Ваша домашня адреса, номер телефону, місце роботи, фотографія будинку й імена дітей можуть опинитися в одному дописі телеграм-каналу. Не тому, що вас зламали. А тому, що хтось витратив один вечір на пошук у відкритих джерелах. Це називається доксинг — і в Україні він давно перестав бути проблемою самих лише публічних осіб.

Нижче — повний посібник: як влаштований доксинг, які дані про вас уже лежать у відкритому доступі, як зменшити свій цифровий слід і що робити просто зараз, якщо кампанія проти вас уже почалася. Матеріал спирається на дві частини керівництва Electronic Frontier Foundation, адаптовані до українських реєстрів, операторів і законодавства.

Що таке доксинг

Доксинг (від англійського doxxing, скорочення від dropping docs — «скинути документи») — це умисне збирання й оприлюднення приватної інформації про людину без її згоди, щоб залякати її, зацькувати або спровокувати проти неї інших.

Головна відмінність доксингу від злому в тому, що доксеру здебільшого не потрібно нічого зламувати. Він збирає те, що ви залишили самі: дописи в соцмережах, старі оголошення, записи у відкритих державних реєстрах, дані з чужих витоків. EFF формулює проблему прямо: захищатися складно саме тому, що зловмисник користується законними й загальнодоступними інструментами.

Наслідки при цьому цілком реальні — цькування, шантаж, крадіжка особистих даних, фейкові виклики служб на вашу адресу, фізичне переслідування. У воєнному контексті додається ще один шар: оприлюднення адреси, місця роботи чи маршрутів людини може становити пряму загрозу її життю.

Хто такий доксер

Доксер — це людина, яка збирає й публікує чужі персональні дані без згоди їхнього власника. Це не окрема «професія» і не обовʼязково технічний спеціаліст: здебільшого доксеру достатньо вміння шукати, вільного часу й терпіння.

Мотиви бувають різні:

• Помста і конфлікт. Особиста сварка, розрив стосунків, суперечка в спільноті.
• Ідеологія. Людину «карають» за політичну, громадянську чи релігійну позицію. Це часто організована кампанія, а не дія одинака.
• Заробіток. Зібрані дані продають або використовують для шахрайства.
• Тиск. Доксинг як інструмент залякування журналістів, активістів, волонтерів, військових та їхніх родин.
• Статус. Частина доксерів робить це заради репутації в спільнотах, де такі «розслідування» вважають досягненням.

Важлива деталь: доксер рідко доводить шкоду до кінця власноруч. Зазвичай він виконує роль збирача — знаходить дані й публікує їх, а далі шкоду завдає натовп, який ці дані підхоплює. Саме тому доксинг і кібербулінг майже завжди йдуть у парі.

Які дані про вас шукають

• Повне імʼя, дата народження, РНОКПП, дані документів
• Домашня адреса, фото будинку або підʼїзду
• Номер телефону та адреса електронної пошти
• Місце роботи, посада, імена колег і керівництва
• Дані про родичів — зокрема про дітей і школу, у яку вони ходять
• Банківські й фінансові дані
• Медична інформація
• Маршрути, геолокація, звичний розклад дня
• Приватне листування й фотографії
• Усі ваші акаунти, нікнейми та старі профілі

Найцінніші для доксера не окремі факти, а звʼязки між ними. Один нікнейм, яким ви користуєтеся з 2012 року на форумі, в Steam і в робочому месенджері, склеює три різні частини вашого життя в один профіль. Так само працює електронна адреса: якщо один і той самий email вказано в оголошенні про продаж дивана, в акаунті соцмережі та в базі, яка колись витекла, — усе це стає одним записом.

Ось чому розділити пошту й нікнейми за рівнем довіри — дешевша й дієвіша дія, ніж будь-яке разове видалення даних. Один email для держпослуг і банків, другий для роботи, третій для оголошень, підписок і випадкових реєстрацій.

Як працює доксинг: методи

В основі будь-якої доксинг-кампанії лежить OSINT — розвідка за відкритими джерелами. Це не конкретна програма, а методологія: скласти досьє з розрізнених публічних фрагментів. Ті самі інструменти працюють і в зворотний бік — щоб перевірити, що про вас можна знайти.

