Comment on vous dé-anonymise, et comment l'en empêcher

Presque personne n'est « piraté » au sens des films. On est recoupé. Le doxxing, c'est l'art de prendre des morceaux que vous avez laissés en public, chacun anodin, et de les recoller jusqu'à obtenir un nom, une ville, parfois une adresse. Un pseudo ici, une photo là, un numéro sur un vieux compte : pris ensemble, ça suffit.

Ce guide décrit ces méthodes pour une seule raison : on ne se protège bien que de ce qu'on a compris. Chaque section explique une porte d'entrée du point de vue de celui qui l'utilise, puis comment la fermer.

La matière première : un pseudo qui vous suit

Le premier réflexe de qui vous cherche n'est pas technique : il tape votre pseudo partout. Des outils gratuits automatisent ça, ils testent un même nom d'utilisateur sur des centaines de sites en quelques secondes. Si vous utilisez le même pseudo sur un jeu, un forum et un réseau, ces comptes se relient entre eux, et l'un d'eux finit toujours par contenir une vraie information : une photo datée, un prénom, une ville.

À côté, des services agrègent les fuites de données passées. Avec un nom, un e-mail ou un numéro, ils ressortent ce qui a déjà fuité de vous ailleurs. Vous ne pouvez pas défaire une fuite, mais vous pouvez casser les liens.

La défense : un pseudo différent par usage, un mot de passe unique par compte, et une adresse e-mail réservée à ce qui compte. Vérifiez ce qui a déjà fuité sur haveibeenpwned.com, et là où un compte ressort, changez le mot de passe et coupez le lien avec le reste.

Le lien piégé

Un attaquant crée un lien qui a l'air d'aller vers une vidéo ou une image, mais qui passe d'abord par un serveur à lui. Au moment où vous cliquez, ce serveur enregistre votre adresse IP, et avec elle : votre fournisseur d'accès, votre région, souvent votre ville, le modèle de l'appareil, le fuseau horaire, parfois le niveau de batterie. L'adresse IP seule ne donne pas votre porte, mais couplée au fournisseur d'accès, elle réduit beaucoup le cercle. Ces liens sont maquillés pour ressembler à un lien normal.

La défense : ne cliquez pas sur un lien raccourci ou inconnu reçu en message privé, surtout s'il est « à voir absolument ». Un VPN masque votre vraie adresse IP au serveur du lien, c'est exactement le cas où il sert. Méfiez-vous d'un lien envoyé par un ami : s'il a été piégé lui-même, le message part tout seul à ses contacts.

Le fichier et le faux QR

Certains fichiers exécutent du code dès qu'on les ouvre. Les extensions à risque sont connues : un fichier qui se présente comme une image mais qu'il faut « télécharger pour voir » en fait partie. Sur les messageries, une variante répandue est le vol de jeton : une application de bureau stocke parfois votre jeton de connexion en clair, et un programme malveillant le lit puis l'envoie à un tiers, qui se connecte alors à votre compte sans mot de passe. Même logique avec un faux QR code « de vérification » à scanner : le scanner valide en réalité une connexion sur l'appareil de l'attaquant.

La défense : n'ouvrez pas un fichier reçu d'un inconnu, surtout exécutable. N'utilisez pas la version bureau d'une messagerie pour un compte sensible, préférez le navigateur. Ne scannez jamais un QR « pour prouver que vous êtes humain ». Et si un site ou une personne vous demande de coller un bout de code dans la console de développement du navigateur, c'est un vol de jeton, jamais une vérification.

Deux fausses bonnes idées, tant qu'on y est : les générateurs d'abonnement « gratuit » sont, la plupart du temps, des logiciels malveillants ; et « se souvenir de moi » sur un appareil partagé stocke un jeton qui vaut votre mot de passe si on vous le vole.

La photo qui parle

Une photo porte deux couches d'information. La première est cachée dans le fichier : les métadonnées EXIF peuvent contenir le modèle de l'appareil, l'heure, parfois les coordonnées GPS exactes. La seconde est dans l'image elle-même. Un enquêteur patient recoupe la météo du jour, la végétation, la forme d'une colline au loin, un marquage au sol, l'orientation d'une ombre, et resserre jusqu'à une ville. Une simple photo du parking devant chez vous, une fenêtre, un colis avec une étiquette, une carte à l'écran : chacun est un indice de trop.

La défense : retirez les métadonnées avant de publier une image, et n'utilisez jamais une photo personnelle ou un lieu proche de chez vous comme photo de profil. Ne publiez pas en direct depuis l'endroit où vous êtes, décalez dans le temps. Une adresse, même approximative, est plus dangereuse qu'une adresse IP : elle ne change pas.

L'usurpation

Quand la technique ne suffit pas, on passe par vous. Un faux message monté à partir d'une capture d'écran, une voix imitée par une IA à partir de quelques secondes d'enregistrement, un e-mail qui reprend l'habillage d'un service que vous utilisez, un appel qui se fait passer pour un support après un « problème sur votre compte » : tout vise à vous faire livrer vous-même l'information ou le clic. C'est souvent l'étape qui suit un doxxing, pour transformer une adresse ou un numéro en accès réel.

La défense : vérifiez l'adresse exacte d'un site de paiement avant d'y entrer quoi que ce soit, caractère par caractère. Ne faites jamais confiance à un appel ou un e-mail non sollicité qui crée l'urgence, rappelez le service par son numéro officiel. Un interlocuteur pressé qui a besoin d'un code « tout de suite » est le signal, pas l'exception.