Di era internet, informasi pribadi seseorang bisa tersebar hanya dalam hitungan menit. Nama lengkap, nomor telepon, alamat rumah, tempat kerja, akun media sosial, foto keluarga, hingga informasi lain yang awalnya tersebar di berbagai tempat dapat dikumpulkan dan kemudian dipublikasikan.

Praktik tersebut dikenal sebagai doxing.

Doxing merupakan salah satu bentuk ancaman terhadap privasi digital yang penting dipahami, terutama karena informasi yang terlihat sepele jika digabungkan dapat menjadi informasi yang sangat sensitif.

Artikel ini membahas apa itu doxing, jenis-jenisnya, bagaimana praktik tersebut terjadi, dampaknya, hubungannya dengan cybersecurity, hingga langkah yang dapat dilakukan untuk mencegah dan menangani doxing.

Apa Itu Doxing?

Doxing adalah tindakan mencari, mengumpulkan, menghubungkan, kemudian menyebarluaskan informasi pribadi seseorang atau organisasi ke publik tanpa persetujuan, biasanya dengan tujuan merugikan, mengintimidasi, mempermalukan, mengancam, atau menghilangkan anonimitas target.

Kementerian Komunikasi dan Digital juga menjelaskan doxing sebagai pengungkapan identitas atau data diri seseorang secara daring tanpa persetujuan, termasuk informasi seperti nama lengkap, nomor telepon, alamat rumah, alamat email, informasi keluarga, dan informasi lain yang dapat digunakan untuk mengidentifikasi seseorang. BPT Komdigi

Sederhananya:

Doxing bukan sekadar menemukan informasi seseorang, tetapi menjadikan informasi tersebut tersedia untuk publik dengan cara dan konteks yang dapat merugikan target.

Contoh Sederhana Doxing

Bayangkan seseorang menggunakan username anonim di sebuah forum.

Kemudian seseorang:

  1. Menghubungkan username tersebut dengan akun media sosial.
  2. Menemukan nama asli.
  3. Mengumpulkan informasi pekerjaan atau sekolah.
  4. Menemukan informasi keluarga dari sumber lain.
  5. Menggabungkan berbagai informasi tersebut.
  6. Mempublikasikannya dalam sebuah thread.
  7. Mengajak orang lain untuk menghubungi atau mendatangi target.

Informasi yang sebelumnya tersebar secara terpisah akhirnya menjadi sebuah profil identitas lengkap.

Inilah salah satu karakteristik utama doxing.

Apakah Doxing Sama dengan Hacking?

Tidak.

Doxing dan hacking adalah dua hal berbeda, meskipun keduanya dapat berhubungan.

Hacking

Secara umum berkaitan dengan akses atau manipulasi terhadap sistem, akun, jaringan, aplikasi, atau perangkat.

Doxing

Lebih berfokus pada identifikasi dan penyebaran informasi pribadi seseorang.

Informasi untuk doxing bahkan tidak selalu diperoleh melalui hacking.

Pelaku bisa saja menggabungkan informasi yang:

  • Dipublikasikan sendiri oleh korban
  • Berasal dari media sosial
  • Berasal dari forum
  • Berasal dari kebocoran data
  • Berasal dari dokumen publik
  • Berasal dari akun lama
  • Berasal dari informasi yang sebelumnya tersebar di internet

Karena itu, doxing dapat menjadi masalah keamanan meskipun tidak ada sistem yang berhasil diretas.

Doxing dan OSINT

Ada hubungan yang cukup erat antara doxing dan OSINT (Open Source Intelligence).

OSINT adalah proses mengumpulkan dan menganalisis informasi dari sumber yang tersedia secara terbuka.

OSINT sendiri bukan tindakan ilegal atau jahat.

OSINT dapat digunakan untuk:

  • Investigasi keamanan
  • Threat intelligence
  • Investigasi perusahaan
  • Penelitian
  • Jurnalistik
  • Digital forensics
  • Security assessment
  • Investigasi penipuan

Masalah muncul ketika informasi tersebut digunakan untuk mengidentifikasi atau mengekspos seseorang secara berbahaya.