Пошук за нікнеймом

Більшість людей роками використовують один і той самий нікнейм. Сервіси на кшталт WhatsMyName або Namechk за хвилину перевіряють сотні платформ і показують, де це імʼя зареєстроване. Результати не завжди точні, але для швидкого огляду цього достатньо.

Аналіз соцмереж

Відкритий профіль — це готове досьє. З фотографій зчитують район проживання, з підписів — місце роботи, з відміток — коло спілкування, з коментарів — розклад. Окремий ризик: відповіді на контрольні запитання банків і сервісів (дівоче прізвище матері, кличка тварини, перша школа) майже завжди є у стрічці.

Визначення місця за фотографією

Раніше для цього потрібні були метадані знімка. Сьогодні достатньо самого зображення: сучасні ШІ-моделі визначають місце зйомки приблизно у девʼяти випадках із десяти, спираючись на архітектуру, рослинність, дорожню розмітку й вивіски. Видалення EXIF більше не рятує.

Відкриті державні реєстри

В Україні низка даних є публічними за законом. Відомості з Єдиного державного реєстру юридичних осіб та ФОП відкриті прямо на підставі закону про державну реєстрацію — крім РНОКПП і паспортних даних. Судові рішення, реєстр боржників, декларації, дані про нерухомість і транспорт теж доступні або напряму, або через сервіси-агрегатори. Центр демократії та верховенства права пояснює, що така обробка ваших даних без вашої згоди є правомірною, якщо це передбачено законом.

Бази, що витекли

Коли зламують компанію, дані її клієнтів опиняються у відкритому чи напівзакритому обігу. Зазвичай це email, телефон, хеш пароля, іноді адреса. Для доксера це не самоціль, а спосіб звʼязати ваші акаунти між собою.

Розпізнавання облич як послуга

Комерційні сервіси зворотного пошуку за обличчям — PimEyes, Lenso та подібні — за одним фото знаходять інші зображення тієї самої людини в мережі. Створені як інструмент «перевірити себе», вони так само доступні переслідувачам.

Сайти пошуку людей і брокери даних

Це компанії, які агрегують публічні записи, дані про покупки й історію переглядів, а потім продають зведені профілі. Індустрія майже не врегульована, і саме вона часто постачає готові дані для доксинг-кампаній.

Соціальна інженерія

Коли даних бракує, їх випитують. Дзвінок «зі служби підтримки», лист від «колеги», повідомлення від «адміністрації». Соціальна інженерія працює проти операторів звʼязку, банків і провайдерів так само добре, як проти самої жертви.

WHOIS

Якщо у вас є власний домен і ви не увімкнули приховування контактів під час реєстрації, ваші імʼя, адреса, телефон і пошта можуть бути в публічній базі WHOIS.

Профілактика: як зменшити свій цифровий слід

Це марафон, а не спринт. Робити все одразу не потрібно і шкідливо — почніть із того, що найбільш релевантне саме вашій ситуації.

1. Перевірте, у яких витоках ви вже є

Введіть свої адреси електронної пошти й номер телефону на Have I Been Pwned — сервіс безкоштовно показує, у яких відомих витоках вони фігурують. Це не видалить дані, але дасть розуміння, які саме ваші акаунти й паролі варто вважати скомпрометованими просто зараз.

Далі: змініть паролі на всіх сервісах зі списку, увімкніть двофакторну автентифікацію та припиніть використовувати ці паролі деінде.

2. Розділіть пошту й нікнейми

Це та дія, яка дає найбільший ефект на довгій дистанції. Заведіть окремі адреси для державних сервісів і банків, для роботи та для всього іншого. Для оголошень, підписок і разових реєстрацій використовуйте псевдоніми та поштові аліаси. Записи, зібрані після такого поділу, вже не склеюються в один профіль.

3. Пройдіться налаштуваннями соцмереж

• Закрийте профіль або обмежте видимість дописів колом підтверджених контактів.
• Вимкніть пошук вашого акаунта за номером телефону та адресою пошти.
• Приберіть із відкритої частини профілю місце роботи, місто, навчальний заклад і дату народження.
• Перегляньте старі дописи — саме там найчастіше лежать фото документів, квитків і будинку.
• Приберіть геомітки й вимкніть автоматичне додавання локації.

