Come difendersi dal doxing: i segnali e cosa puoi rimuovere

Risorsa aggiuntiva per la lezione “Comprensione e difesa dalle minacce online” — corso Anonimato Online

Il doxing raramente comincia da un segreto. Di solito parte da dettagli ordinari, già pubblici, che qualcuno raccoglie e mette insieme finché non indicano una persona. Per questo capire come difendersi dal doxing significa meno nascondersi e più notare quali dettagli collegano la tua vita online al posto in cui vivi e lavori, per allentare i collegamenti che non ti servono.

A. Perché conta

In questo corso la privacy è decidere che cosa gli altri sanno di te; l’anonimato è poter agire senza che ciò che fai venga ricondotto a chi sei. Il doxing è quel collegamento fatto apposta, e di solito contro di te: un nome utente, un commento o un profilo legati a un nome reale, a un indirizzo di casa o a un datore di lavoro, e poi pubblicati.

Ogni dettaglio che condividi può essere innocuo dove l’hai messo. Il rischio nasce dalla combinazione: una foto in un posto, l’elenco dei soci di un’associazione in un altro, un numero in un vecchio annuncio. La profilazione da dati pubblici non richiede competenze particolari, solo tempo.

Essere visibili online, per lavoro o per piacere, è una scelta legittima. Lo scopo non è sparire, ma sapere che cosa potrebbe ricostruire uno sconosciuto e decidere che cosa resta reperibile.

Cosa dicono le fonti

La descrizione più chiara del doxing è in inglese. La guida del governo britannico (UK Government Security) lo definisce come «cercare e pubblicare su internet informazioni private o identificative su una persona» (traduzione nostra), di solito senza consenso e con intenti malevoli. Osserva che bastano indizi minimi per cominciare, come un nome, un’email o i profili social, e che una semplice ricerca sul web può restituire molti dati.

Tra le abitudini che riducono l’esposizione, la stessa guida indica di usare le impostazioni privacy dei social, chiedere ai siti di ricerca di persone di togliere i tuoi dati, tenere un’email personale separata da quella per forum e siti, e non pubblicare il numero di telefono se non è strettamente necessario.

Sul piano dei diritti, il quadro italiano è quello del GDPR, il regolamento europeo sulla protezione dei dati. Il Garante per la protezione dei dati personali, l’autorità italiana in materia, presenta il diritto all’oblio come un «diritto alla cancellazione dei propri dati personali in forma rafforzata». Il Comitato europeo per la protezione dei dati (EDPB), nelle linee guida sui motori di ricerca, precisa però che togliere un risultato dalla ricerca non cancella i dati alla fonte.

B. Concetti chiave

Cinque idee: come funziona il doxing e che cosa puoi fare prima e dopo.

Che cos’è il doxing, e che cosa non è

Il doxing (si scrive anche doxxing) è raccogliere dettagli privati o identificativi su una persona e pubblicarli, di solito per esporla, intimidirla o punirla. Spesso quei dettagli, presi uno per uno, non sono segreti: un posto di lavoro, una via, gli orari della palestra. A fare il doxing sono la combinazione, la pubblicazione e l’intenzione.

Se e come il doxing sia trattato come reato dipende dalle circostanze; le regole variano da Paese a Paese, e questa risorsa non entra nel merito.

Perché ti riguarda: Vedere il doxing come un’unione di puntini, e non come un attacco informatico, ti mostra dove hai un certo controllo: sui puntini che si trovano e sui collegamenti tra l’uno e l’altro.

La profilazione da dati pubblici: come si uniscono i puntini

Un profilo si costruisce passando da un dettaglio all’altro. Lo stesso nome utente su due siti li unisce, e così una foto del profilo riutilizzata. Poi un luogo taggato, il datore di lavoro nella biografia, un vecchio annuncio con il tuo numero o una voce in un elenco online possono collegare la persona online a un luogo fisico.

Perché ti riguarda: I collegamenti più forti sono di solito quelli che attraversano i contesti: lo stesso nome, foto, email o numero usati sia dove parli liberamente sia dove ti conoscono per nome. Sono quelli da allentare per primi.

I segnali precoci

Spesso il doxing è preceduto da una fase di raccolta. Segnali da notare: un contatto inatteso che usa dettagli che non gli hai dato, come la tua via, il posto di lavoro o il nome di un familiare; domande di sconosciuti su dove vivi o lavori; qualcuno che scorre i tuoi vecchi post o le foto in cui sei taggato; i tuoi dati in una discussione o in un gruppo di cui non fai parte.

