Una nota sobre la financiación (septiembre de 2026): CypherpunkGuide no incluye publicidad de vigilancia, redes publicitarias, píxeles de rastreo ni contenido patrocinado. Algunos artículos contienen enlaces de afiliación claramente identificados, por los que podemos recibir una comisión. Este artículo no contiene enlaces de afiliación ni recomienda un proveedor de alojamiento.
Corrección: Una versión anterior presentó la infraestructura extranjera como una defensa más duradera que la protección de la identidad, vinculó HKLeaks con posteriores recompensas policiales sin pruebas y describió una interceptación militar del vuelo FR4978 de Ryanair. Hemos corregido esas afirmaciones. También hemos eliminado la idea de que el acoso por motivos de género sigue inevitablemente al doxxing.
Una persona que hace activismo puede ser conocida públicamente y mantener privada su dirección. Una web puede seguir disponible mientras su autora corre peligro. Trasladar la web no traslada a sus familiares, no borra registros gubernamentales ni resuelve los riesgos legales de un viaje.
Esta distinción importa cuando un gobierno persigue a sus críticos en otros países. El informe de 2026 de Freedom House recoge 1.375 incidentes de represión transnacional física y directa entre 2014 y 2025, en los que participaron al menos 54 gobiernos. Es el conjunto de casos documentados por la organización, no un recuento de todos los ataques digitales ni de todas las personas en riesgo. (Freedom House)
Conviene separar lo que demuestran las fuentes de las precauciones que razonablemente podemos extraer de ellos. Nuestra hoja de decisiones, en formato CSV y en inglés, relaciona daños distintos con respuestas distintas. Es un marco de análisis editorial, no una puntuación de seguridad medida ni una promesa de que una medida habría evitado un ataque histórico.
El doxxing forma parte de una amenaza más amplia#
El doxxing expone datos personales de una forma que puede facilitar daños. La represión transnacional abarca más: un Estado persigue a personas fuera de sus fronteras mediante intimidación, vigilancia, coacción o acciones físicas. Una filtración pública puede contribuir a esa presión, pero no es un requisito para ejercerla.
La investigación de Citizen Lab sobre HKLeaks documenta una campaña que publicó datos personales. El desvío del vuelo en Bielorrusia y el proceso penal estadounidense descritos más adelante muestran otros mecanismos. Afirmar que los tres casos comenzaron con una exposición pública de datos ocultaría una incertidumbre decisiva: a menudo no sabemos cómo obtuvieron las autoridades una información concreta.
Para valorar tu situación, distingue estas tres preguntas:
- Seguridad personal: ¿Puede alguien acercarse a ti o a personas de tu entorno, amenazarlas, detenerlas o presionarlas?
- Privacidad de la identidad: ¿Qué relaciona tu actividad pública con tu identidad legal, tus contactos o tu ubicación?
- Acceso a las publicaciones: ¿Cómo podrían recuperar tu trabajo los lectores si desapareciera una cuenta, un dominio o un proveedor de alojamiento?
Una medida útil puede resolver solo uno de estos problemas. Conocer ese límite permite decidir cómo utilizarla.
Tres casos documentados con mecanismos distintos#
Las fuentes muestran formas diferentes de actuación estatal. No demuestran una vía universal de la identidad filtrada a la detención, ni que trasladar un servidor hubiera evitado el daño.
Bielorrusia: un vuelo desviado por una falsa amenaza de bomba#
El 23 de mayo de 2021, el vuelo FR4978 de Ryanair, que iba de Atenas a Vilna, se desvió a Minsk tras recibir información falsa sobre una amenaza de bomba mientras estaba en el espacio aéreo bielorruso. Roman Protasevich y Sofia Sapega fueron detenidos después del aterrizaje.
La investigación final de la Organización de Aviación Civil Internacional, OACI, distingue el desvío de una interceptación militar. Despegó un MiG-29, pero no hubo escolta ni interceptación militar en el espacio aéreo bielorruso. La tripulación declaró que no vio el caza ni mantuvo comunicación o interacción con él. Según la OACI, el avión militar estaba a unos 55 kilómetros cuando aterrizó el vuelo comercial. (OACI, apartados 3.9.2 y 3.9.5)
El caso ilustra un riesgo físico durante un viaje. El informe citado no demuestra que el horario de las publicaciones del activista revelara su itinerario. Tampoco permite afirmar que programar los mensajes, utilizar un seudónimo con más precauciones o cambiar de alojamiento habría evitado la detención.