Contohnya:

OSINT yang bertanggung jawab:

Menganalisis domain perusahaan untuk mengetahui teknologi dan risiko keamanan yang terekspos.

Doxing:

Mengumpulkan dan menyebarkan alamat rumah seorang individu untuk mengintimidasi atau mendorong orang lain mendatanginya.

Jadi, teknik pengumpulan informasinya bisa terlihat mirip, tetapi tujuan, konteks, otorisasi, dan dampaknya berbeda.

Jenis-Jenis Doxing

Doxing dapat muncul dalam beberapa bentuk.

1. De-Anonymization

De-anonymization adalah proses menghubungkan identitas anonim dengan identitas sebenarnya.

Contohnya:

Username anonim
      ↓
Akun lain
      ↓
Pola identitas
      ↓
Nama asli

Ini berbahaya ketika seseorang sengaja menggunakan identitas anonim untuk melindungi keselamatan atau privasinya.

2. Targeting

Targeting terjadi ketika informasi seseorang digunakan untuk membuat target lebih mudah ditemukan atau dihubungi.

Informasi yang dapat disalahgunakan misalnya:

  • Nomor telepon
  • Alamat
  • Tempat kerja
  • Informasi keluarga
  • Lokasi tertentu
  • Akun media sosial

Risikonya dapat meningkat ketika informasi tersebut digunakan untuk intimidasi atau ancaman.

3. Delegitimization

Dalam bentuk ini, informasi pribadi digunakan untuk menyerang reputasi seseorang.

Misalnya seseorang mengumpulkan informasi lama dari internet kemudian menyebarkannya dengan narasi tertentu untuk mempermalukan target.

Masalahnya semakin serius jika informasi tersebut:

  • Dipotong dari konteks
  • Dimanipulasi
  • Tidak diverifikasi
  • Dicampur dengan informasi palsu

Data Apa Saja yang Bisa Menjadi Target?

Doxing tidak terbatas pada satu jenis data.

Beberapa contohnya:

Identitas

  • Nama lengkap
  • Username
  • Foto
  • Identitas pekerjaan
  • Institusi pendidikan

Kontak

  • Nomor telepon
  • Email pribadi
  • Akun messaging

Lokasi

  • Alamat rumah
  • Lokasi kerja
  • Lokasi keluarga
  • Informasi lokasi yang terlalu spesifik

Informasi keluarga

  • Nama pasangan
  • Nama anak
  • Informasi orang tua
  • Hubungan keluarga

Informasi digital

  • Username
  • Akun media sosial
  • Domain
  • Profil forum
  • Riwayat posting

Informasi sensitif

  • Data kesehatan
  • Data biometrik
  • Data keuangan
  • Data anak
  • Informasi sensitif lainnya

Dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, data pribadi dibagi menjadi data pribadi yang bersifat spesifik dan umum. Data spesifik mencakup antara lain data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Database Peraturan | JDIH BPK

Bagaimana Doxing Bisa Terjadi?

Doxing tidak selalu membutuhkan teknik hacking canggih.

Salah satu faktor terbesar adalah information aggregation.

Misalnya seseorang secara terpisah memiliki:

Akun Instagram
        +
Akun forum
        +
Profil LinkedIn
        +
Website pribadi
        +
Posting lama

Masing-masing informasi mungkin terlihat tidak berbahaya.

Tetapi ketika semuanya dihubungkan:

Username
   ↓
Nama
   ↓
Pekerjaan
   ↓
Institusi
   ↓
Kota
   ↓
Relasi sosial

terbentuklah sebuah profil yang jauh lebih lengkap.

Inilah alasan mengapa information exposure menjadi salah satu aspek penting dalam keamanan digital.

Mengapa Doxing Berbahaya?

Dampaknya bisa jauh lebih serius daripada sekadar kehilangan privasi.

1. Pelecehan Online

Informasi kontak dapat menyebabkan korban menerima:

  • Pesan spam
  • Ancaman
  • Pelecehan
  • Panggilan berulang

2. Stalking

Informasi lokasi atau tempat kerja dapat disalahgunakan untuk melacak aktivitas seseorang.

