Mostrar resumen Ocultar resumen
En pocas horas tras su presentación pública, la nueva herramienta europea para la verificación de edad quedó expuesta: un investigador de seguridad demostró que la aplicación puede ser vulnerada y que es posible suplantar una identidad en cuestión de segundos. Este hallazgo abre dudas sobre la protección de datos sensibles que la UE reclama garantizar.
Cómo se rompió la barrera
El descubrimiento fue divulgado por Paul Moore, investigador que publicó en X un vídeo y un informe técnico con los pasos seguidos. Al analizar el código —publicado como código abierto— detectó que el manejo del código PIN y su relación con la bóveda de identidad presentan fallos estructurales.
Resident Evil: protagonista estuvo al borde de morir tras escena brutal del tráiler
Lidl: limpiador económico disponible desde mañana para eliminar manchas en sofá y coche
En términos sencillos: el PIN se cifra y se almacena en un fichero de preferencias compartidas del dispositivo. Eso deja expuestos elementos críticos del cifrado y permite manipulaciones a nivel local. Al borrar los datos del PIN y reconfigurar la aplicación, un atacante que ya tenga acceso al equipo puede establecer un nuevo código y, acto seguido, acceder a las credenciales previamente registradas.
Vulnerabilidades concretas
- El PIN no está ligado de forma criptográfica a la bóveda de identidad, por lo que puede reemplazarse sin pruebas adicionales.
- El contador de intentos fallidos es un simple valor numérico que puede reiniciarse manualmente, facilitando ataques por fuerza bruta.
- La exigencia de biometría (huella o reconocimiento facial) se implementa como una variable booleana editable, lo que permite desactivarla desde el propio archivo de configuración.
Moore asegura que muchas de estas acciones toman solo segundos; la explotación documentada se completó en menos de dos minutos desde el inicio del procedimiento. Aunque el investigador puntualiza que la versión analizada es una entrega de desarrollo y no una release final, las fallas afectan a la arquitectura de autenticación, no a detalles menores.
Repercusiones políticas y técnicas
La Comisión Europea, representada por Ursula von der Leyen, presentó la herramienta como una solución lista para que plataformas y usuarios confíen sus documentos de identidad. Ahora surge una brecha entre ese mensaje público y lo que muestra el código disponible.
Además de las vulnerabilidades técnicas, la comunidad de software libre ha expresado reservas sobre la dependencia de componentes privativos de terceros en el proyecto. Para expertos consultados por la comunidad, corregir estos errores exige rediseños que vayan más allá de parches puntuales.
¿Qué está en juego? Si una herramienta de verificación central falla, los riesgos no son solo individuales (suplantación, exposición de DNI o pasaporte) sino sistémicos: plataformas que confíen en esa validación podrían aceptar identidades comprometidas, y la confianza ciudadana en procesos digitales gubernamentales puede deteriorarse.
¿Qué sigue ahora?
Fuentes técnicas y actores del ecosistema esperan que las correcciones se apliquen antes de cualquier despliegue masivo. Sin embargo, el incidente subraya la necesidad de auditorías independientes, pruebas en entornos controlados y transparencia sobre la hoja de ruta de mejoras.
En el corto plazo, la investigación pública sirve como aviso: una demostración de concepto en mano de un experto ha mostrado que la aplicación, tal y como se presentó, no ofrece garantías suficientes para custodiar documentos de identidad. Para los ciudadanos y las plataformas que vayan a integrarla, la recomendación implícita es exigir pruebas de seguridad exhaustivas antes de confiar información sensible.
