個人情報漏洩

ドクシング（doxing）とは、個人または組織に関する個人を特定できる情報を、通常はインターネットを介して本人の同意を得ることなく公開する行為である。^{[1] [2] [3]歴史的に、この用語は、公開データベースや}ソーシャルメディアウェブサイト（ Facebookなど）からこの情報を集約することと、犯罪やその他の詐欺的な手段（ハッキングやソーシャルエンジニアリングなど）を通じて入手した以前は非公開だった情報を公開することの両方を指すために使用されてきた。^[要出典]

以前に公開された資料の集約と提供は一般的に合法ですが、ストーカー行為や脅迫に関する法律の対象となる場合があります。^{[4]ドクシングは、}オンラインでの非難、恐喝、法執行機関への自警団の援助などの理由で実行される場合があります。 ^{[5] [6]また、}ハクティビズムと関連している可能性もあります。

「ドクシング」は新語です。これは「文書」の略語「docs」の綴りを変えたもので、「誰かの個人情報の書類をまとめて公開すること」を指します。^[7]本質的に、ドクシングとは、以前は非公開であったり入手が困難だった個人の記録を明らかにして公表することです。

dox という用語は、スラングの「dropping dox」に由来しており、Wired の寄稿者 Mat Honan によると、これは「1990 年代のハッカー文化から生まれた昔ながらの復讐戦術」です。当時、法律の外で活動していたハッカーは、相手の匿名性を侵害して、相手を嫌がらせや法的措置にさらす手段として使用していました。^[7]

その結果、ドクシングはプライバシーの侵害による復讐の手段となる可能性があるため、否定的な意味合いを持つことが多い。^[8]

自警行為の一環として個人の個人情報を公開する習慣は、新聞やパンフレットなどの物理的な媒体を通じてインターネット以前から存在していた。例えば、13植民地での1765年の印紙法への反発で、自由の息子達のような過激派グループは、パンフレットや新聞記事に名前を掲載して徴税人やイギリス製品のボイコットに従わない人々を嫌がらせした。^{[9] [10]}

ハッカーコミュニティ以外では、1990年代後半にユーズネットのインターネットディスカッションフォーラムで初めて目立つ個人情報漏洩が発生し、ネオナチ容疑者のリストがユーザー間で流布された。^{[11]また、1990年代後半には、}ニュルンベルクファイルと呼ばれるウェブサイトが開設され、中絶医療提供者の住所や、ウェブサイト訪問者はリストに載っている人物をストーカー行為で追いかけて殺害すべきだと示唆する文言が掲載された。^[11]

2012年、当時ゴーカーの記者だったエイドリアン・チェンがレディットの荒らしであるヴィオレンタクレズの正体がマイケル・ブルッチュであることを暴露したとき、レディットのユーザーはチェンがブルッチュをドクシングしたと非難し、ゴーカーに「宣戦布告」した。2010年代半ば、ゲーマーゲート嫌がらせキャンペーンの出来事により、この用語はより広く一般に使われるようになった。ゲーマーゲートの参加者は、ターゲットに関する機密情報を公開することで知られるようになり、時には問題の対象に身体的危害を加える意図を持っていた。民主主義技術センターの研究員であるキャロライン・シンダーズは、「ゲーマーゲートは、多くの人々にとって、主流文化にとって、ドクシングとは何かを知るきっかけとなった」と述べた。^[11]

アトランティック誌によると、2014年から2020年まで、「個人情報漏洩に関する議論は、かなりのフォロワーを持つ匿名の人物の正体を暴くことが、彼らのプライバシーに対する不必要で危険な侵害であるかどうかをめぐる議論で占められていた」という。 ^{[12] 2014年に}ニューズウィーク誌がビットコインの匿名の開発者を捜索しようとしたとき、同誌は暗号通貨愛好家から個人情報漏洩だと非難された。2016年にイタリア人ジャーナリストが匿名のイタリア人小説家エレナ・フェランテの身元を捜索しようとしたとき、ジャーナリストは性差別的嫌がらせだと非難され、Vox誌はその捜索を「エレナ・フェランテの個人情報漏洩」と呼んだ。2020年にニューヨーク・タイムズ紙が、 Slate Star Codexブログを運営するカリフォルニアの精神科医の本名を公表する予定であることを示したとき、ブログのファンはタイムズ紙が個人情報漏洩だと非難した。ブログの作者はタイムズ紙が自分の安全を脅かしていると非難し、自分が「大スキャンダル」を引き起こし、その結果タイムズ紙は数百、数千の購読者を失うことになったと主張した。^[11]

