O aplicativo de verificação de idade da Comissão Europeia foi ignorado pela segunda vez pelo mesmo pesquisador de segurança que expôs falhas no lançamento original no início deste ano. Segundo o pesquisador Paul Moore, atualizações recentes de segurança não resolveram os problemas subjacentes de design do aplicativo, permitindo que ele contornasse suas proteções usando uma extensão gerada Chrome por IA.
Moore disse que a versão mais recente introduziu proteções adicionais, incluindo preferências criptografadas e detecção de raiz, mas argumentou que essas medidas apenas reforçaram a aplicação contra ataques básicos sem corrigir o que ele descreveu como uma fraqueza arquitetônica fundamental. Em uma demonstração publicada online, ele mostrou como o aplicativo ainda podia ser manipulado para produzir resultados bem-sucedidos de verificação de idade.
O pesquisador argumenta que o sistema deposita confiança demais no software rodando no próprio dispositivo do usuário, tornando-o vulnerável a manipulações. Ele argumenta que atacantes podem modificar o comportamento da aplicação antes que os dados de verificação sejam transmitidos, tornando muitos controles de segurança locais ineficazes. Moore disse que o problema não pode ser totalmente resolvido por meio de patches incrementais e que exigiria um redesenho do modelo de verificação.
As conclusões vêm apenas meses depois de Moore demonstrar que uma versão anterior do pedido poderia ser contornada em menos de dois minutos. Após essa divulgação, a Comissão Europeia divulgou atualizações destinadas a fortalecer a segurança do aplicativo e disse que recebia com agrado o feedback da comunidade de cibersegurança à medida que o desenvolvimento continuava.
O aplicativo de verificação de idade está sendo desenvolvido como parte do esforço mais amplo da União Europeia para proteger menores online enquanto preserva a privacidade dos usuários. O sistema foi projetado para permitir que os usuários comprovem que atendem aos requisitos mínimos de idade sem revelar informações pessoais desnecessárias e tem como objetivo servir como uma solução temporária antes do lançamento da Carteira de Identidade Digital da UE.
A Comissão Europeia não respondeu publicamente à última demonstração de Moore. Já declarou anteriormente que o projeto continua em desenvolvimento ativo e que as melhorias continuarão antes de uma implantação mais ampla. Neste momento, não há indicação de que a Comissão planeje suspender a iniciativa, apesar das novas críticas de pesquisadores de segurança que argumentam que sua arquitetura deve ser reconsiderada.