Χακαρίστηκε σε 2 λεπτά η νέα εφαρμογή επαλήθευσης ηλικίας της ΕΕ

Η νέα εφαρμογή επαλήθευσης ηλικίας της Ευρωπαϊκής Επιτροπής παρακάμφθηκε σε λιγότερο από δύο λεπτά από ερευνητή ασφαλείας.

Μόλις λίγες ώρες μετά την επίσημη παρουσίαση της νέας εφαρμογής επαλήθευσης ηλικίας της Ευρωπαϊκής Επιτροπής, ερευνητής ασφαλείας δημοσίευσε βίντεο που δείχνει πλήρη παράκαμψη των μηχανισμών της σε λιγότερο από δύο λεπτά. Η αποκάλυψη έρχεται την ίδια εβδομάδα που η πρόεδρος της Κομισιόν Ursula von der Leyen δήλωσε ότι «δεν υπάρχουν πια δικαιολογίες» για τις πλατφόρμες που δεν ελέγχουν την ηλικία των χρηστών τους.

Τι ακριβώς παρουσίασε η ΕΕ

Η Ευρωπαϊκή Επιτροπή ανακοίνωσε αυτή την εβδομάδα την κυκλοφορία δωρεάν, open source εφαρμογής που προορίζεται για την επαλήθευση ηλικίας σε επισκέπτες κοινωνικών δικτύων και ιστοσελίδων πορνογραφικού περιεχομένου. Η εφαρμογή παρουσιάστηκε ως λύση που προστατεύει τους ανηλίκους χωρίς να υποχρεώνει τις πλατφόρμες να συλλέγουν ευαίσθητα προσωπικά δεδομένα. Η von der Leyen την χαρακτήρισε τεχνικά έτοιμη και εναρμονισμένη με τα υψηλότερα πρότυπα ιδιωτικότητας, καλώντας τα κράτη-μέλη να την υιοθετήσουν άμεσα.

Πώς έσπασε ο ερευνητής την εφαρμογή

Ο σύμβουλος ασφαλείας Paul Moore δημοσίευσε στο X σειρά ευρημάτων που, όπως υποστηρίζει, του επέτρεψαν να χακάρει την εφαρμογή σε λιγότερο από δύο λεπτά. Το βασικό πρόβλημα εντοπίζεται στον τρόπο αποθήκευσης του PIN που ορίζει ο χρήστης κατά την αρχική ρύθμιση. Ο κώδικας αποθηκεύει κρυπτογραφημένο το PIN τοπικά στη συσκευή, αλλά η κρυπτογράφηση δεν συνδέεται με το vault ταυτότητας που κρατά τα πραγματικά διαπιστευτήρια επαλήθευσης. Έτσι, ένας επιτιθέμενος με φυσική πρόσβαση στη συσκευή μπορεί να επεξεργαστεί απευθείας το αρχείο ρυθμίσεων, να ορίσει νέο PIN και να αποκτήσει πρόσβαση στα ήδη επαληθευμένα στοιχεία του αρχικού προφίλ.

Hacking the #EU #AgeVerification app in under 2 minutes.

During setup, the app asks you to create a PIN. After entry, the app *encrypts* it and saves it in the shared_prefs directory.

1. It shouldn't be encrypted at all – that's a really poor design.
2. It's not… https://t.co/z39qBdclC2 pic.twitter.com/FGRvWtWzaZ

— Paul Moore – Security Consultant  (@Paul_Reviews) April 16, 2026

Ο Moore, απευθυνόμενος στη von der Leyen με σχετικό post, κατέληξε ότι το προϊόν θα προκαλέσει αργά ή γρήγορα μια μεγάλης κλίμακας παραβίαση. Η ευπάθεια επιβεβαιώθηκε ανεξάρτητα από τον whitehat ερευνητή Baptiste Robert στο Politico, που αναπαρήγαγε τη μέθοδο παράκαμψης.

Γιατί ανησυχούν οι ειδικοί

Η εφαρμογή προωθείται ως υποδομή πανευρωπαϊκής εμβέλειας, καθώς υποτίθεται πως θα χρησιμοποιηθεί από εκατομμύρια χρήστες για πρόσβαση σε πλατφόρμες όπου απαιτείται ηλικιακός έλεγχος. Η εξάρτηση από τοπική αποθήκευση για την επιβολή μηχανισμών όπως η αυθεντικοποίηση θεωρείται γνωστό anti-pattern στον κόσμο της ανάπτυξης mobile εφαρμογών. Σε τέτοια αρχιτεκτονική, ο επιτιθέμενος που έχει έλεγχο της συσκευής παρακάμπτει ουσιαστικά τους ελέγχους του server.

Η άποψή μας στο Techblog

Το γεγονός ότι μια εφαρμογή που προορίζεται να προστατεύσει ανηλίκους σε ολόκληρη την Ευρώπη κατέρρευσε μέσα σε λίγα λεπτά δείχνει πόσο βιαστική ήταν η παρουσίαση. Το ζήτημα δεν είναι τεχνικό αλλά ουσιαστικό: όταν μια τέτοια εφαρμογή υιοθετηθεί επίσημα, ευαίσθητα δεδομένα ταυτότητας θα διακινούνται μέσω ενός συστήματος που ήδη έχει αποδειχθεί τρωτό. Η ασφάλεια δεν κερδίζεται με δημοσιεύσεις Τύπου και πολιτικές δηλώσεις — χτίζεται με αυστηρό έλεγχο κώδικα πριν από τη διάθεση.