3. Social Engineering

Informasi pribadi dapat membantu attacker membuat serangan phishing atau social engineering yang lebih meyakinkan.

Contohnya, attacker mengetahui:

  • Nama
  • Tempat kerja
  • Rekan kerja
  • Organisasi
  • Kebiasaan online

Informasi tersebut dapat digunakan untuk membuat pesan yang terlihat jauh lebih kredibel.

4. Identity Theft

Informasi pribadi yang cukup dapat menjadi bagian dari upaya pencurian identitas.

5. Kerugian Finansial

Data pribadi dapat membantu serangan yang mengarah ke:

  • Penipuan
  • Account takeover
  • Phishing
  • Fraud
  • Social engineering

6. Ancaman Fisik

Ini adalah salah satu risiko paling serius.

Jika alamat rumah atau lokasi seseorang tersebar bersama ajakan untuk melakukan tindakan terhadap korban, ancamannya tidak lagi sekadar digital.

Doxing Sering Berkaitan dengan Data Breach

Data breach dapat menjadi sumber informasi yang kemudian disalahgunakan.

Misalnya sebuah layanan mengalami kebocoran database.

Database tersebut mungkin berisi:

Nama
Email
Nomor telepon
Username
Informasi akun

Jika data tersebut kemudian dikombinasikan dengan informasi publik lainnya, attacker dapat membangun profil yang jauh lebih lengkap.

Namun perlu dibedakan:

Data breach ≠ otomatis doxing.

Data breach adalah kejadian ketika data terekspos atau diakses secara tidak semestinya.

Doxing adalah tindakan mengekspos atau menyebarkan informasi tentang seseorang, biasanya dengan konteks yang merugikan.

Keduanya dapat terjadi bersamaan, tetapi merupakan konsep yang berbeda.

Apakah Informasi yang Sudah Publik Boleh Disebarkan?

Ini bagian yang sering disalahpahami.

"Datanya sudah ada di internet, berarti bebas disebarkan."

Tidak selalu.

Sebuah informasi yang dapat ditemukan secara publik tetap dapat menimbulkan risiko ketika:

  • Dikumpulkan dalam jumlah besar
  • Digabungkan dengan data lain
  • Dikeluarkan dari konteks
  • Disebarkan ke audiens yang jauh lebih besar
  • Digunakan untuk mengintimidasi
  • Digunakan untuk merugikan seseorang

Karena itu, publik bukan berarti tidak memiliki konteks privasi.

Dalam cybersecurity, kita harus membedakan antara:

Publicly accessible

dan

Appropriate to collect, combine, and redistribute.

Doxing Menurut Perspektif Hukum di Indonesia

Indonesia telah memiliki UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) yang berstatus berlaku. Undang-undang tersebut mengatur jenis data pribadi, hak subjek data, pemrosesan data, kewajiban pihak yang memproses data, larangan penggunaan data pribadi, serta ketentuan pidana. Database Peraturan | JDIH BPK

Salah satu ketentuan penting terdapat dalam Pasal 65, yang melarang setiap orang secara melawan hukum:

  • Memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud tertentu yang dapat mengakibatkan kerugian subjek data
  • Mengungkapkan data pribadi yang bukan miliknya
  • Menggunakan data pribadi yang bukan miliknya

UU PDP juga mengatur ketentuan pidana terkait perbuatan tersebut. JDIH Kemkomdigi

Artinya, persoalan doxing tidak seharusnya dianggap hanya sebagai "drama internet". Dalam kondisi tertentu, tindakan memperoleh, mengungkapkan, atau menggunakan data pribadi dapat memiliki konsekuensi hukum.

Catatan: penerapan pasal dan ancaman pidana bergantung pada fakta, unsur tindak pidana, cara memperoleh data, tujuan, serta konteks kasus. Jadi jangan menyimpulkan bahwa setiap publikasi informasi otomatis merupakan tindak pidana doxing.

Bagaimana Cara Mencegah Doxing?

Tidak ada metode yang bisa menjamin seseorang 100% tidak akan mengalami doxing.