2022年、BuzzFeed Newsの記者ケイティ・ノトポロスは、公開されているビジネス記録を使用して、以前は匿名だったボアード・エイプ・ヨット・クラブの創設者を特定した。クラブの創設者の一人であるグレッグ・ソラノは、「自分の意に反して個人情報が暴露された」と主張した。^[11]

2022年4月、ワシントンポスト紙の記者テイラー・ロレンツは、TikTokのTwitterアカウントLibsの背後にいる人物が不動産業を営むチャヤ・ライチクであると暴露した。これにより、ライチクと右翼はロレンツをドクシングで非難した。^[11]

イスラエル・オン・キャンパス連合やカナリー・ミッションなどの親イスラエルNGOは、チラシやウェブサイトを通じて公開文書を公開し、パレスチナ活動家の個人情報を漏洩したとして非難されている。^{[13] [14]}イスラエルとハマスの戦争により、米国では個人情報漏洩活動が急増した。右翼擁護団体のアキュラシー・イン・メディアは、イェール大学とコロンビア大学に個人情報漏洩トラックを送り、反イスラエルとみなされた学生の名前と顔を、キャンパス内の「反ユダヤ主義者のリーダー」というラベルの付いた横断幕の下に掲示した。^{[15] [16]}同様に、カナリー・ミッションは、10月7日に発表された「展開中のすべての暴力行為はイスラエル政権に全面的に責任がある」とする公開書簡の配布に関与したハーバード大学の学生の身元と写真を公表した。 ^{[17] [18]}

ドックスウェアは、アダム・ヤングが発明し、モティ・ヤングと共同で開発された、マルウェアを介してドクシング恐喝を実行する暗号ウイルス攻撃である。2003年にウェストポイントで初めて発表された。この攻撃はゲーム理論に根ざしており、当初は「非ゼロサムゲームと生き残るマルウェア」と呼ばれていた。^[19]

この攻撃は、 「Malicious Cryptography」という本の中で次のように要約されています。

この攻撃は恐喝攻撃と次の点で異なります。恐喝攻撃では、被害者は自身の貴重な情報へのアクセスを拒否され、それを取り戻すためにお金を払わなければなりませんが、ここで紹介する攻撃では、被害者は情報へのアクセスを保持しますが、その開示はコンピュータウイルスの裁量に委ねられます。^[20]

ドックスウェアはランサムウェアの逆です。ランサムウェア攻撃（もともとは暗号ウイルス恐喝と呼ばれていました）では、マルウェアが被害者のデータを暗号化し、必要な復号キーを提供するための支払いを要求します。ドックスウェア暗号ウイルス攻撃では、攻撃者またはマルウェアが被害者のデータを盗み、料金を支払わない場合はデータを公開すると脅します。^[21]

ドキシングによって個人情報が暴露されると、実際に対面で嫌がらせを受けたり、偽のメールマガジン登録や食料の配達、住所宛てに手紙を送りつけられたり、「スワッティング」と呼ばれる、偽の通報や偽の緊急サービスへの電話によって武装警察チーム（ SWAT ）を意図的に派遣するなどの方法で嫌がらせの標的にされる可能性がある。警察に偽の通報をする行為、およびそれに続く緊急対応チーム（ERT）の召集は、ERTが危険にさらされ、実際の緊急事態には利用できない可能性があるため、ほとんどの法域で違法で処罰対象となる。^[22]ほとんどの米国の州では、少なくとも（初犯の場合）違反行為であり、複数回試みた場合は、 （特に嫌がらせが目的の場合）軽罪に増罪される。さらなる影響としては、50ドルから2,000ドルまでの罰金、郡刑務所での6ヶ月の懲役、または罰金と懲役の両方が含まれます。^[23]

ハッカーは、情報を公開することなく個人の個人情報を入手することがあります。ハッカーは、既知または未知のターゲットから脅迫または強要するためにこの情報を探すことがあります。ハッカーは、被害者の情報を収集して、インターネットアカウントに侵入したり、ソーシャルメディアアカウントを乗っ取ったりすることもあります。^[7]

