل کار خود خودداری کنید.
• ایکس (توییتر سابق):
  • اگر از یک حساب کاربری ناشناس برای فعالیت‌های مدنی استفاده می‌کنید، مطمئن شوید که به شماره تلفن واقعی یا آدرس ایمیلی که برای مخاطبانتان قابل دسترسی است متصل نباشد.
  • گزینه‌های "Let others find you by your email" و "Let others find you by your phone" را در مسیر Settings and privacy > Privacy and safety > Discoverability and contacts غیرفعال کنید.
  • به صورت دوره‌ای توییت‌های قدیمی را با استفاده از ابزارهایی مانند Redact یا TweetDelete پاک کنید.
• تلگرام:
  • شماره تلفن خود را پنهان کنید: این مورد حیاتی است. به مسیر Settings > Privacy and Security > Phone Number بروید. تنظیمات "Who can see my phone number" را روی هیچ‌کس (Nobody) و "Who can find me by my number" را روی مخاطبین من (My Contacts) قرار دهید.
  • ارجاع پیام‌های فوروارد شده (Forwarded Messages) را غیرفعال کنید تا از کلیک کردن افراد روی نام شما در پست‌های فوروارد شده برای یافتن پروفایلتان جلوگیری کنید.
  • اگر در کانال‌های عمومی هستید، از یک عکس پروفایل عمومی (نه چهره خودتان) استفاده کنید.
  • احراز هویت دو مرحله‌ای (2FA): تأیید دو مرحله‌ای (گذرواژه ابری) را فعال کنید تا از سرقت حساب از طریق رهگیری پیامک جلوگیری کنید.

۳. تفکیک هویت

هویت‌های آنلاین خود را جدا کنید تا از تداخل آن‌ها جلوگیری شود.

• نام مستعار: از یک نام مستعار برای فعالیت‌های خود استفاده کنید که کاملاً از نام قانونی شما متمایز باشد. این دو را با هم ترکیب نکنید.
• حساب‌های جداگانه: از آدرس‌های ایمیل و عکس‌های پروفایل متفاوت برای زندگی حرفه‌ای، زندگی شخصی و فعالیت‌های مدنی خود استفاده کنید.
• شماره‌های یکبار مصرف (Burner Numbers): در صورت امکان، از استفاده از سیم‌کارت اصلی ایرانی خود برای ثبت‌نام در شبکه‌های اجتماعی حساس خودداری کنید. اگر مجبور به استفاده از شماره تلفن هستید، در صورت امکانِ تهیه امن، شماره‌های مجازی (مانند Google Voice) را در نظر بگیرید، یا مطمئن شوید که تنظیمات حریم خصوصی شما شماره را کاملاً پنهان می‌کند.

۴. پاکسازی متادیتا (Metadata Scrubbing)

فایل‌ها حاوی داده‌های نامرئی به نام متادیتا (داده‌های EXIF) هستند که می‌توانند موقعیت مکانی، مدل دستگاه و زمان ایجاد فایل را فاش کنند.

• عکس‌ها و ویدیوها: قبل از ارسال رسانه‌ها به صورت ناشناس، متادیتا را حذف کنید.
  • ابزارها: از Scrambled Exif (برای اندروید)، Metapho (برای iOS) یا MAT2 (برای دسکتاپ) استفاده کنید.
  • توجه: اکثر پلتفرم‌های اجتماعی بزرگ (اینستاگرام، توییتر، تلگرام) هنگام آپلود، متادیتا را حذف می‌کنند، اما ارسال فایل‌ها به عنوان "سند (Document)" یا از طریق ایمیل، آن را حفظ می‌کند.
• اسکرین‌شات‌ها: هنگام ارسال اسکرین‌شات مراقب باشید. آنها اغلب حاوی آیکون‌های نوار وضعیت، زمان، یا سایر عناصر رابط کاربری هستند که می‌توانند دستگاه شما را شناسایی کرده یا موقعیت مکانی/منطقه زمانی شما را فاش کنند. آن‌ها را به شدت برش (Crop) دهید یا از ابزار پاکسازی استفاده کنید.