Perché ti riguarda: Un segnale debole da solo non è una prova che qualcuno ti stia prendendo di mira. Un segnale forte, o due insieme, sono un buon motivo per controllare che cosa si trova su di te e iniziare a tenerne traccia, con calma.

Chiedere la rimozione: che cosa cambia e che cosa no

Puoi chiedere a chi gestisce un sito, il titolare del trattamento, di cancellare i tuoi dati nei casi previsti dall’articolo 17 del GDPR. Il Garante spiega che per la richiesta non servono formalità particolari: basta, per esempio, un’email o una raccomandata. Il titolare deve risponderti entro un mese, con una possibile proroga di due mesi che deve comunicarti. Se non risponde, o la risposta non ti soddisfa, puoi presentare un reclamo al Garante, e il reclamo è gratuito.

Per i motori di ricerca, il Garante ricorda che, secondo la Corte di giustizia dell’Unione europea, se una ricerca con il tuo nome mostra una pagina che ti riguarda puoi rivolgerti direttamente al gestore del motore. La rimozione non è automatica: la Corte chiede un bilanciamento tra i tuoi diritti e l’interesse di chi cerca quell’informazione. Dove è disponibile, lo strumento di Google «Risultati che ti riguardano» (in inglese «Results about you») ti permette di chiedere la rimozione dei risultati che mostrano il tuo numero di telefono, l’indirizzo di casa o l’email.

Perché ti riguarda: Secondo l’EDPB, dopo la deindicizzazione il contenuto resta disponibile con altri criteri di ricerca e la pagina d’origine resta online. La rimozione alla fonte è una richiesta separata, e le copie fatte prima possono restare: ogni rimozione riduce l’esposizione, non la azzera.

Tenere traccia, e dove trovare aiuto

Se i tuoi dati vengono pubblicati, la guida britannica consiglia di documentare tutto: screenshot del materiale esposto con gli indirizzi web, data e ora ed eventuali commenti. Poi segnala il contenuto alla piattaforma o al sito che lo ospita e valuta di rivolgerti alle autorità, soprattutto se senti che la tua sicurezza è a rischio.

Non devi affrontarlo da solo. In Italia puoi rivolgerti alle forze di polizia per segnalare quanto succede. Se le molestie diventano stalking o violenza, il 1522, servizio pubblico promosso dal Dipartimento per le Pari Opportunità, è un numero gratuito e attivo 24 ore su 24. Se ti senti in pericolo, chiama il 112, il numero unico europeo per le emergenze; questa risorsa non dà consulenza legale o psicologica.

Perché ti riguarda: Una traccia scritta trasforma un momento che spaventa in prove su cui piattaforme, servizi di supporto e polizia possono agire. Chiedere aiuto presto è sensato, non esagerato.

C. Un esempio concreto: la settimana del convegno di Elena

Elena ha 35 anni e lavora nel marketing a Milano. Dopo il suo intervento a una tavola rotonda su pubblicità e dati, un forum pubblico ne discute con toni accesi, per lo più con un normale disaccordo. Poi un account che non conosce pubblica il nome del bar vicino a casa sua dove lavora spesso il sabato mattina, e chiede se «ci sarà anche questa settimana».

Elena non aveva mai nominato quel bar online. Si è sentita a disagio, una reazione comprensibile, e non ha risposto. Ha salvato uno screenshot del post con indirizzo e data, l’ha segnalato al forum e la sera ha cercato di capire come uno sconosciuto l’avesse trovato.

Che cosa è cambiato quando Elena ha ricostruito i dettagli

Ha fatto l’esercizio della sezione D, con calma e senza darsi colpe:

• Il nome utente del forum era lo stesso del suo account di foto, dove l’immagine del caffè del sabato mostrava la vetrina del bar.
• Il suo vecchio numero di cellulare compariva in un elenco online e in un PDF con l’elenco dei soci di un gruppo podistico che aveva lasciato anni prima.
• Il profilo professionale, che le serve per lavoro, collegava nome e cognome all’azienda e alla città.

Ha preso quattro decisioni. Ha reso privato l’account di foto e ne ha cambiato il nome utente. Ha chiesto al sito dell’elenco di cancellare la sua voce e ha scritto al gruppo podistico per far togliere il vecchio PDF. Ha chiesto a Google di rimuovere i risultati con il suo numero e ha tenuto pubblico il profilo professionale, perché la sua carriera ne ha bisogno, togliendo però la città.