4. Окремо: Telegram

У Telegram сходяться дві речі — він привʼязаний до номера телефону і є основним каналом поширення зливів в Україні. Мінімальний набір дій у розділі «Налаштування → Конфіденційність»:

• Задайте собі імʼя користувача (@username) — це дозволить спілкуватися, не показуючи номер.
• «Номер телефону» → «Ніхто». Окремо перевірте пункт «Хто може знайти мене за номером» і поставте «Мої контакти».
• Обмежте, хто бачить ваше фото профілю, час останнього входу й пересилання ваших повідомлень.
• Вимкніть автоматичне додавання до груп: «Групи та канали» → «Мої контакти».
• Перевірте активні сеанси й завершіть усі незнайомі.

Якщо ви ведете публічну діяльність, розгляньте окремий номер саме для месенджерів — не той, до якого привʼязані банк і «Дія».

5. Перевірте, що про вас знає пошук

Пошукайте своє імʼя, номер телефону, адресу й нікнейм у Google в лапках і без. Робіть це в режимі анонімного перегляду, щоб персоналізація не спотворювала результати. Окремо прогоніть своє фото через зворотний пошук за зображенням.

6. Закрийте WHOIS і старі оголошення

Увімкніть приховування контактних даних у реєстратора домену. Перегляньте дошки оголошень і сайти вакансій — резюме з домашньою адресою й повною датою народження живуть роками.

7. Посильте захист ключових акаунтів

Пошта, до якої привʼязано все інше, — найцінніша ціль. Увімкніть двофакторну автентифікацію апаратним ключем або застосунком-автентифікатором, а не SMS. Для облікових записів Google є Розширений захист — суворіший режим для людей із підвищеним ризиком: журналістів, активістів, публічних осіб.

8. Не переоцінюйте платні сервіси видалення даних

Consumer Reports спільно з Tall Poppy перевірили сім таких сервісів: із 332 знайдених записів про 28 учасників за чотири місяці було видалено лише 117 — 35 %. Ручні заявки, подані самими дослідниками, спрацювали краще: 70 % за перший тиждень.

Наукова робота «Let My Data Go» (липень 2026) додає до цього другу половину картини: самостійна подача заявок працює, але забирає в людини надзвичайно багато часу й зусиль, а частина брокерів взагалі не відповідає. Висновок для читача простий — це не разова дія, а періодична робота, і жоден сервіс не «зітре вас з інтернету».

Що робити, якщо вас уже доксять

Перші години — не про юристів і не про заяви. Вони про те, щоб зупинити ескалацію й зафіксувати те, що відбувається.

1. Заведіть журнал інциденту

Найпростіша таблиця, куди ви одразу записуєте все, що бачите. Не намагайтеся зробити її красивою — важлива швидкість і повнота.

• Дата й точний час
• Майданчик і посилання
• Що саме сталося — коротко
• Хто це зробив: нікнейм, посилання на профіль
• Хто ще долучився
• Скриншот із видимими URL і часом

Скриншоти робіть одразу: дописи видаляють, канали закривають, а без доказів звернення до поліції чи платформи буде беззмістовним.

2. Не робіть це наодинці

Читати про себе потік ненависті — окремий вид виснаження, який швидко ламає здатність ухвалювати розумні рішення. Попросіть двох-трьох людей, яким довіряєте, узяти на себе частину роботи: хтось моніторить майданчики, хтось веде журнал, хтось спілкується з платформами. Домовляйтеся про це в захищеному каналі — наприклад, у Signal.

3. Захистіть номер телефону — це найтерміновіше

Ваш номер — ключ до банку, «Дії», пошти й месенджерів. Типова атака називається SIM swap: зловмисник звертається до оператора від вашого імені й перевипускає SIM-картку на себе. Кіберполіція радить:

• Заборонити віддалений перевипуск SIM-картки — через контактний центр або особистий кабінет оператора. Після цього перевипуск можливий лише за особистого візиту з паспортом.
• Перейти на контрактне обслуговування або привʼязати передплачений номер до паспорта.
• Мати окремий номер для банківських операцій, який ніде не публікується.
• Не передавати нікому коди підтвердження, навіть якщо телефонують «від оператора».