ドクシングは出会い系アプリでも発生している。2021年に実施された調査では、回答者の16%がアプリのせいでドクシング被害に遭ったと報告している。^[24]親密なパートナーによる暴力に関する2018年の定性研究では、参加者89人（専門家と被害者の両方）のうち28人が、デジタル技術を通じて被害者の個人情報が第三者に公開されることは、虐待者が頻繁に行う屈辱、恥辱、危害の一形態であり、これには親密な画像の開示や被害者のなりすましが含まれる可能性があると報告している。^[25]

被害者は、脅迫の一環として個人情報を晒された証拠として詳細を示されることもあります。加害者はこの恐怖を利用して被害者に対する権力を獲得し、恐喝や強要を行う可能性があります。したがって、個人情報の晒しはオンライン嫌がらせの標準的な戦術であり、ゲーマーゲートやワクチン論争に関わる人々によって使用されています。^[26]

個人情報の晒しにはさまざまな動機がある。有害な行為を暴露し、犯人に責任を取らせるためなどである。また、誰かを当惑させたり、怖がらせたり、脅したり、罰したりするために個人情報を晒す人もいる。また、サイバーストーカー行為に使われることも多く、その結果、誰かの安全を脅かす恐れがある。研究者らは、有害な行為を暴露する場合など、一部の個人情報の晒しは正当化される可能性があるが、それは晒し行為が公衆の利益にかなう場合に限られると指摘している。^[27]

ドクシングの増加と並行して、サイバーセキュリティ、インターネットプライバシー、オンラインプライバシーアライアンス、およびアンチドクシングサービスを提供する企業の進化がみられる。最近では、カリフォルニア大学バークレー校^[28]などの著名な団体が、コミュニティのメンバーをドクシングから保護するためのオンラインガイダンスを作成している。Wiredはドクシングへの対処に関する記事を掲載し、その中で電子フロンティア財団のエヴァ・ガルペリン氏は人々に「自分自身をグーグルで検索し、自分自身をロックダウンし、自分に関する情報にアクセスされにくくする」ようアドバイスしている^[29]。

2024年、オーストラリア政府は、ユダヤ系オーストラリア人のWhatsAppグループから600人以上の個人情報が漏洩した事件を受けて、個人情報のドクシングを犯罪とする新しい法律を導入すると発表した。個人情報が漏洩した人の中には、名誉を傷つけると脅されたり、殺害の脅迫を受けた人もいた。^{[30] [31]}ドクシングを懲役刑に処する法律を含むこの法案は、超党派の支持を得ており、アンソニー・アルバネーゼ首相 も支持している。^{[30] [32]}

2020年3月1日より、中華人民共和国の「オンライン情報コンテンツの生態学的ガバナンスに関する条例」が施行され、オンライン情報コンテンツサービスおよびプラットフォームのユーザーと制作者は、オンライン暴力、ドクシング、ディープフェイク、データ詐欺、アカウント操作などの違法行為に従事してはならないことが明確にされた。^[33]

2021年現在、香港では個人情報の公開は犯罪行為であり、ここでの公開とは「脅迫、威嚇、嫌がらせ、または精神的危害を与える」目的で個人の個人情報または非公開情報を公開することと定義されている。この法律で有罪判決を受けた者は、最長5年の懲役と100万香港ドル（12万8,324.40米ドル）の罰金が科せられる。^[34]

2021年、オランダの活動家、政治家、ジャーナリストなどを標的とした個人情報漏洩事件が増加したため、当時の法務・安全保障大臣 フェルディナンド・グラッパーハウスが個人情報漏洩を禁止する新法を提案した。同法では、脅迫、嫌がらせ、業務妨害の目的で個人情報を共有することは重罪であり、最大で懲役2年または2万5750ユーロ（2万8204米ドル）の罰金が科せられると規定されている。特定の公人を対象にした場合は、罰金が3分の1増額される。^[35]提案された法律は両院を通過し、2024年1月1日に発効した。^{[36] [37] [38]}

第137条「個人情報の侵害」では、マスメディア、インターネット、^[39]公開イベントなどを利用して個人情報を公開することは犯罪とみなされ、最長18か月の罰金、または最長360時間の強制労働、最長1年の矯正労働、または最長2年の強制労働、最長3年間の特定の職務に就く権利の剥奪、または最長4か月の逮捕、または最長2年間の懲役と最長3年間の特定の職務に就く権利の剥奪の刑が科せられる。

情報をコピーすることと、それを違法に入手することは、別の犯罪である。^[39]