Ha annotato post, segnalazione e richieste in un breve registro. Il forum ha rimosso il post. Non è successo altro, ma ora Elena sa quali collegamenti univano la sua voce online al suo sabato mattina.

D. Provaci tu: una ricerca su te stesso e una richiesta di rimozione (15 minuti)

Quattro passi brevi. Non sono un test sulla tua attenzione: servono a vedere che cosa potrebbe unire uno sconosciuto, e a togliere un pezzo.

Passo 1 — Cercati come farebbe uno sconosciuto (5 minuti)

• In una finestra privata, cerca il tuo nome e cognome insieme alla città, all’azienda o a un nome utente che usi. Prova due motori di ricerca, per esempio Google e Bing.
• Cerca anche il tuo numero di telefono e il tuo indirizzo email da soli.
• Annota ogni risultato che mostra indirizzo di casa, numero di telefono, email, datore di lavoro o una foto recente.

Passo 2 — Trova i collegamenti tra i contesti (3 minuti)

• Accanto a ogni risultato, annota che cosa collega: un nome utente a un nome, una foto a un luogo, un numero di telefono a un indirizzo.
• Cerchia i due collegamenti che passano da dove parli liberamente a dove ti conoscono per nome, o a dove vivi.
• Sono i tuoi collegamenti più forti, e i primi da allentare.

Passo 3 — Fai una richiesta di rimozione (5 minuti)

Scegli un risultato, uno solo, e una strada:

• Alla fonte: se un sito mostra i tuoi dati, usa il suo modulo di contatto o di rimozione, oppure scrivi a chi lo gestisce chiedendo la cancellazione. Puoi citare il diritto alla cancellazione previsto dal GDPR: il titolare ha un mese per risponderti, prorogabile in alcuni casi.
• Nei risultati di ricerca: dove è disponibile, «Risultati che ti riguardano» di Google ti permette di chiedere la rimozione dei risultati con il tuo numero, l’indirizzo di casa o l’email. Anche Bing ha un canale per segnalare un problema, ma Microsoft precisa che rimuove risultati solo in un numero ristretto di circostanze.
• Nei tuoi account: cancella un vecchio post, rendi privato un account o cambia un nome utente riutilizzato.

Passo 4 — Inizia un registro semplice (2 minuti)

• Crea una breve nota con la data, che cosa hai trovato, la richiesta che hai fatto e dove.
• Aggiungi una riga per ogni risposta e un promemoria per ripetere la ricerca tra un mese.
• Se noti un segnale precoce, screenshot e date vanno lì.

Una richiesta di rimozione che hai davvero inviato vale più di un elenco di cose che forse cancellerai un giorno.

Già trattato nel corso Privacy Online

Spear phishing: perché il messaggio truffa sa tanto di te
Mostra come i truffatori usano i dettagli reperibili su di te e le vecchie violazioni di dati per scrivere messaggi convincenti, con un controllo delle violazioni; questa risorsa guarda a come gli stessi dettagli vengono uniti per esporre o intimidire una persona, e a come toglierne alcuni.

E. Video, articoli e altre risorse

Prima le fonti istituzionali italiane ed europee, poi la guida britannica sul doxing, gli strumenti dell’esercizio e un servizio di supporto. La guida britannica e le pagine di Google e Microsoft sono in inglese.

Fonti istituzionali italiane ed europee

Garante per la protezione dei dati personali — Diritto all’oblio
Il diritto alla cancellazione «in forma rafforzata», l’obbligo di informare gli altri titolari di link e copie e le sentenze europee sui motori di ricerca.
https://www.garanteprivacy.it/i-miei-diritti/diritti/oblio

Garante per la protezione dei dati personali — Esercizio dei diritti: come agire per tutelare i tuoi dati personali
Come rivolgerti a chi gestisce i tuoi dati, i tempi di risposta e il reclamo gratuito al Garante.
https://garanteprivacy.it/home/diritti/come-agire-per-tutelare-i-tuoi-dati-personali

Comitato europeo per la protezione dei dati (EDPB) — Linee guida 5/2019 sui criteri per l’esercizio del diritto all’oblio nel caso dei motori di ricerca
Che cosa ottiene una richiesta di deindicizzazione e perché il contenuto resta online (versione 2.0 del 07/07/2020, PDF in italiano).
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201905_rtbfsearchengines_afterpublicconsultation_it.pdf

Guida sul doxing

UK Government Security — Doxing
Che cos’è il doxing, da quali indizi parte, le abitudini che riducono l’esposizione e che cosa fare se succede (in inglese).
https://www.security.gov.uk/services-resources/gsecs/security-education-and-awareness-centre-seac/campaigns/doxing

