¿Qué es el doxeo? Significado, ejemplos y riesgos para personas y empresas

El doxeo es la recopilación y publicación no autorizada de información personal de una persona, generalmente con la intención de causar daño o humillación. Para las empresas, esto representa un riesgo directo porque expone datos de empleados, clientes o socios, lo que puede derivar en sanciones por violación de la Ley 1581 de 2012 y pérdidas reputacionales severas. En 2026, con la digitalización acelerada, estos incidentes son más frecuentes y difíciles de contener.

Doxeo es la adaptación al español de doxing (o doxxing), que viene de *docs*, «documentos»: reunir los «documentos» de alguien y publicarlos. El término nació en foros de hackers en los años noventa para revelar la identidad real de usuarios anónimos. Hoy se usa para cualquier publicación de datos personales (dirección, teléfono, lugar de trabajo, familia) con el fin de intimidar, acosar o extorsionar.

El doxeo corporativo no siempre implica un ataque cibernetico directo contra sus servidores; a menudo, comienza con la agregación de datos dispersos en redes sociales, foros o bases de datos filtradas. Un actor malintencionado cruza información pública (como nombres, cargos, correos corporativos y ubicaciones) con datos privados para construir un perfil detallado. Este perfil se utiliza luego para chantaje, suplantación de identidad o ataques de ingeniería social más sofisticados contra su equipo. La clave está en que la información, por separado, puede parecer inofensiva, pero su combinación crea una vulnerabilidad crítica.

El impacto va más allá de la incomodidad inicial. Al exponer datos personales, la empresa incurre en responsabilidades legales bajo la Ley 1581 de Protección de Datos Personales en Colombia. La Superintendencia de Industria y Comercio (SIC) puede imponer multas de hasta 2.000 salarios mínimos legales mensuales vigentes (artículo 23 de la Ley 1581 de 2012). Además, la pérdida de confianza de los clientes es inmediata y difícil de recuperar, especialmente si el incidente se viraliza en redes sociales. La reputación digital, construida en años, puede verse dañada en horas.

La prevención requiere un enfoque proactivo que combine tecnología y educación. Implemente controles de acceso estrictos (principio de mínimo privilegio) y cifre los datos sensibles en reposo y en tránsito. Capacite a su equipo para que reconozca qué información es segura compartir y qué no. Utilice herramientas de monitoreo de la superficie externa para detectar si sus dominios o correos aparecen en foros o mercados de datos. La seguridad no es solo responsabilidad de TI, sino de toda la organización.

Una parte crucial de la prevención es asegurar que su infraestructura de comunicación no sea un vector de fuga. Verifique que sus registros SPF, DKIM y DMARC estén correctamente configurados para evitar que terceros suplanten su dominio y envíen correos con datos sensibles. Puede utilizar herramientas gratuitas como el «Analizador de seguridad de dominio» de T.I. RESCUE para auditar estas configuraciones de forma rápida y detectar vulnerabilidades antes de que sean explotadas por atacantes.