Hong Kong: doxxing, recompensas posteriores y presión familiar#
Citizen Lab constató que HKLeaks expuso a unas 2.800 personas y que la red se mantuvo activamente entre agosto de 2019 y mayo de 2021. La investigación encontró coordinación, recursos y vínculos con China continental incompatibles con su presentación como iniciativa de base. A partir de indicios circunstanciales, consideró probable la participación o el apoyo gubernamental, pero no identificó de forma concluyente a quien operaba la red. (Citizen Lab)
Por separado, en julio de 2023, la policía de Hong Kong anunció órdenes de detención contra ocho activistas residentes en el extranjero, con un millón de dólares de Hong Kong de recompensa por información sobre cada persona. Human Rights Watch también documentó interrogatorios a familiares de personas exiliadas en 2025, entre ellos el de los padres de Frances Hui el 10 de abril. (HRW, julio de 2023; HRW, mayo de 2025)
Son formas de represión documentadas por separado. Las fuentes revisadas aquí no demuestran que HKLeaks suministrara la información utilizada para las órdenes posteriores o los interrogatorios a familiares. La seguridad de la familia merece atención propia, sin suponer que todas las relaciones pueden o deben ocultarse.
Vigilancia vinculada a China en Estados Unidos: abuso de la confianza#
En agosto de 2024, un jurado federal estadounidense declaró culpable a Shujun Wang de varios delitos, entre ellos actuar como agente de un gobierno extranjero sin notificarlo a las autoridades estadounidenses. El Departamento de Justicia explicó cómo utilizó su posición en una organización prodemocrática para recopilar información sobre activistas destinada al Ministerio de Seguridad del Estado de China, incluidos detalles de conversaciones privadas. (Departamento de Justicia de EE. UU.)
Este caso trata del acceso a información a través de relaciones personales. No demuestra un fallo de un registrador de dominios o de un proveedor de alojamiento. La precaución práctica que extraemos es limitar el intercambio innecesario de información sensible y, a la vez, conservar los vínculos de confianza que permiten el apoyo colectivo. Un caso no justifica considerar sospechosa a toda una comunidad de la diáspora.
Incluye los daños por motivos de género sin darlos por inevitables#
Las amenazas sexuales, las imágenes difundidas sin consentimiento y los ataques a las relaciones personales deben figurar en una evaluación de seguridad cuando sean relevantes. Son formas documentadas de abuso, no consecuencias inevitables para toda mujer cuyos datos queden expuestos.
Amnistía Internacional describe violencia de género facilitada por la tecnología que afecta a mujeres, niñas y personas LGBTI: lesbianas, gais, bisexuales, trans e intersexuales. Incluye amenazas, acoso y difusión de material íntimo sin consentimiento. Sus investigaciones respaldan la necesidad de tomar esos daños en serio, pero no calculan la probabilidad de que un incidente concreto de doxxing escale de esa forma. (Amnistía Internacional)
En un plan de respuesta puedes prever la ayuda de una persona de confianza para denunciar, documentar con seguridad y contactar con tu centro de trabajo o una organización de apoyo. Habla con las personas afectadas sobre las fotos públicas, las etiquetas y la información sobre sus relaciones, sin imponerles aislamiento. Reducir la exposición no garantiza protección, y publicar una fotografía no hace responsable a nadie de la conducta de quien le agrede. Nuestra guía sobre el uso indebido de la voz y el rostro aborda una forma relacionada de exposición.