Namun, exposure dapat dikurangi secara signifikan.

1. Jangan Menggunakan Identitas yang Sama di Semua Platform

Jika username yang sama digunakan di:

  • Forum
  • Gaming
  • Instagram
  • Reddit
  • GitHub
  • Marketplace

maka hubungan antar-akun menjadi lebih mudah dilakukan.

Untuk aktivitas yang membutuhkan pemisahan identitas, gunakan identitas digital yang berbeda secara wajar dan sesuai aturan platform.

2. Kurangi Informasi Pribadi di Profil Publik

Tidak semua informasi harus ditampilkan.

Pertimbangkan kembali publikasi:

  • Nomor telepon
  • Alamat lengkap
  • Email pribadi
  • Tanggal lahir lengkap
  • Informasi keluarga
  • Lokasi real-time

3. Periksa Foto Sebelum Upload

Foto terkadang mengandung informasi tambahan.

Misalnya:

  • Alamat
  • Nomor rumah
  • Dokumen
  • Kartu identitas
  • Plat kendaraan
  • Lokasi
  • Layar komputer
  • Informasi pekerjaan

Biasakan melakukan privacy check sebelum mengunggah foto.

4. Hati-Hati dengan Metadata

File tertentu dapat membawa metadata.

Foto atau dokumen bisa mengandung informasi seperti:

  • Device
  • Software
  • Waktu pembuatan
  • Informasi lokasi pada kondisi tertentu

Untuk file yang akan dipublikasikan, pertimbangkan apakah metadata tersebut memang diperlukan.

5. Gunakan Password Unik

Jika satu password digunakan di banyak layanan dan salah satu layanan mengalami kebocoran, akun lainnya ikut berisiko.

Gunakan:

  • Password unik
  • Password manager
  • MFA/2FA

6. Aktifkan Multi-Factor Authentication

MFA memberikan lapisan keamanan tambahan ketika password diketahui attacker.

Prioritaskan akun penting seperti:

  • Email utama
  • Cloud storage
  • Social media
  • GitHub
  • Banking
  • Domain
  • Administrator website

Apa yang Harus Dilakukan Jika Menjadi Korban Doxing?

Jangan langsung panik.

Prioritaskan keselamatan dan dokumentasi.

Langkah 1: Simpan Bukti

Dokumentasikan:

  • Screenshot
  • URL
  • Username pelaku
  • Waktu kejadian
  • Postingan
  • Pesan
  • Ancaman

Jangan hanya mengandalkan screenshot. Jika memungkinkan, simpan juga informasi konteks yang diperlukan untuk laporan.

Langkah 2: Laporkan Konten

Gunakan mekanisme reporting platform untuk meminta penghapusan konten yang melanggar aturan.

Langkah 3: Amankan Akun

Segera:

  • Ganti password
  • Aktifkan MFA
  • Periksa session aktif
  • Periksa perangkat yang login
  • Cabut akses aplikasi yang mencurigakan

Langkah 4: Periksa Risiko Akun Lain

Jika email atau username utama ikut terekspos, periksa akun lain yang menggunakan identitas atau kredensial terkait.

Langkah 5: Jangan Membalas dengan Doxing

Ini penting.

Jika seseorang melakukan doxing terhadap kamu, membalas dengan menyebarkan data pribadi mereka bukan solusi yang aman.

Hal tersebut justru dapat memperbesar masalah dan berpotensi menciptakan persoalan hukum baru.

Langkah 6: Jika Ada Ancaman Serius, Cari Bantuan

Jika terdapat:

  • Ancaman kekerasan
  • Ancaman terhadap keluarga
  • Stalking
  • Pemerasan
  • Penyalahgunaan data sensitif

simpan bukti dan pertimbangkan untuk melaporkan kepada pihak berwenang atau mencari bantuan hukum yang sesuai.

Doxing dari Perspektif Cybersecurity

Doxing menunjukkan bahwa keamanan seseorang tidak hanya bergantung pada password dan antivirus.

Ada konsep penting yang disebut:

Digital Footprint

Digital footprint adalah jejak informasi yang ditinggalkan seseorang ketika menggunakan internet.

