{"id":2599,"date":"2026-09-17T19:52:44","date_gmt":"2026-09-17T19:52:44","guid":{"rendered":"https:\/\/resguardodigital.cl\/?p=2599"},"modified":"2026-09-17T19:52:45","modified_gmt":"2026-09-17T19:52:45","slug":"un-investigador-demuestra-que-la-app-de-verificacion-de-edad-de-la-ue-se-puede-hackear-en-2-minutos","status":"publish","type":"post","link":"https:\/\/resguardodigital.cl\/?p=2599","title":{"rendered":"Un investigador demuestra que la app de verificaci\u00f3n de edad de la UE se puede hackear en 2 minutos"},"content":{"rendered":"\n

La semana pasada Ursula von der Leyen anunci\u00f3 que la\u00a0aplicaci\u00f3n m\u00f3vil para verificaci\u00f3n de edad<\/strong>\u00a0que llevaba tiempo desarrollando la\u00a0Comisi\u00f3n Europea<\/strong>\u00a0estaba pr\u00e1cticamente lista.\u00a0
<\/a><\/p>\n\n\n\n

Sin embargo, los hackers de sombrero blanco ya le han buscado las vueltas a esta herramienta que promete ser la panacea para proteger a los menores.

El consultor de seguridad Paul Moore<\/strong> ha demostrado lo f\u00e1cil que resulta hackear el sistema. As\u00ed, ha publicado un v\u00eddeo en X<\/em> donde ense\u00f1a c\u00f3mo incluso utilizando la app se pueden saltar las restricciones de edad. <\/p>\n\n\n\n

Seg\u00fan el investigador, el sistema presenta vulnerabilidades cr\u00edticas<\/strong> que permitir\u00edan a un atacante eludir los mecanismos de autenticaci\u00f3n y acceder a credenciales v\u00e1lidas sin necesidad de romper cifrados complejos ni realizar ataques sofisticados.<\/p>\n\n\n\n

Uno de los principales problemas reside en la gesti\u00f3n del PIN durante el proceso de configuraci\u00f3n.<\/strong> La aplicaci\u00f3n solicita al usuario crear un c\u00f3digo que posteriormente se cifra y se almacena en el directorio shared_prefs del dispositivo. <\/p>\n\n\n\n

Sin embargo, Moore critica que este enfoque es incorrecto desde su base, ya que el PIN no deber\u00eda almacenarse de esa manera y, adem\u00e1s, no est\u00e1 vinculado criptogr\u00e1ficamente al contenedor donde se guardan los datos de identidad. Esta desconexi\u00f3n permite que un atacante elimine los valores PinEnc y PinIV del archivo de configuraci\u00f3n, reinicie la aplicaci\u00f3n y establezca un nuevo PIN sin perder acceso a las credenciales previamente generadas<\/strong>, que siguen siendo aceptadas como v\u00e1lidas.<\/p>\n\n\n\n

El investigador tambi\u00e9n se\u00f1ala deficiencias adicionales que agravan el problema. Por ejemplo, el sistema de limitaci\u00f3n de intentos<\/strong> (rate limiting<\/em>) se basa en un simple contador almacenado en el mismo archivo de configuraci\u00f3n, lo que facilita reiniciarlo manualmente y realizar intentos ilimitados. <\/strong><\/p>\n\n\n\n

Del mismo modo,\u00a0la autenticaci\u00f3n biom\u00e9trica puede desactivarse<\/strong>\u00a0modificando un valor booleano (UseBiometricAuth) en ese mismo archivo, lo que\u00a0elimina otra importante capa de seguridad sin ning\u00fan tipo de verificaci\u00f3n adicional.<\/strong><\/p>\n\n\n\n

Para que todo el mundo lo entienda…<\/h2>\n\n\n\n

Para mostrarlo de manera m\u00e1s clara y que resulte comprensible a todos los usuarios sin demasiados conocimientos t\u00e9cnicos Moore ha compartido otro post en X donde lo ha explicado con t\u00e9rminos m\u00e1s sencillos.<\/strong><\/p>\n\n\n\n

\u00abIncluso si la aplicaci\u00f3n funciona exactamente como se dise\u00f1\u00f3, el sitio web y el proceso de verificaci\u00f3n est\u00e1n completamente desacoplados y son \u00aban\u00f3nimos\u00bb. La arquitectura asume que enviar\u00e1s la solicitud a tu dispositivo, que contiene tus datos biom\u00e9tricos. Pero puede ir a cualquier dispositivo, en cualquier parte del mundo… y como el tel\u00e9fono no tiene forma de saber qui\u00e9n inici\u00f3 el proceso, el ni\u00f1o a\u00fan pasa la verificaci\u00f3n de edad\u00bb,<\/em> aclara.<\/p>\n\n\n\n

\u00abLa afirmaci\u00f3n es que el usuario es mayor de 18 a\u00f1os. En realidad, la aplicaci\u00f3n responde que el propietario de este dispositivo Android es mayor de 18 a\u00f1os. No sabe qui\u00e9n es el usuario… \u00bfc\u00f3mo puede saber su edad? Este es el dise\u00f1o actual, no un error<\/em>\u00ab, insiste. <\/p>\n\n\n\n

Por otro lado, el experto en seguridad advierte de que una vez que has iniciado sesi\u00f3n es muy poco probable que las p\u00e1ginas web vuelvan a solicitar la verificaci\u00f3n de edad<\/strong>, por lo que este ataque, incluso si pudiera mitigarse de alguna manera solo se aplica a las nuevas verificaciones. <\/p>\n","protected":false},"excerpt":{"rendered":"

La semana pasada Ursula von der Leyen anunci\u00f3 que la\u00a0aplicaci\u00f3n m\u00f3vil para verificaci\u00f3n de edad\u00a0que llevaba tiempo desarrollando<\/p>\n","protected":false},"author":1,"featured_media":2600,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2599","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts\/2599","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2599"}],"version-history":[{"count":1,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts\/2599\/revisions"}],"predecessor-version":[{"id":2601,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts\/2599\/revisions\/2601"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/media\/2600"}],"wp:attachment":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2599"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2599"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2599"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}