Strumenti e documentazione delle piattaforme

Google Search Help — Find and remove personal info in Google Search results
Come «Risultati che ti riguardano» («Results about you») trova telefono, indirizzo o email nei risultati e permette di chiederne la rimozione (pagina servita in inglese).
https://support.google.com/websearch/answer/12719076?hl=it

Microsoft Support — How to report a concern or contact Bing
Come segnalare un risultato a Bing, e perché la pagina resta comunque online (in inglese).
https://support.microsoft.com/en-gb/topic/how-to-report-a-concern-or-contact-bing-1831f0fe-3c4d-46ae-8e57-16c487715729

Servizi di supporto

Istat — Numero di pubblica utilità 1522
Il servizio pubblico gratuito, attivo 24 ore su 24, che accoglie le richieste di aiuto delle vittime di violenza e stalking.
https://www.istat.it/statistiche-per-temi/focus/violenza-sulle-donne/la-fuoriuscita-dalla-violenza/numero-di-pubblica-utilita-1522/

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa si colloca nel Framework Cyber Welfare sul pilastro Comportamento Sicuro, livello FL2 – Iniziato: trasformare ciò che sai dei tuoi dettagli reperibili in poche abitudini calme e ripetibili.

Competenze

• Cercarti come farebbe uno sconosciuto, su più di un motore di ricerca.
• Inviare una richiesta di cancellazione a un sito o di rimozione a un motore di ricerca.
• Tenere un registro datato di ciò che hai trovato e di ciò che hai chiesto.

Consapevolezza

• Capire il doxing come un’unione di puntini pubblici, non come un attacco tecnico.
• Riconoscere i segnali precoci, senza trattarne uno solo come una prova.
• Sapere che togliere un risultato dalla ricerca non lo toglie da internet.

Comportamento Sicuro

• Tenere il nome utente, la foto e l’email con cui parli liberamente separati da quelli legati al tuo nome.
• Ripetere ogni tanto la ricerca su te stesso e togliere un dettaglio che non ti serve più pubblico.
• Documentare e segnalare presto, e chiedere aiuto invece di affrontare tutto da solo.

G. Domande su cui fermarti

• Quale singolo dettaglio, se lo trovasse uno sconosciuto, collegherebbe più direttamente la tua voce online al posto in cui vivi o lavori?
• Quali tuoi dettagli pubblici tieni perché ti servono, e quali solo perché non sono mai stati tolti?
• Se toccasse a una persona che conosci, che cosa vorresti che sapesse per prima cosa: che non è colpa sua, o a chi chiedere aiuto?

H. Cosa fare adesso: come difendersi dal doxing ogni giorno

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Meno puntini da raccogliere

• MS12 — Cerca online il tuo numero di telefono e chiedi ai siti che lo mostrano di rimuoverlo: il numero è uno dei dettagli che collegano più direttamente un’identità online a una persona.
• MS6 — Rendi privati gli account social per cui non ti serve un pubblico, così foto e tag arrivano alle persone che hai scelto.

Impegno minimo: questa settimana, cerca il tuo numero di telefono e invia una richiesta di rimozione per un risultato che non ti aspettavi.

2. Meno collegamenti tra i puntini

• R23 — Scegli di seguire solo persone conosciute sui social: il tuo cerchio decide chi ti vede, così ciò che condividi con i contatti non arriva a chi raccoglie dettagli su di te.
• Usa un nome utente, una foto del profilo e un’email diversi dove vuoi parlare liberamente, così quegli account non si collegano al tuo nome.

Impegno minimo: scegli un account in cui parli liberamente e controlla che nome utente e foto non siano gli stessi di un account con il tuo nome reale.

In breve

• Come difendersi dal doxing? Si comincia vedendo i tuoi dettagli come puntini che uno sconosciuto potrebbe unire, non come segreti da nascondere.
• I collegamenti più forti attraversano i contesti: lo stesso nome utente, la stessa foto, email o numero in parti diverse della tua vita.
• Le richieste di cancellazione alla fonte e di deindicizzazione riducono l’esposizione; non eliminano ogni copia.
• Se succede, documenta, segnala e chiedi aiuto. Non è mai colpa della persona presa di mira.

Risorse correlate in questo corso

• Rimuovere i metadati dalle foto prima di condividerle: la guida
• Copia del documento d’identità: invia solo ciò che serve
• Dati che ti identificano online: cosa condividere e con chi

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.