Misalnya:

Social Media
      ↓
Forum
      ↓
Marketplace
      ↓
Gaming
      ↓
GitHub
      ↓
Website

Semakin banyak informasi yang saling terhubung, semakin besar kemungkinan seseorang dapat membangun profil digital yang lebih lengkap.

Karena itu, cybersecurity modern tidak hanya membahas:

"Bagaimana mencegah hacker masuk?"

Tetapi juga:

"Informasi apa yang dapat diketahui tentang kita dari luar?"

Doxing vs OSINT vs Data Scraping

Ketiganya juga sering disalahartikan.

Konsep Tujuan utama
OSINT Mengumpulkan dan menganalisis informasi dari sumber terbuka
Data scraping Mengambil data secara otomatis dari sumber tertentu
Doxing Mengekspos informasi pribadi seseorang secara merugikan
Threat Intelligence Mengumpulkan informasi untuk memahami ancaman keamanan

Teknik yang sama dapat digunakan untuk tujuan berbeda.

Misalnya scraping informasi produk publik untuk riset pasar bisa menjadi aktivitas bisnis yang sah.

Sebaliknya, mengumpulkan data pribadi seseorang lalu menyebarkannya untuk mengintimidasi korban merupakan persoalan yang sangat berbeda.

Tujuan, otorisasi, jenis data, cara penggunaan, dan dampak harus selalu diperhatikan.

Apakah Doxing Bisa Dicegah Sepenuhnya?

Tidak.

Internet memiliki terlalu banyak sumber informasi dan kita tidak selalu dapat mengontrol apa yang dilakukan pihak lain.

Tetapi kita dapat mengurangi attack surface informasi.

Konsepnya mirip dengan security hardening.

Jika sebuah server memiliki terlalu banyak service yang terekspos, attack surface meningkat.

Begitu juga dengan identitas digital.

Semakin banyak informasi sensitif yang terbuka dan saling terhubung, semakin besar pula potensi penyalahgunaannya.

Karena itu:

Privacy juga merupakan bagian dari cybersecurity.

Kesimpulan

Doxing adalah praktik mengidentifikasi, mengumpulkan, dan menyebarkan informasi pribadi seseorang secara daring, terutama ketika dilakukan tanpa persetujuan dan dengan tujuan atau dampak yang merugikan.

Doxing dapat melibatkan informasi seperti:

  • Nama
  • Nomor telepon
  • Email
  • Alamat
  • Informasi keluarga
  • Akun online
  • Lokasi
  • Data sensitif lainnya

Ancaman doxing tidak selalu berasal dari hacking. Informasi yang tersebar di berbagai platform dapat dikombinasikan sehingga membentuk profil seseorang yang jauh lebih lengkap.

Karena itu, perlindungan terhadap doxing membutuhkan pendekatan yang lebih luas:

Privacy → Account Security → Digital Footprint → Data Protection → Security Awareness

Di Indonesia, perlindungan data pribadi juga telah memiliki dasar hukum melalui UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Database Peraturan | JDIH BPK

Yang paling penting, jangan menganggap informasi yang tersedia di internet otomatis bebas untuk dikumpulkan dan disebarkan sesuka hati.

SIBRA Security

Keamanan digital bukan hanya tentang mencegah malware atau membobol sistem. Information exposure, konfigurasi website, security headers, vulnerability, dan perlindungan data juga merupakan bagian penting dari security posture sebuah organisasi.

SIBRA Security membantu bisnis dan organisasi mengevaluasi serta meningkatkan keamanan website dan aplikasi melalui layanan seperti Security Assessment, Vulnerability Assessment, Penetration Testing, Web Application Security Testing, Security Hardening, Security Headers Assessment, Website Monitoring, dan konsultasi cybersecurity.

Jika kamu ingin mengetahui apakah website atau aplikasi memiliki celah keamanan maupun informasi sensitif yang terekspos, SIBRA Security dapat membantu melakukan assessment secara terstruktur dan dengan pendekatan yang bertanggung jawab. 🔐