Eksperten som hacket EUs aldersapp: «Anonym aldersverifisering fungerer ikke», neste steg er full ID

Denne gangen tok det bare en Chrome-utvidelse laget av en KI-modell på noen få minutter. Sikkerhetskonsulent Paul Moore demonstrerte omgåelsen av EUs aldersverifiseringsapp i versjon 2026.07-1 midt i juli, og konklusjonen hans er kompromissløs: den grunnleggende ideen fungerer ikke, uansett hvor mye EU pusser på detaljene.

Til det britiske tech-nettstedet TechRadar sier den britiske sikkerhetskonsulenten at appen etter hans syn bare er begynnelsen på noe mye større, og at neste trinn nødvendigvis blir full identitetskontroll.

«Det handler ikke bare om å bevise alderen din. Neste steg blir å bevise hvem du er», sier Moore til TechRadar.

Chrome-utvidelse laget av KI på minutter

Selve angrepet Moore viste frem i juli, utnytter et prinsipielt hull i måten appen er bygget på. Systemet sjekker at brukeren er over 18, men knytter ikke bekreftelsen til en faktisk identitet. Én gyldig «over 18»-attest kan derfor fanges opp og brukes om igjen på tvers av økter, uten ny verifisering.

Les også: Reddit-sjefen slår tilbake mot Google AI: Brukerne vil lese diskusjoner, ikke maskin-sammendrag

Moore laget hele proof-of-conceptet ved hjelp av en KI-modell, og la det ut åpent for å illustrere hvor lav terskelen er.

«Til tross for tre måneder med sikkerhetsherding og reelle forbedringer over hele linjen, kan ikke det grunnleggende problemet løses. Anonym aldersverifisering fungerer ikke», skrev han i innlegget som fulgte demonstrasjonen.

Dette var ikke første gang. Allerede rett etter lanseringen i april klarte han å komme forbi appens PIN-beskyttelse på under to minutter ved å slette krypteringsverdier i en lokal konfigurasjonsfil, restarte appen og sette en ny PIN. Rate limiting og biometrisk verifisering kunne begge slås av ved å endre henholdsvis en teller og en boolsk verdi i samme fil.

EU brukte 4 millioner euro på løsningen

Appen ble utviklet av Deutsche Telekom-datteren T-Systems og svenske Scytáles på oppdrag fra Europakommisjonen. Kontrakten hadde en ramme på 4 millioner euro (rundt 47 millioner kroner), finansiert gjennom Digital Europe-programmet.

Les også: Sikkerhetsundersøkelse av 1,2 millioner Tesla: Forhjulet kan løsne under kjøring

Selve løsningen, som Kommisjonen omtaler som en «mini-lommebok», ble erklært funksjonsklar 15. april 2026 og skal rulles ut i medlemslandene innen utgangen av året. Poenget er at innbyggere skal kunne bevise at de er over 18 uten å måtte oppgi navn, adresse eller andre personopplysninger, blant annet for tilgang til porno, gambling og alkoholsalg på nettet.

Norge følger EUs digitale spor

Norge er ikke medlem av EU, men gjennom EØS-avtalen har landet knyttet seg tett til det digitale regelverket som ruller ut i unionen. Debatten om aldersverifisering på nett er allerede i gang på norsk side, og løsningen fra Brussel vil derfor være en referanse for eventuelle norske krav mot plattformer som viser voksent innhold.

Skulle EUs modell brukes som mal, er Moores advarsel direkte relevant for norske foreldre og brukere: en app som markedsføres som personvernvennlig, kan ifølge ham fort bli inngangen til et regime der plattformer heller ber om ID enn om et årstall. Så langt har Europakommisjonen fastholdt at løsningen representerer det høyeste personvernnivået som finnes, mens Moore mener selve arkitekturen ikke kan reddes med flere lapper.

Les også: Alvorlig teknisk feil på VW ID.3 og ID.4: Girboksoljen synker til kritisk nivå

Les også: Xbox-sjef spår «tilbake til vekst» innen sommeren 2027 - etter 1,7 milliarder dollar i tapte inntekter