ドクシング

Doxwareは、Adam Youngが考案し、Moti Yungと共にさらに発展させた暗号ウイルス攻撃であり、マルウェアを介して個人情報の暴露による恐喝を実行する。2003年にウェストポイントで初めて発表された。この攻撃はゲーム理論に基づいており、当初は「非ゼロサムゲームと生存可能なマルウェア」と呼ばれていた。^{[ 25 ]}

この攻撃は、 『悪意のある暗号技術』という書籍の中で、以下のように要約されています。

この攻撃は、恐喝攻撃とは以下の点で異なります。恐喝攻撃では、被害者は自身の貴重な情報へのアクセスを拒否され、それを取り戻すために金銭を支払わなければなりませんが、ここで紹介する攻撃では、被害者は情報へのアクセスを保持しますが、その開示はコンピュータウイルスの裁量に委ねられます。^{[ 26 ]}

ドックスウェアはランサムウェアの反対です。ランサムウェア攻撃（元々はクリプトウイルスによる恐喝と呼ばれていました）では、マルウェアが被害者のデータを暗号化し、必要な復号鍵を提供するための支払いを要求します。ドックスウェアのクリプトウイルス攻撃では、攻撃者またはマルウェアが被害者のデータを盗み、料金を支払わなければそれを公開すると脅迫します。^{[ 27 ]}

2024年、オーストラリア政府は、ユダヤ系オーストラリア人のWhatsAppグループから600人以上の個人情報が漏洩した事件を受けて、ドクシングを犯罪とする新たな法案を導入すると発表した。情報が漏洩した人の中には、名誉を傷つける脅迫や殺害予告を受けた人もいた。^{[ 36 ] [ 37 ]}ドクシングを懲役刑に処する法律を含むこの法案は、超党派の支持とアンソニー・アルバネーゼ首相の支持を得ている。^{[ 36 ]} 2024年プライバシーおよびその他の法律改正法は2024年12月10日に施行され、1995年連邦刑法にいくつかの新たな犯罪が導入され、ドクシングに対する刑事罰が導入された。^{[ 24 ]}

2006年にオーストリアはストーカー行為防止法を制定し、2016年にはサイバーモビングが犯罪となった。^{[ 38 ]} 2024年末時点ではドクシングは特定の犯罪ではないが、前述の法律はオンライン暴力の場合に適用される。^{[ 39 ]}オーストリアはEU加盟国であるため、EU法（GDPR）が適用される。^{[ 40 ]}

2020年3月1日から、中華人民共和国の「オンライン情報コンテンツの生態ガバナンスに関する規則」が施行され、オンライン情報コンテンツサービスおよびプラットフォームのユーザーとプロデューサーは、オンライン暴力、ドクシング、ディープフォージェリ、データ詐欺、アカウント操作、その他の違法行為を行ってはならないことが明確化されました。^{[ 41 ]}

ドイツでは、2021年9月に、個人情報漏洩（ドクシング）が刑法に「個人情報漏洩の危険行為」（刑法第126a条）として追加されました。それ以来、自由にアクセスできるデータの公開は2年以下の懲役または罰金刑、自由にアクセスできないデータの公開は3年以下の懲役または罰金刑に処せられます。データの拡散とその内容は、状況に応じて、関係者またはその近親者を、本人に対する犯罪、または性的自己決定権、身体の完全性、個人の自由、もしくは重要な価値を持つ対象物に対するその他の違法行為に晒すことを意図したものでなければなりません。刑法第86条（憲法違反組織およびテロ組織の宣伝資料の配布を犯罪とする）を参照すると、個人データの危険な配布は、それが社会的に適切であり、「市民教育、憲法違反の企てに対する防衛、芸術または科学、研究または教育、時事問題または歴史の報道または同様の目的に資する場合」には処罰されない（刑法第86条第4項）。 ^{[ 43 ]}

2021年、オランダの活動家、政治家、ジャーナリストなどを標的としたドクシング事件の増加を受け、当時のフェルディナント・グラッパーハウス法務・安全保障大臣 はドクシングに対する新たな法律を提案した。この法律は、脅迫、嫌がらせ、または業務妨害の意図をもって個人データを共有することは重罪であり、最高刑は懲役2年または25,750ユーロ（28,204米ドル）の罰金であると規定している。特定の公人を標的とした場合、罰金は3分の1増額される。^{[ 44 ]}この提案された法律は議会の両院を通過し、2024年1月1日に施行された。^{[ 45 ] [ 46 ] [ 47 ] [ 48 ]}

2025年初頭、War in Courtプロジェクトは、戦時中のナチス協力者と疑われる約50万人の名前のリストをデジタルで公開した。^{[ 49 ]}

第137条「個人のプライバシーの侵害」に基づき、マスメディア、インターネット、さらには公共イベントを利用して個人情報を公開することは犯罪とみなされ、18か月分の賃金以下の罰金、または360時間以下の強制労働、または1年以下の矯正労働、または2年以下の強制労働と3年以下の特定の職に就く権利または特定の活動に従事する権利の剥奪、またはそれなしで、または4か月以下の逮捕、または2年以下の懲役と3年以下の特定の職に就く権利または特定の活動に従事する権利の剥奪に処せられる。^{[ 50 ]}