۵. امنیت حساب کاربری

داکسینگ اغلب با یک حساب هک شده شروع می‌شود.

• گذرواژه‌های قوی: از یک مدیر رمز عبور (مانند Bitwarden، KeePassXC) برای تولید گذرواژه‌های منحصر به فرد و پیچیده برای هر سایت استفاده کنید.
• احراز هویت دو مرحله‌ای (2FA): احراز هویت دو مرحله‌ای را روی تمامی حساب‌ها فعال کنید. برنامه‌های احراز هویت (Authenticator Apps) (مانند Raaz، Google Authenticator، Aegis) را به پیامک ترجیح دهید، زیرا رهگیری پیامک یک تهدید رایج در ایران است.

---

بخش دوم: استراتژی واکنش (در صورت داکس شدن)

اگر اطلاعات شخصی شما منتشر شد، اقدام فوری برای به حداقل رساندن آسیب بسیار مهم است.

۱. تریاژ فوری (۲۴ ساعت اول)

• وحشت نکنید: هدف مهاجم ایجاد ترس است. یک نفس عمیق بکشید.
• همه چیز را قفل کنید: فوراً حساب‌های شبکه‌های اجتماعی خود را خصوصی کنید. اگر آزار و اذیت طاقت‌فرساست، حساب‌ها را به طور موقت غیرفعال (Deactivate) کنید.
• گذرواژه‌ها را تغییر دهید: اگر داکسینگ شامل انتشار اطلاعات ورود به حساب‌ها می‌شود، فوراً گذرواژه‌ها را تغییر داده و 2FA را فعال کنید.
• به مخاطبین قابل اعتماد هشدار دهید: به خانواده، دوستان نزدیک یا همکاران اطلاع دهید که هدف قرار گرفته‌اید تا آنها به طور تصادفی اطلاعات بیشتری را به اشتراک نگذارند یا روی لینک‌های مخرب ارسال شده توسط افراد شیاد کلیک نکنند.

۲. مستندسازی

شما برای گزارش دادن و حمایت قانونی احتمالی به شواهد نیاز دارید.

• اسکرین‌شات‌ها: از همه چیز عکس بگیرید. آدرس اینترنتی (URL)، تاریخ/زمان، و پروفایل مهاجم را در آن بگنجانید.
• ذخیره URLها: لینک‌های مستقیم به پست‌ها یا پروفایل‌ها را کپی کنید. از خدمات بایگانی (مانند Archive.today) استفاده کنید، به شرطی که بتوانید این کار را با خیال راحت و بدون پیوند دادن آن به IP خود انجام دهید (از Tor/VPN استفاده کنید)، اما توجه داشته باشید که این کار آزار و اذیت را برای همیشه ثبت و عمومی می‌کند. احتیاط توصیه می‌شود.

۳. گزارش‌دهی و حذف محتوا (Takedowns)

• پلتفرم‌های شبکه‌های اجتماعی: پست‌های خاص را به دلیل نقض "شرایط خدمات (Terms of Service)" در مورد "اطلاعات خصوصی" یا "آزار و اذیت" گزارش کنید.
  • توییتر/ایکس: گزارش برای "Posting private information (ارسال اطلاعات خصوصی)".
  • اینستاگرام: گزارش برای "Bullying or Harassment (قلدری یا آزار و اذیت)".
  • تلگرام: کانال‌ها یا کاربرانی که در آزار و اذیت هماهنگ شرکت می‌کنند را گزارش دهید.
• جستجوی گوگل: اگر داده‌های شخصی حساس (مانند شماره ملی، مشخصات بانکی یا امضاهای دست‌نویس) در نتایج جستجو ظاهر شد، می‌توانید درخواست حذف را به گوگل ارسال کنید.

