- La Unión Europea presentó una app para verificar la edad en internet que fue vulnerada en cuestión de minutos por expertos en ciberseguridad.
- El fallo principal reside en la gestión insegura del PIN y en ficheros editables que permiten saltarse la protección y suplantar identidades.
- Bruselas defiende que se trata de una versión de demostración, mientras críticos como Pavel Durov alertan de un posible uso de vigilancia masiva.
- La polémica reabre el debate sobre privacidad, anonimato y control de menores en redes sociales en España y el resto de Europa.
La nueva aplicación de verificación de edad de la Unión Europea, presentada como pieza clave para proteger a los menores en internet, ha arrancado con un estreno bastante accidentado. En apenas unas horas desde que se mostró al público, varios expertos en ciberseguridad demostraron que podían saltarse sus defensas en cuestión de minutos, dejando al descubierto debilidades que preocupan tanto por la seguridad como por su posible impacto en la privacidad.
El caso ha generado un fuerte debate en Bruselas, España y el resto de Europa, porque esta herramienta pretende convertirse en el estándar para demostrar la mayoría de edad al acceder a redes sociales y otros servicios online. Mientras la Comisión Europea insiste en que se trata solo de una versión de demostración, críticos y especialistas cuestionan que un sistema que aspira a gestionar identidades digitales de millones de ciudadanos haya mostrado fallos tan básicos desde su diseño.
Cómo es la app de verificación de edad de la UE y qué prometía
La Comisión Europea había presentado esta herramienta como una solución común para verificar la edad en plataformas digitales sin obligar a revelar más datos de los necesarios. La idea es que cualquier usuario pueda usar la app para demostrar si es mayor o menor de la edad mínima requerida, sin compartir su nombre completo, fecha de nacimiento exacta u otros datos sensibles con cada servicio online.
Durante la presentación, Ursula von der Leyen, presidenta de la Comisión Europea, habló de que la app estaba “técnicamente lista” y adelantó que estaría disponible “pronto” para la ciudadanía. La comisaria para la Soberanía Digital, Henna Virkkunen, también subrayó que el objetivo es reforzar la protección de los menores y exigir a las plataformas una “tolerancia cero” con los contenidos inadecuados para ellos.
La aplicación está siendo probada en un programa piloto junto a varios países, entre ellos España, Francia, Italia, Dinamarca y Grecia, estados que ya han impulsado restricciones al acceso de menores a redes sociales sin control parental (en torno a los 15 años en algunos de ellos y 16 en el caso español). Una vez esté operativa, el usuario tendría que descargarse la app, registrarse y subir documentos oficiales como el DNI o el pasaporte.
Según la Comisión, el diseño de la herramienta pretende garantizar que las plataformas solo reciban una respuesta del tipo “tiene la edad suficiente” o “no la tiene”, sin que las empresas lleguen a conocer la identidad completa del internauta ni su edad exacta. Von der Leyen llegó a asegurar que los ciudadanos mantendrían el “control total” de sus datos dentro del sistema.
La estructura básica de la app se organiza en cuatro pantallas principales: bienvenida, consentimiento, seguridad (configuración del PIN) y verificación. Una vez introducido el código de acceso, el usuario puede escoger entre tres métodos para acreditar su edad: a través del DNI, del pasaporte o mediante un código QR. Serán los desarrolladores de redes sociales, juegos y otras aplicaciones quienes integren esta solución en sus propios servicios.
El hackeo relámpago: PIN vulnerable y ficheros editables
El primer gran sobresalto llegó con la demostración del consultor de ciberseguridad Paul Moore, que compartió en la red social X (antes Twitter) cómo lograba vulnerar la app en un tiempo mínimo. Moore, especialista en seguridad, aseguró haber tardado apenas un par de minutos en encontrar la forma de saltarse el sistema de protección.
Al configurar la aplicación por primera vez, se pide al usuario que cree un PIN de cuatro a seis dígitos, similar al de una tarjeta bancaria, destinado a proteger el acceso a su perfil y a los datos de identidad asociados. Ese PIN debería estar cifrado y vinculado de forma robusta a la información que custodia, pero, según Moore, en la versión que pudo analizar la realidad estaba lejos de ese ideal.
El experto descubrió que el PIN se almacenaba en un archivo editable en el dispositivo, sin el nivel de cifrado prometido y sin ligarlo correctamente a las credenciales. En la práctica, bastaba con borrar o modificar una línea de ese fichero para eliminar la protección y acceder al perfil previamente configurado, sin necesidad de conocer el código original.
Este enfoque implica que, si un atacante logra acceso al teléfono o al equipo donde esté instalada la app, puede manipular ese archivo interno, reiniciar la aplicación y crear un nuevo PIN, pero manteniendo los datos de identidad ya cargados. El resultado es que alguien podría suplantar al propietario legítimo del dispositivo y utilizar su identidad digital sin demasiadas dificultades.
Moore también señaló que la obligación de usar biometría (por ejemplo, huella o reconocimiento facial) para reforzar el acceso se define simplemente como una variable booleana en el mismo archivo, que pasa de «true» a «false» con un ligero cambio de texto. Es decir, cualquier persona con conocimientos básicos y acceso físico podría desactivar esta supuesta capa extra de seguridad en segundos.
Bruselas matiza: demo en pruebas frente a seguridad «lista»
Tras el revuelo inicial, la reacción en Bruselas no se hizo esperar. La Comisión Europea trató de aclarar que la versión que han podido examinar Moore y otros especialistas es, en realidad, una demo en fase de pruebas y no el producto final que se desplegará en la UE. El portavoz para asuntos digitales explicó que, cuando se dijo que la app estaba «lista», se referían precisamente a esa versión demostrativa.
Este matiz no ha evitado las críticas, sobre todo porque von der Leyen presentó la aplicación en rueda de prensa con gran protagonismo y la acompañó de mensajes contundentes sobre su fiabilidad técnica. Que pocas horas después se hiciera público que la herramienta es vulnerable, aun siendo un prototipo, alimenta la percepción de que se ha querido correr demasiado en un terreno tan delicado como la gestión de la identidad digital.
Desde el punto de vista de la ciberseguridad, los errores que se están señalando no se limitan a pequeños bugs, sino a fallos de arquitectura muy básicos. El simple hecho de confiar datos sensibles a ficheros fácilmente editables se considera, entre profesionales del sector, un enfoque poco aceptable incluso para una versión temprana de un sistema que aspira a tener alcance masivo.
Este episodio se suma a otros incidentes previos que han afectado a servicios digitales europeos y españoles. La Comisión Europea reconoció a principios de año indicios de compromiso en su plataforma interna de gestión de dispositivos móviles, donde se almacenan datos de sus trabajadores. En España, la app Radar COVID, nacida para el rastreo de contagios durante la pandemia, recibió fuertes críticas por no cumplir en su lanzamiento con algunos requisitos del RGPD.
Con este historial reciente, la sensación en parte de la comunidad técnica es que las instituciones públicas europeas aún tienen pendiente demostrar que pueden liderar proyectos digitales críticos con niveles de seguridad y privacidad realmente ejemplares, más allá de los discursos.
Las acusaciones de Pavel Durov y el debate sobre vigilancia
Uno de los comentarios más sonados ha llegado desde el mundo de las propias plataformas digitales. Pavel Durov, fundador y director ejecutivo de la app de mensajería Telegram, afirmó que su equipo había conseguido hackear la aplicación en dos minutos y lanzó duras acusaciones sobre las verdaderas intenciones que, a su juicio, habría detrás del proyecto europeo.
En su canal de Telegram, Durov sostiene que la aplicación era “vulnerable por diseño” y plantea que el objetivo real de la UE sería implantar verificaciones de identidad obligatorias para cualquiera que use redes sociales y, al mismo tiempo, prohibir el acceso a menores de 18 años. Según su relato, la Comisión habría dedicado más de un año a crear una app presentada como respetuosa con la privacidad, sabiendo que terminaría siendo vulnerada.
El empresario ruso formula una especie de “guion en tres pasos”: primero se presenta una herramienta que presume de proteger la privacidad; después, se produce un hackeo llamativo; y, finalmente, se aprovecha ese incidente como excusa para eliminar limitaciones y convertir la app en un mecanismo de vigilancia sobre los europeos que usan redes sociales. A su entender, el supuesto error de seguridad sería parte de una estrategia planificada y no un simple fallo técnico.
Durov advierte a los ciudadanos europeos de que se mantengan atentos y sugiere que los “burócratas de la UE” estarían buscando un pretexto para transformar una herramienta de verificación de edad “respetuosa con la privacidad” en un sistema de control silencioso y mucho más intrusivo. En su opinión, el “sorprendente hackeo” de estos días proporciona exactamente la coartada necesaria para dar ese giro.
Más allá de que se compartan o no estas teorías, lo cierto es que el discurso de Durov conecta con una preocupación extendida: la posibilidad de que medidas pensadas para proteger a los menores y ordenar el uso de redes sociales terminen abriendo la puerta a formas de identificación obligatoria que reduzcan el anonimato en internet y faciliten nuevas prácticas de seguimiento de la actividad online.
Dudas técnicas, carta de expertos y posición de España
La polémica por la app ha reactivado un debate que ya venía de lejos. Antes incluso de que Bruselas presumiera de tener lista su herramienta de verificación de edad, cientos de investigadores y académicos habían advertido de los problemas de este tipo de sistemas. Una carta abierta firmada por 438 expertos de 32 países subrayaba que lograr una verificación de edad efectiva sin comprometer la privacidad era, en la práctica, “técnicamente imposible” con las soluciones disponibles hoy.
Entre los principales motivos de preocupación se mencionan la concentración de datos personales sensibles en una sola infraestructura, la tentación de reutilizar esa identidad digital para otros fines y el riesgo de que fallos de seguridad —como el demostrado estos días— expongan información íntima de millones de usuarios. También se alerta de que estas herramientas pueden terminar haciendo más mal que bien si empujan a menores y adultos hacia métodos de acceso menos seguros o a mercados paralelos de identidades falsas.
En el caso de España, el debate se entrelaza con las iniciativas nacionales para limitar o condicionar la presencia de los menores en redes sociales. El país forma parte del programa piloto de la app europea y, al mismo tiempo, ha planteado reformas legales y nuevos requisitos para que los adolescentes no puedan abrir perfiles sin supervisión a ciertas edades. Esto coloca al Gobierno español en una posición delicada: apuesta por reforzar el control, pero necesita que las herramientas asociadas estén a la altura en seguridad y respeto de derechos.
Las asociaciones en defensa de la privacidad y parte de la comunidad técnica insisten en que no basta con confiar en la buena voluntad de las instituciones. Reclaman auditorías independientes, código abierto o, al menos, mecanismos de transparencia fuertes que permitan a terceros revisar cómo se están implementando estas soluciones de verificación de edad. De lo contrario, temen que la combinación de errores de diseño y posibles presiones políticas pueda desembocar en un sistema de identificación digital más intrusivo de lo previsto.
La propia experiencia reciente con proyectos tecnológicos públicos en Europa, desde apps sanitarias hasta plataformas administrativas, alimenta cierto escepticismo. Aunque la intención oficial sea proteger derechos y mejorar servicios, la ejecución técnica y el equilibrio entre seguridad y privacidad no siempre han estado a la altura de las expectativas ni de las promesas iniciales.
En conjunto, el estreno accidentado de la app de verificación de edad de la UE coloca bajo los focos una cuestión de fondo: hasta qué punto es posible regular el acceso de los menores a las redes sociales y otros servicios digitales sin sacrificar la privacidad ni abrir la puerta a nuevos modelos de vigilancia. El hackeo en cuestión de minutos, las vulnerabilidades detectadas en el PIN y en los ficheros internos, y las críticas que llegan desde el sector tecnológico y el ámbito académico muestran que el camino elegido por Bruselas está lejos de estar cerrado y que, si quiere ganarse la confianza de los ciudadanos en España y en el resto de Europa, la Unión tendrá que demostrar con hechos —y no solo con declaraciones— que sus soluciones son realmente seguras, proporcionadas y respetuosas con los derechos digitales.