韓国は、ドクシングを具体的に扱う刑法を有する数少ない国の一つである。「情報通信網利用促進及び情報保護に関する法律」第49条は、氏名、生年月日、住所、肖像、その他、意図の有無にかかわらず、総合的に見て特定の人物を識別するのに十分であるとみなされる情報などの個人情報の不法な収集および流布を禁止している。^[40]しかし、実際には、この法律における個人情報の「不法な収集」が曖昧なため、法的措置は、軽蔑的または俗悪な言葉で個人を侮辱すること、および個人の評判や名誉を傷つける可能性のある誤報または特権的な事実情報を流布することによる個人の名誉毀損（ドクシング事件でよく起こる）を禁止する同法第44条に基づいて行われることが多い。この特定の条項は、韓国刑法に存在する「伝統的な」名誉毀損法よりも厳しい最高刑を執行している。この法律はもともと、ネットいじめによる著名人の自殺の増加を受けて制定されたものである。

スペイン刑法は、第 197 条から第 201 条で、秘密の発見および暴露に対する罰則を規定しています。第 197 条 § 1 では、「秘密を発見したり、他人のプライバシーを侵害したりするために、本人の同意なく、書類、手紙、電子メール メッセージ、その他の文書や所持品を押収したり、通信を傍受したり、音声や画像、その他の通信信号の聴取、送信、記録、再生のために技術装置を使用したりした者は、1 年から 4 年の懲役と 12 か月から 24 か月の罰金に処せられる」と規定しています。第 197 条 § 2 では、同じ刑罰が「コンピューター、電子ファイル、テレマティック ファイル、メディア、またはその他の種類のファイル、公的または私的記録に登録されている他人の個人情報または家族情報を、第三者に不利益となるように押収、使用、または変更した者」にも適用されます。

前述のデータを第三者に「配布、開示、または譲渡」した者は、2年から5年の懲役刑（直接発見に関与していないが「その違法な出所を知りながら」の場合は、1年から3年の懲役と12か月から24か月の罰金）に処せられる。これらの犯罪は、それぞれのファイル、メディア、記録、またはアーカイブの責任者によって行われた場合、または個人データの無許可の使用によって行われた場合、被害者の思想、宗教、信念、健康、人種的起源、または性生活を暴露した場合、被害者が未成年または障害者である場合、および経済的利益のために行われた場合は特に重大である。^[41]

2015年の刑法改正で定められたように、^[42]「本人の同意を得て入手した本人の画像または視聴覚記録を、自宅または第三者の目に触れないその他の場所で、本人の許可なく「その者の個人的なプライバシーを著しく損なうような開示を行う場合」には、第197条第7項に基づき、3か月から1年の懲役および6か月から12か月の罰金が科せられる。被害者が婚姻関係または「類似の情緒的関係」によって加害者と結びついている場合、未成年の場合、または障害者の場合、この犯罪は特に重大である。 ^[41]

米国では、個人情報漏洩の被害者に対する法的救済はほとんどない。^[43]個人情報漏洩の問題に対処できる可能性のある連邦法が 2 つある。州際通信法と州際ストーカー法である。^[44]しかし、ある学者が主張しているように、「これらの法は、その条項が包括的でなく、めったに施行されないため、個人情報漏洩を防ぐのにまったく不十分である」。^[44]たとえば、州際通信法は、「人を誘拐したり傷つけたりすることを明確に脅迫することのみを犯罪としている」。^[45]しかし、多くの個人情報漏洩の事例では、漏洩者が誘拐したり傷つけたりすることを明確に脅迫することはなくても、被害者が恐怖を感じる十分な理由がある可能性がある。^[45]そして、州際ストーカー法は「めったに施行されず、オンラインの嫌がらせに対する空虚な保護としてのみ機能している」。^[46]

少なくとも1つの推計によれば、毎年300万人以上がインターネット上でストーカー行為の被害に遭っているが、州間ストーカー行為法に基づいて起訴されるのはわずか3人程度である。^[46]したがって、「連邦政府による執行の欠如は、ドクシングを減らすには州が介入しなければならないことを意味している」^[46]

2023年後半から2024年初頭にかけて、アメリカの政治家に対するスワッティングが相次いだ際、アメリカはデータプライバシーに関する法律が弱く、さまざまなデータブローカーによって国民の個人情報がオンラインで簡単にアクセスできる状態にあることから、攻撃を奨励する手段として広く使用されるようになりました。^[47]

• Wiktionaryのdoxの辞書定義