۴. ارزیابی امنیت فیزیکی (بستر ایران)

در ایران، داکسینگ می‌تواند منجر به جلب توجه نهادهای دولتی شود.

• منبع را ارزیابی کنید: آیا این یک اختلاف شخصی است یا انگیزه‌های سیاسی دارد (مانند ارتش‌های سایبری "ارزشی")؟
• تهدیدات دولتی: اگر داکسینگ موقعیت مکانی شما را فاش می‌کند و شما یک فعال مدنی هستید، به فکر جابجایی موقت باشید. در آدرس منتشر شده نمانید.
• مجریان قانون: در تماس با پلیس ایران (فتا) در صورتی که آزار و اذیت سیاسی است، بسیار محتاط باشید، زیرا این امر ممکن است شما را در معرض بازجویی بیشتر قرار دهد. اگر آزار و اذیت غیرسیاسی باشد (مثلاً یک مزاحم اینترنتی یا Stalker)، ممکن است پلیس فتا بتواند کمک کند، اما با احتیاط پیش بروید و ابتدا با یک وکیل مورد اعتماد مشورت کنید.

۵. حمایت روانی

آزار و اذیت آنلاین آسیب‌زاست.

• درگیر نشوید: به آزارگران پاسخ ندهید. این کار فقط آتش را شعله‌ورتر کرده و دیده‌شدن آن‌ها را افزایش می‌دهد.
• به دنبال حمایت باشید: با شبکه‌های مورد اعتماد یا متخصصان سلامت روان که ترومای دیجیتال را درک می‌کنند، ارتباط برقرار کنید.

---

بخش سوم: ملاحظات پیشرفته

محافظت از WHOIS

اگر یک وب‌سایت یا وبلاگ (مثلاً وردپرس) را مدیریت می‌کنید، مطمئن شوید که محافظت از حریم خصوصی WHOIS فعال باشد. بدون آن، نام کامل، آدرس و شماره تلفن شما برای هر کسی که دامنه شما را جستجو کند قابل مشاهده است.

دلالان داده و سایت‌های "جستجوی افراد"

در حالی که موتورهای جستجوی تجاری گسترده برای یافتن "افراد" (مانند Whitepages) عمدتاً یک پدیده در ایالات متحده هستند، داده‌های ایرانیان اغلب در کانال‌های تلگرامی و انجمن‌های دارک وب ("بازارهای نشت اطلاعات") دست به دست می‌شوند.

• شما نمی‌توانید از یک کانال مجرمانه نشت اطلاعات "انصراف (Opt-out)" دهید. دفاع شما تغییر اطلاعات هویتی به خطر افتاده است (مثلاً تغییر گذرواژه‌ها، یا تهیه یک سیم‌کارت جدید در صورت شدید بودن آزار و اذیت).
• برای افراد خارج از کشور (دیاسپورا): از خدماتی مانند EasyOptOuts یا Optery استفاده کنید تا داده‌های خود را از دلالان داده غربی که ممکن است توسط عوامل سرکوب فراملی برای یافتن شما استفاده شوند، پاکسازی کنید.

بهداشت بیومتریک

از ارسال عکس‌های با وضوح بالا که در آن اثر انگشت شما قابل مشاهده است (مانند نشان دادن علامت پیروزی نزدیک به دوربین) یا عکس‌هایی از عنبیه/شبکیه چشم خود خودداری کنید. استخراج داده‌های بیومتریک، اگرچه پیشرفته است، اما یک تهدید نوظهور محسوب می‌شود.

ابزارهای پیشنهادی

---

سلب مسئولیت: این راهنما اطلاعات آموزشی در زمینه امنیت دیجیتال ارائه می‌دهد. در موقعیت‌های پرخطر که عوامل دولتی درگیر هستند، هیچ ابزاری نمی‌تواند امنیت ۱۰۰ درصدی را تضمین کند. همیشه مدل تهدید خاص خود را ارزیابی کنید.