情報を複製することと、それを違法に入手することは、それぞれ別の犯罪である。^{[ 50 ]}

韓国は、ドクシングを具体的に取り締まる刑法を持つ数少ない国の1つです。「情報通信網の利用促進及び情報保護に関する法律」第49条は、氏名、生年月日、住所、肖像、その他、意図の有無にかかわらず、総合的に見て特定の人物を特定するのに十分とみなされる情報などの個人情報の違法な収集及び拡散を禁止しています。^{[ 51 ]}

しかし実際には、法律における個人情報の「違法な収集」の曖昧さのため、法的措置はしばしば同法の第44条に基づいて行われる。同条は、侮辱的または冒涜的な言葉で個人を侮辱すること、および個人の評判や名誉を損なう可能性のある誤った情報または特権的な事実情報を流布することによって個人を誹謗中傷すること（これはドクシング事件でよく起こる）を禁止している。この条項は、韓国刑法に存在する「伝統的な」名誉毀損法よりも厳しい最高刑を課している。これはもともと、サイバーいじめによる有名人の自殺の増加への対応として部分的に制定されたものである。^{[ 51 ]}

スペイン刑法は、秘密の発見と暴露に対する罰則を第197条から第201条で規定している。第197条第1項では、「他人の同意なしに、秘密を発見したり、他人のプライバシーを侵害したりする目的で、他人の書類、手紙、電子メールメッセージ、その他の文書または私物を押収したり、他人の通信を傍受したり、音声や画像、その他の通信信号の傍受、送信、録音、再生のための技術機器を使用したりした者は、1年から4年の懲役刑と12ヶ月から24ヶ月の罰金刑に処せられる」と規定している。第197条第2項によれば、「コンピュータ、電子ファイル、テレマティックファイルまたはメディア、あるいはその他の種類のファイルまたは公的または私的記録に登録されている他人の個人情報または家族情報を、第三者に不利益を与える目的で押収、使用、または変更した者」も同様の刑罰の対象となる。^{[ 52 ]}

前述のデータを第三者に「拡散、開示、または移転」した者は、2年から5年の懲役刑に処せられる（発見に直接関与していなくても「違法な出所を知っていた」場合は、1年から3年の懲役刑と12ヶ月から24ヶ月の罰金）。これらの犯罪は、それぞれのファイル、メディア、記録、またはアーカイブの責任者によって行われた場合、または個人データの不正使用によって行われた場合、被害者の思想、宗教、信条、健康、人種的出自、または性的生活が明らかになった場合、被害者が未成年または障害者である場合、および経済的利益のために行われた場合は、特に重罪となる。^{[ 52 ]}

2015年の刑法改正により定められたように、^{[ 53 ]}「本人の同意を得て自宅または第三者の目につかないその他の場所で取得した画像または音声記録を、その開示が本人のプライバシーを著しく侵害する場合に、第三者に配布、開示、または転送する」行為は、被害者の許可なく、第197条第7項に基づき、3か月から1年の懲役刑および6か月から12か月の罰金刑に処せられる。被害者が加害者と婚姻関係または「類似の情状関係」にある場合、未成年者、または障害者である場合は、この犯罪は特に重罪となる。 ^{[ 52 ]}

米国では、ドクシングの被害者に対する法的救済手段はほとんどありません。^{[ 54 ]}ドクシングの問題に対処できる可能性のある連邦法は、州間通信法と州間ストーカー行為法の2つ存在します。^{[ 55 ]}しかし、ある学者が主張しているように、「これらの法律は、その条項が包括的ではなく、めったに執行されないため、ドクシングを防止するには著しく不十分です」。^{[ 55 ]}例えば、州間通信法は、「人を誘拐または傷害するという明確な脅迫のみを犯罪としています」。^{[ 56 ]}しかし、ドクシングの多くの事例では、ドクサーは誘拐または傷害という明確な脅迫を伝えないかもしれませんが、被害者は依然として恐怖を感じる十分な理由があるかもしれません。^{[ 56 ]}また、州間ストーカー行為法は「めったに執行されず、オンラインハラスメントに対する空虚な保護としてしか機能していません」。^{[ 57 ]}カリフォルニア州やコロラド州など、いくつかの州では、州法でドクシングを違法としている。^{[ 58 ]}

少なくともある推計によると、毎年300万人以上がインターネット上でストーキングされているが、州間ストーキング法に基づいて起訴されるのは攻撃者のうちわずか3人程度である。^{[ 57 ]}したがって、この連邦政府による執行の欠如は、ドクシングを減らすためには州が介入する必要があることを意味する。^{[ 57 ]}

2023年後半から2024年初頭にかけて、アメリカの政治家に対するスワッティングが多発した際、米国はデータプライバシーに関する法律が弱く、様々なデータブローカーによって市民の個人情報がオンラインで容易にアクセスできるため、攻撃を助長する手段として広く使われるようになった。^{[ 59 ]}