Elige la respuesta según el daño#
Valora cada medida por el daño que puede reducir y por la información que ya tiene el adversario. La protección de la identidad, el alojamiento extranjero y la planificación de la seguridad familiar no son defensas intercambiables. La tabla combina las orientaciones citadas con los límites de lo que demuestran los casos.
| Situación | Qué considerar | Qué no puedes dar por resuelto |
|---|---|---|
| Amenazas inmediatas o sospecha de vigilancia física | Buscar ayuda por una vía que puedas usar con seguridad y priorizar tu seguridad inmediata | No hace falta cambiar una web ni reunir un expediente completo antes de pedir ayuda |
| Exposición pública de datos del domicilio o de familiares | Revisar lo expuesto con las personas afectadas y valorar solicitudes de retirada seguras | Borrar una página no elimina otras copias ni los registros ya obtenidos |
| La identidad con la que publicas se está vinculando a tu identidad privada | Revisar cuentas públicas reutilizadas, datos de contacto e información compartida entre tu actividad pública y tu vida privada | Un seudónimo no garantiza la separación respecto a registros de proveedores o cuentas comprometidas |
| Un registrador o proveedor podría revelar datos o suspender el servicio | Examinar qué recoge y conserva, sus condiciones de divulgación y el asesoramiento jurídico pertinente | Una dirección extranjera o un servicio de privacidad de dominio no demuestra inmunidad frente a la divulgación |
| Los lectores dependen de una sola cuenta o proveedor | Preparar copias recuperables y comprobar cómo accederían los lectores | Otra copia no hace anónimo a quien publica ni garantiza el acceso desde cualquier lugar |
| La actividad de publicación puede revelar una rutina | Valorar si programar las publicaciones reduce un vínculo innecesario con la actividad en tiempo real | Una marca de tiempo sin zona horaria explícita no impide analizar patrones |
| Un contacto pide información sensible | Verificar la petición por una vía de confianza y compartir solo lo necesario | Un caso de infiltración no justifica desconfiar de toda una comunidad |
La hoja de decisiones descargable, en inglés, incluye el objetivo, las fuentes y los límites de cada fila. No contiene datos personales ni exige rellenar un formulario en línea. Si la adaptas a tu situación, piensa dónde podrás guardarla con seguridad: una evaluación detallada de amenazas también puede contener información sensible.
La guía de PEN America ayuda a revisar biografías, directorios, datos de contacto personales y la separación entre cuentas públicas y privadas. Sus ejemplos de empresas que comercian con datos personales se centran especialmente en Estados Unidos. Nuestra guía sobre la huella digital aporta contexto relacionado. Ni la limpieza de información pública ni la separación de cuentas borran registros que otra persona ya haya obtenido.
Lo que puede y no puede resolver la infraestructura#
Las decisiones sobre infraestructura pueden cambiar quién conserva los datos y de qué servicios depende la publicación. Por sí solas, no demuestran anonimato, inmunidad jurídica ni seguridad física. Examina el servicio concreto y las jurisdicciones implicadas, en lugar de basarte en la reputación de un país.
La privacidad de dominio afecta a los datos públicos de registro. ICANN, la organización que coordina los nombres y números de Internet, distingue los servicios de privacidad y de representación: unos sustituyen datos de contacto y otros hacen que un representante figure como titular registral. Esto no significa que el proveedor carezca de información sobre su cliente o que nunca pueda divulgarla. Revisa sus condiciones y lo que recopila. (ICANN)
El alojamiento extranjero es un factor que evaluar, no una garantía. Un proveedor puede tener obligaciones, relaciones comerciales o infraestructura en varios países. Una web estática puede prescindir de una base de datos de aplicación, pero no elimina los datos de facturación, las cuentas de administración ni los registros que conserven sus servicios. Hay que investigar estas cuestiones para cada configuración. Este artículo no certifica que ningún proveedor esté fuera del alcance de un gobierno.
La publicación distribuida también depende de operadores y puede exponer información. La documentación de IPFS, un sistema distribuido para transferir archivos, explica que los identificadores de los contenidos y de los nodos —los equipos que participan en la red— pueden ser públicos y que es posible descubrir la dirección IP de un nodo. Cifrar el transporte no convierte IPFS en un servicio de anonimato. El protocolo básico de Nostr permite que los servidores de retransmisión, llamados relays, rechacen eventos, como los mensajes enviados por usuarios. Usar el protocolo no obliga a un relay concreto a conservar tu trabajo. Las copias solo ayudan si alguien las retiene y los lectores pueden recuperarlas. (IPFS; Nostr NIP-01)
Programar las publicaciones no borra la información temporal. Los eventos de Nostr incluyen created_at, una marca de tiempo Unix pública que expresa el momento mediante un número. Aunque el formato no indique una zona horaria local, una serie de eventos puede revelar un patrón de actividad. La programación puede separar la escritura de la publicación, pero las respuestas, la actividad de las cuentas y otras observaciones aún pueden ofrecer pistas. Es una precaución limitada, no una prueba de que la rutina sea imposible de rastrear.