Насторожуйтеся, якщо вам раптом почали телефонувати з різних незнайомих номерів: шахраї роблять це навмисно, щоб потім використати ці дзвінки як підтвердження під час перевипуску.

Паралельно зателефонуйте до банку за номером зі звороту картки й попросіть посилити верифікацію.

4. Приберіть дані з пошуку Google

Google має окремий механізм для видалення з результатів пошуку ідентифікаційної інформації та доксингового контенту — адрес, номерів телефону, документів, банківських реквізитів, зображень підпису. Заявка подається через довідку Пошуку.

Памʼятайте про межі: видалення з видачі не видаляє контент із самого сайту. Щоб прибрати його повністю, потрібно звертатися до власника ресурсу.

5. Закрийте або перевірте вразливі акаунти

Якщо конкретний профіль став джерелом даних або основною мішенню цькування, тимчасово вимкніть його. У більшості платформ деактивація зворотна. Для решти акаунтів: увімкніть двофакторну автентифікацію, переведіть профілі в закритий режим, налаштуйте фільтри слів і заблокуйте акаунти нападників — щоб просто менше бачити.

6. Налаштуйте моніторинг

Google Alerts безкоштовно повідомляє, коли ваше імʼя зʼявляється в новому проіндексованому матеріалі. Це не спіймає анонімів у закритих каналах, але спрацює, якщо історію підхоплять медіа. Стежити за цими сповіщеннями краще доручити людині, якій ви довіряєте.

7. Звертайтеся до кіберполіції

Заяву можна подати онлайн через форму на сайті Департаменту кіберполіції — ticket.cyberpolice.gov.ua, або зателефонувати на гарячу лінію Національної поліції 0 800 500 202. Контакти й порядок звернення є на офіційному сайті. До заяви додайте журнал інциденту та скриншоти — саме вони визначають, чи буде справа рухатися.

Якщо є загроза життю чи здоровʼю або вам погрожують фізичною розправою, це вже не кіберінцидент — телефонуйте 102.

Що каже українське законодавство

Окремої статті «за доксинг» в Україні немає. Але дії доксера майже завжди підпадають під наявні норми.

Кримінальна відповідальність. Стаття 182 Кримінального кодексу карає незаконне збирання, зберігання, використання, знищення чи поширення конфіденційної інформації про особу. Санкція за першою частиною — штраф від пʼятисот до тисячі неоподатковуваних мінімумів, виправні роботи, пробаційний нагляд або обмеження волі. Залежно від обставин можуть застосовуватися й інші статті — про погрозу вбивством, вимагання чи несанкціоноване втручання в роботу систем.

Захист персональних даних. Закон № 2297-VI дає вам право знати, хто і як обробляє ваші дані, вимагати їх видалення в разі незаконної обробки та скаржитися Уповноваженому Верховної Ради з прав людини або до суду.

Що зміниться. Законопроєкт № 8153, який має замінити чинний закон 2010 року й наблизити регулювання до GDPR, ухвалено за основу 20 листопада 2024 року. Станом на вересень 2026 року він готується до другого читання. Документ передбачає, зокрема, чіткий порядок повідомлення про витік даних, розширення прав субʼєктів даних і створення окремого наглядового органу. Проєкт критикують журналістські організації — через положення, які ускладнюють зйомку в публічних місцях.

Важливе обмеження. Якщо інформація опублікована на законній підставі — наприклад, витяг із відкритого реєстру, — вимагати її видалення з першоджерела зазвичай марно. Реалістична мета в такому разі інша: прибрати зручність доступу. Заявка про видалення з пошукової видачі й звернення до сайтів-дзеркал не знищують запис, але роблять його на порядок менш помітним.

Витримати це: про психологічну частину

Це та частина, яку зазвичай пропускають, — і дарма. Доксинг спроєктований так, щоб вибити людину з рівноваги, і саме в цьому стані ухвалюються найгірші рішення: піти у відкриту суперечку з нападниками, видалити докази у спробі «стерти все», ізолюватися.

