Unijna aplikacja do weryfikacji wieku zhakowana w 2 minuty. Takiego startu nikt się nie spodziewał

Narzędzie promowane przez Komisję Europejską jako bezpieczny sposób potwierdzania pełnoletności w internecie miało chronić prywatność użytkowników i ograniczyć konieczność przekazywania danych platformom internetowym. Zamiast tego już kilka godzin po prezentacji pojawiły się oskarżenia, że system można obejść szybciej niż trwa poranna kawa.

Badacz bezpieczeństwa Paul Moore przekonuje, że dostęp do aplikacji udało mu się przejąć w mniej niż dwie minuty. Jego publikacja błyskawicznie obiegła media społecznościowe, a eksperci zaczęli zadawać pytania o to, czy europejski projekt rzeczywiście jest gotowy do wdrożenia.

Dla unijnego projektu to bardzo trudny moment, bo zamiast rozmowy o ochronie dzieci w internecie Europa mierzy się dziś z pytaniem, czy sama potrafi zabezpieczyć własne narzędzia.

The “age verification app” the EU wants to impose on the world got hacked in 2 minutes.

Step 1: Present a “privacy-respecting” but hackable solution.
Step 2: Get hacked (you are here).
Step 3: Remove privacy to "fix" it.

Result: a surveillance tool sold as “privacy-respecting”.

— Pavel Durov (@durov) April 17, 2026

Aplikacja miała chronić prywatność Europejczyków

Nowe rozwiązanie zostało przedstawione jako cyfrowy dokument wieku, który pozwala potwierdzić pełnoletność bez ujawniania daty urodzenia, nazwiska czy adresu. Komisja Europejska przekonywała, że użytkownik pokazuje wyłącznie informację „18+”, a reszta danych pozostaje poza zasięgiem serwisów internetowych.

Dla wielu osób brzmiało to jak przełom w walce o prywatność. Zwłaszcza że aplikacja została udostępniona jako projekt open source. Kod źródłowy miał budować zaufanie i umożliwić niezależnym specjalistom ocenę zabezpieczeń.

To właśnie ten element bardzo szybko obrócił się przeciwko twórcom.

Wystarczyła zmiana kilku plików

Moore opisał, że aplikacja zapisuje lokalnie zaszyfrowany kod PIN, ale mechanizm ochrony nie został powiązany bezpośrednio z cyfrową tożsamością użytkownika. Według niego wystarczyło usunięcie kilku wartości z plików konfiguracyjnych i ponowne uruchomienie programu, aby ustawić nowy PIN bez utraty dostępu do istniejących danych.

W praktyce oznacza to, że osoba mająca fizyczny dostęp do telefonu mogła odzyskać dostęp do weryfikacji wieku bez znajomości pierwotnego zabezpieczenia. Jeszcze większe emocje wywołała informacja, że licznik błędnych prób logowania również zapisano w edytowalnym pliku.

Po jego wyzerowaniu system traktował każdą kolejną próbę jak pierwszą.

Biometria miała działać, ale dało się ją wyłączyć

Najwięcej kontrowersji wzbudził jednak sposób obsługi biometrii. Według badacza aktywacja zabezpieczenia opierała się na pojedynczej wartości logicznej zapisanej w konfiguracji aplikacji. Zmiana tej wartości miała całkowicie wyłączać kontrolę odcisku palca lub skanu twarzy.

Dla specjalistów od cyberbezpieczeństwa taki model ochrony wygląda niepokojąco. W nowoczesnych smartfonach dane uwierzytelniające mogą być przechowywane w wydzielonych, sprzętowych modułach bezpieczeństwa. W tym przypadku część ekspertów zarzuca twórcom, że nie wykorzystali możliwości oferowanych przez współczesne urządzenia.

Krytycy wskazują, że problem nie wygląda jak zwykły błąd programistyczny, lecz jako decyzja projektowa.

Pojawiły się obawy o przyszłość systemu

Dyskusja szybko przestała dotyczyć wyłącznie technicznych szczegółów. W sieci pojawiły się głosy, że jeśli podobny system stanie się obowiązkowy dla większej liczby usług, potencjalna luka mogłaby otworzyć drogę do znacznie poważniejszych nadużyć.

Wątpliwości wzbudziło także to, że cyfrowe potwierdzenie wieku ma własny termin ważności. Dla części komentujących sam pomysł brzmi absurdalnie, bo pełnoletność raz uzyskana nie znika po kilku miesiącach.

Do dyskusji dołączyli także przedstawiciele branży technologicznej, ostrzegając przed ryzykiem stworzenia kolejnego centralnego systemu gromadzącego wrażliwe dane milionów obywateli.

Komisja Europejska podkreślała, że aplikacja została przygotowana zgodnie z najwyższymi standardami ochrony danych. Teraz uwaga skupia się na tym, czy aplikacja zostanie poprawiona przed szerszym wdrożeniem, czy też stanie się kolejnym przykładem ambitnej technologii, która zderzyła się z rzeczywistością szybciej, niż zakładali jej twórcy.