Proteger la identidad sigue siendo valioso cuando es viable. Un nombre público no exige publicar el domicilio o una lista de familiares. El equilibrio depende de tu situación, incluido el valor de asumir públicamente la responsabilidad de lo que haces y de acceder a redes de apoyo. La sección de Soberanía ofrece más información sobre estas decisiones.
Ideas clave#
Proteger a la persona, los datos privados y el acceso a las publicaciones son objetivos distintos. Una medida resulta útil cuando conoces sus límites. Ninguno de los casos descritos respalda una promesa universal de seguridad mediante infraestructura extranjera.
Preguntas frecuentes#
Los riesgos documentados y la protección que puede ofrecer una herramienta o un sistema jurídico deben evaluarse por separado.
¿Cómo se hace doxxing a activistas en regímenes autoritarios?#
Los datos personales pueden proceder de contenido público, registros expuestos o personas que tienen acceso a ellos, y después publicarse para facilitar el acoso. HKLeaks es un ejemplo documentado de exposición organizada. No todos los casos de vigilancia estatal o represión transnacional implican una filtración pública, y el origen de la información puede seguir sin conocerse.
¿Una orden extranjera autoriza automáticamente mi detención donde vivo?#
No. Que un gobierno extranjero afirme tener jurisdicción no equivale a que sus agentes tengan autoridad para detener a alguien en otro país. Importan la legislación local, la situación migratoria, los procedimientos de extradición y los países implicados. Una orden puede tener consecuencias, incluidos riesgos al viajar e intimidación. Si afrontas una orden concreta, busca apoyo jurídico cualificado que conozca los países pertinentes. Este artículo no puede determinar tu riesgo individual de detención o extradición.
¿Es más importante ocultar mi identidad o trasladar mi infraestructura?#
No hay un orden de prioridad universal. Separar identidades puede limitar ciertas asociaciones entre tu actividad y tu vida privada. Las decisiones de alojamiento y distribución afectan a quién conserva los datos y de qué servicios depende la publicación. Aunque un adversario conozca tu nombre, puede seguir siendo importante proteger tu dirección o los datos de tus familiares. Elige la respuesta según el daño concreto y no sustituyas la planificación de tu seguridad personal por un cambio de servidor.
¿El doxxing siempre va seguido de acoso por motivos de género?#
No. Las amenazas sexuales y las imágenes difundidas sin consentimiento son daños documentados que merecen atención en los planes de seguridad pertinentes. No son inevitables, y las fuentes de este artículo no calculan la probabilidad de escalada para una persona. La planificación debe apoyar sus decisiones y sus relaciones, no exigirle que abandone la vida pública.
¿Qué debería hacer primero si creo que me están atacando?#
Tu seguridad física es lo primero. Si estás en peligro, ve a un lugar más seguro si puedes hacerlo sin aumentar el riesgo. Pide ayuda urgente a un servicio al que puedas recurrir con seguridad donde estés; no esperes a reunir pruebas. Si contactar con la policía puede aumentar el peligro, busca el apoyo de una organización de confianza que defienda la libertad de prensa o los derechos humanos para valorar opciones más seguras. Guarda los mensajes y enlaces relacionados y anota las fechas y horas solo cuando sea seguro hacerlo. Algunas aplicaciones avisan a la otra persona cuando haces una captura de pantalla. Si tus dispositivos o cuentas, o los de tus familiares, pueden estar vigilados, valora una forma más segura de comunicarte y guardar los registros, pero no retrases la petición de ayuda urgente por esos preparativos. Los registros pueden servir para actuar más adelante; no necesitas reunir todas las pruebas antes de pedir ayuda. Consulta la guía del Gobierno británico sobre represión transnacional (copia archivada) y los consejos de NNEDV, una organización de apoyo a víctimas, para documentar los abusos con seguridad (copia archivada).
Fuentes y límites de la verificación#
Las fuentes incluyen resultados de investigaciones, casos documentados, especificaciones técnicas y orientaciones prácticas. La hoja de decisiones es una síntesis propia. No es un experimento que mida cuánto reduce cada intervención la represión estatal.
