Cuando el presidente de la Comisión Europea afirmó que la aplicación de verificación de edad de la UE daría a los niños un inicio más seguro en Internet, no quedó convencido.

“Superar la última versión de la app de verificación de edad de la UE (2026.07-1) con una extensión de Chrome,” publicó más tarde en X. Y no fue la primera vez.

Con más de 20 años de experiencia, Moore logró eludir la app en abril, poco después de su lanzamiento inicial. En conjunto, sus experiencias lo llevan a una conclusión directa: “la verificación de edad anónima no funciona.”

Aunque el proceso que utilizó para burlar el sistema de verificación no vulnera la privacidad de las personas, Moore cree que el impacto a largo plazo de su inefectividad sí afectará.

“Todo es una ruta de escalada que se alimenta poco a poco, bajo la premisa de la seguridad de los niños,” dijo Moore a TechRadar. No se limitará a demostrar la edad. “El siguiente paso será demostrar quién eres,” afirmó.

El enfoque de la UE “privacidad primero”

La mayoría de los métodos actuales de verificación de edad, que requieren escanear documentos de identidad nacionales o biometría, exponen datos sensibles de las personas. (Pensemos, por ejemplo, en la filtración de datos que afectó al proveedor de verificación de edad de Discord y expuso las identificaciones y datos personales de 70,000 personas el año pasado.)

Por esa razón, hay una creciente urgencia por encontrar una solución que permita a las personas demostrar su edad sin recopilar información sensible. Y la Comisión Europea sostiene que la ha encontrado.

Tomando como marco el sistema de certificados COVID, la Comisión propuso una plantilla para una herramienta de privacidad primero, de código abierto, que los Estados miembros pueden utilizar para construir sus propias apps nacionales.

El proceso —que forma parte del proyecto más amplio de la Wallet de Identidad Digital Europea (EUDI)— aprovecha pruebas de conocimiento cero (ZKPs) y credenciales verificables (VCs) para verificar la edad sin compartir información sensible. En otras palabras, tu teléfono escanea tu ID y almacena esos datos localmente. Los sitios web solicitan escanear un código QR a través de la app para demostrar que tienes la edad suficiente para acceder a cierto contenido.

Un portavoz de la Comisión explicó a TechRadar que los servicios en línea no recibirán información personal de los usuarios, afirmando: “La prueba de edad simplemente confirma si el usuario cumple con el requisito de edad.”

Moore no discute las credenciales de privacidad del proceso. Más bien, cree que, incluso si fueran sólidas, no funcionará a gran escala.

Por qué la verificación de edad de la UE no funciona

Aunque el plan de verificación de edad de la UE suena como una mejora bienvenida frente al enfoque actual, sus ventajas no se sostienen.

Eso es porque Moore afirma que las comprobaciones de edad deben vincularse a la identidad de una persona para ser confiables. “En cuanto se elimina la identidad de la edad de la persona, ya no se puede responder a esa pregunta,” dijo.

Desde el lanzamiento de abril, las credenciales de seguridad de la herramienta se han mejorado, pero Moore sostiene que el problema no es un fallo aislado, sino todo el proceso, y critica los esfuerzos como meras “teatros de seguridad.”

Cómo Moore eludió la app

Eludir la app no fue difícil. De hecho, Moore afirma que construyó dos extensiones de Chrome en minutos.

La primera extiende la app para Android, pero sin los controles de ID. Eso significaba saltarse la necesidad de que un usuario escanee un documento por completo.

“Detecta el código QR automáticamente (cuando es presentado por un sitio web) y pasa la verificación,” explica Moore, añadiendo que el proceso está completamente automatizado y no requiere interacción con la extensión una vez instalada.

Esta semana, Moore llevó las cosas más lejos y creó una extensión de Chrome que puede capturar el código QR de un sitio web y reenviarlo automáticamente a un teléfono remoto para obtener una firma genuina en segundos.

Conocido como un “bypass de relé automatizado,” estos ataques significan que nada en el proceso se falsifica, haciendo casi imposible la prevención.

“Incluso después de activar todas las demás protecciones, ambos seguirán funcionando,” afirmó Moore.

La respuesta de la UE

Al preguntarle si se tomaron medidas para evitar la elusión, un portavoz de la Comisión dijo: “Confiamos también en padres y cuidadores para verificar qué hacen sus hijos en línea,” y añadió que el objetivo de la app es “evitar la exposición involuntaria de los niños a contenido inapropiado.”

Sin embargo, para Moore, la atención de los legisladores está mal dirigida. Dijo: “Lo que [los legisladores] están perdiendo es que el actor de amenaza no es un tercero; el actor es el usuario.”

“No quieren la verificación de edad desde un principio, así que buscarán formas de eludir el sistema. Y si el sistema puede eludirse por diseño, lo harán.”

Decidir no imponer una nueva ley o tecnología solo porque podría ser eludida es poco convincente para los legisladores. Pero el problema podría ir más allá de un sistema ineficaz.

De hecho, Moore teme que la ineficacia inevitable de la app empuje a los legisladores hacia controles más invasivos y una erosión de la privacidad de las personas.

¿Próximo paso? Nuestra identidad

Cuando Moore dice que el concepto está roto, señala una falla fundamental en el diseño de la estructura de verificación de edad de la UE: la confianza del lado del cliente.

La app es más respetuosa con la privacidad que los pasaportes y escaneos faciales porque los datos no salen del dispositivo del usuario. Pero eso podría ser exactamente la razón por la que su implementación está condenada al fracaso. Si nada sale del dispositivo, Moore explica, no hay forma de confiar o verificar lo obtenido.

Esto genera un dilema para los legisladores europeos. Cuando esta aplicación “anónima” no logra mantener a los niños fuera de sitios restringidos, es improbable que Bruselas abandone su iniciativa de seguridad emblemática ni que renuncie a las prácticas de privacidad de forma general.

“Para avanzar con ello bajo la premisa de seguridad infantil es una ruta de escalada; lo natural es que ahora pidan que demuestres tu identidad,” dijo Moore a TechRadar.

Está claro que la verificación de edad llegó para quedarse, a pesar de las críticas continuas de defensores de la privacidad, tecnólogos y científicos de datos que advierten que podría hacer más daño que bien.

Para Moore, el riesgo es que lo que hoy se comercializa como un avance centrado en la privacidad podría usarse mañana para socavarla.