Кілька речей, які реально допомагають:

• Не читайте потік про себе безперервно. Робіть це блоками, з перервами, і краще не наодинці.
• Не відповідайте нападникам. Будь-яка реакція для координованої кампанії — паливо.
• Робіть щось одне за раз. Список із двадцяти пунктів паралізує; список із трьох на сьогодні — ні.
• Скажіть про ситуацію близьким і роботодавцю до того, як вони дізнаються з чужих слів.
• Якщо тривога, безсоння чи страх виходити з дому тривають довше кількох днів — це вагома причина звернутися до фахівця, а не ознака слабкості.

Відчуття «однаково нічого не вдієш» — це не оцінка ситуації, а симптом. Контроль над своїм цифровим слідом справді обмежений, але він не нульовий, і різниця між нулем і обмеженим тут дуже велика.

Чого не варто робити

• Вступати в дискусію. Реакція жертви — головна винагорода для доксера.
• Доксити у відповідь. Це кримінальна відповідальність уже для вас і гарантована ескалація.
• Видаляти все підряд. Спершу зафіксуйте докази, потім прибирайте. Видалений допис нападника, який ви не встигли зняти на скриншот, більше не існує для поліції.
• Платити за «повне видалення з інтернету». Такої послуги не існує; дані про ефективність наведені вище.
• Мовчати перед роботодавцем і близькими. Якщо кампанія розгортається, вони дізнаються — питання лише в тому, від кого.

Часті запитання

Доксинг — це незаконно?

Окремої статті за доксинг в Україні немає, але поширення конфіденційної інформації про особу без її згоди підпадає під статтю 182 Кримінального кодексу. Практика ускладнюється тим, що частина даних береться з відкритих реєстрів і публікується формально законно.

Чим доксинг відрізняється від кібербулінгу?

Доксинг — це оприлюднення даних. Кібербулінг — це систематичне цькування. На практиці перше майже завжди запускає друге: дані публікують саме для того, щоб натовп мав куди спрямувати агресію.

Мене можуть задоксити тільки за номером телефону?

Номер — одна з найзручніших відправних точок. Через нього шукають профілі в месенджерах, привʼязані акаунти, оголошення й записи в базах, що витекли. Тому окремий «фінансовий» номер, який ніде не публікується, — базова рекомендація.

Чи допоможе VPN?

VPN приховує вашу IP-адресу від сайтів і від інших користувачів мережі, і в цьому сенсі корисний. Але він ніяк не впливає на дані, які ви вже опублікували самі або які лежать у відкритих реєстрах, — а це основне джерело для доксингу.

Скільки часу займає прибирання цифрового сліду?

Перший прохід — від кількох годин до кількох днів залежно від того, як довго ви в мережі. Але це не разова дія: записи повертаються, і перевіряти їх варто хоча б раз на рік.

Що робити, якщо доксять мою дитину?

Ті самі кроки — зафіксувати, закрити профілі, звернутися до платформи й до кіберполіції. Додатково варто повідомити школу: у більшості випадків кампанія розгортається серед однокласників, і без участі закладу зупинити її складно.

Коротко

• Доксинг — це не злом, а збирання того, що ви залишили у відкритому доступі.
• Найбільший ризик створюють не окремі факти, а звʼязки між ними: один нікнейм і один email склеюють різні частини життя в єдиний профіль.
• Профілактика ефективніша за реагування: розділіть пошту й нікнейми, закрийте соцмережі, приберіть номер із Telegram, забороніть віддалений перевипуск SIM.
• Якщо кампанія вже почалася — спершу журнал і скриншоти, потім номер телефону й банк, потім видалення з пошуку та заява.
• Платні сервіси видалення даних працюють гірше, ніж обіцяють: 35 % записів за чотири місяці.
• Не залишайтеся з цим наодинці — ні технічно, ні емоційно.

Більше матеріалів про захист приватності — у розділі «Приватність».

Ця стаття Доксинг: що це таке, хто такі доксери і що робити, якщо вас доксять раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня