La presentazione dell’app per la verifica dell’età da parte di Ursula von der Leyen ha suscitato grande attenzione pubblica: l’obiettivo dichiarato era offrire uno strumento sicuro e rispettoso della privacy per confermare l’età degli utenti online, evitando di conservare dati sensibili. Tuttavia, a poche ore dal lancio ufficiale (annunciato il 15 aprile), diversi esperti di sicurezza hanno portato alla luce criticità che mettono in dubbio l’efficacia dello strumento. Questo articolo ricostruisce le falle emerse, le risposte tecniche della Commissione Europea e le ragioni per cui molti ricercatori ritengono che il problema non sia stato risolto.
Nel merito, le questioni sollevate spaziano dalla gestione del PIN alle modalità di archiviazione dei credenziali, fino alle possibilità di bypassare i meccanismi di accesso.
Gli attacchi dimostrati dai ricercatori mostrano come, in alcuni casi, sia sufficiente un telefono sbloccato o un codice prevedibile per utilizzare l’app a nome di un’altra persona. Per comprendere le implicazioni pratiche, è utile analizzare passo dopo passo le principali vulnerabilità segnalate e le contromisure implementate dall’ente responsabile.
Le vulnerabilità segnalate e il primo allarme
Il primo allarme è stato lanciato da un ricercatore che ha pubblicato una dimostrazione pratica su una piattaforma pubblica, evidenziando come fosse possibile aggirare l’autenticazione dell’app in tempi molto rapidi. Tra i punti critici è emersa la possibilità di scegliere PIN prevedibili e la gestione dei codici salvati in chiaro sul dispositivo, elementi che rendono semplice l’accesso non autorizzato. I problemi segnalati non riguardano solo l’interfaccia utente, ma coinvolgono anche aspetti dell’architettura software che possono esporre informazioni o permettere un uso improprio delle credenziali di verifica.
Il caso documentato da Paul Moore
Paul Moore ha dimostrato pubblicamente come, in pochi minuti, un attaccante possa usare l’app per dimostrare di avere più di 18 anni senza autorizzazione del titolare del documento. La tattica mostrata includeva l’uso di PIN semplici e l’accesso a dati memorizzati in chiaro sull’app. Questo tipo di dimostrazione enfatizza la differenza tra una soluzione teoricamente conforme alla privacy e una reale capacità di impedire abusi: l’integrità del flusso di autenticazione è critica, e basta un punto debole per vanificare le garanzie promesse agli utenti.
Conferme da altri ricercatori
Autori come Baptiste Robert e Olivier Blazy hanno fornito ulteriori analisi tecniche, descrivendo scenari pratici in cui la verifica può essere bypassata senza inserire il PIN o usare il TouchID.
Le testimonianze sottolineano che, se un dispositivo è accessibile fisicamente a terzi — come nel caso di familiari o amici — l’app può diventare uno strumento di verifica falsificato. Queste osservazioni hanno generato dubbi sulla reale utilità dell’app nel prevenire accessi di minori a contenuti per adulti, punto centrale per la sua adozione nelle piattaforme online.
Gli aggiornamenti rilasciati dalla Commissione
Di fronte alle segnalazioni, la Commissione Europea ha annunciato una serie di interventi tecnici: crittografia dei dati a riposo, controlli sull’integrità del dispositivo per impedire l’esecuzione su terminali con root o jailbreak e criteri più stringenti per la scelta del PIN. Queste patch puntano a ridurre le superfici di attacco e a limitare la possibilità che informazioni sensibili restino esposte sul dispositivo.
Le correzioni mirano anche a creare una barriera contro accessi non autorizzati in caso di furto o smarrimento del telefono.
Perché gli esperti ritengono che il problema persista
Nonostante gli interventi, diversi ricercatori hanno verificato nuovamente l’app aggiornando i test e segnalando che molte modifiche risultano insufficienti o parziali rispetto alla complessità degli attacchi possibili. Secondo questi esperti, la combinazione di fattori — ergonomia dell’accesso, memorizzazione locale di credenziali e scenari d’uso pratici — rende ancora plausibile il superamento delle protezioni. A loro avviso è necessario un ripensamento profondo dell’architettura, una maggiore trasparenza del codice e processi di auditing continui per trasformare le promesse di privacy e sicurezza in garanzie reali.
