EU aplikacija za provjeru dobi pada pred istraživačima prije nego što je uspjela steći zamah

Novopokrenutu standardiziranu alatku Europske unije za provjeru dobi jedva su uspjeli pokrenuti prije nego što su sigurnosni konzultanti pronašli način kako je zaobići. Dana 18. travnja 2026., istraživači su javno objavili da aplikacija sadrži kritične ranjivosti, demonstrirajući da se osjetljivim podacima o identitetu pohranjenima na uređajima korisnika može pristupiti u manje od dvije minute. Za alatku osmišljenu da provodi dobna ograničenja na razini cijelog kontinenta na platformama društvenih mreža i stranicama za odrasle, tajming nije mogao biti štetniji.

Aplikacija je trebala služiti kao jedinstveni mehanizam za provjeru dobi korisnika u državama članicama EU-a, kao dio širih napora za regulaciju mrežnog sadržaja i zaštitu maloljetnika. Umjesto toga, njezin problematičan debi ponovno je potaknuo dugogodišnju raspravu o tome može li se centraliziranim sustavima digitalnog identiteta ikada osigurati dovoljna sigurnost koja bi opravdala kompromise privatnosti koje zahtijevaju.

Što je provala zapravo otkrila

Temeljni problem koji su istraživači istaknuli nije jednostavno pitanje programskih grešaka. Ranjivost ukazuje na strukturni problem o kojemu zagovornici privatnosti upozoravaju godinama: kada izgradite sustav koji zahtijeva od milijuna ljudi da pohrane provjerene podatke o identitetu u jednom standardiziranom formatu, stvarate iznimno privlačnu metu.

Sigurnosni konzultanti uspjeli su doći do osjetljivih podataka o identitetu pohranjenih lokalno na uređajima za manje od dvije minute. Ta brzina je važna. Sugerira da zaštitne mjere koje su bile uspostavljene nisu bile samo nesavršene, već fundamentalno neadekvatne za osjetljivost podataka o kojima je riječ. Podaci o identitetu povezani s vladinom evidencijom nisu isto što i procurjela e-mail adresa. Jednom izloženi, ne mogu se promijeniti.

Zagovornici privatnosti iskoristili su ovaj incident kako bi argumentirali da provala nije bila anomalija, već predvidljiv ishod. Centralizirani ili standardizirani sustavi digitalnog identiteta po svojoj prirodi koncentriraju rizik. Što alat postaje šire prihvaćen, napadačima je vrjedniji za probijanje, a šteta je veća kada uspiju.

Šira rasprava o obveznoj provjeri dobi

Provjera dobi kao koncept uživa široku političku podršku diljem Europe. Cilj sprječavanja pristupa maloljetnika štetnom sadržaju nije kontroverzan. Metoda, međutim, bila je izvor trenja otkako su regulatori počeli izrađivati prijedloge.

Kritičari su dosljedno isticali da svaki sustav koji od korisnika zahtijeva da dokažu svoju dob također zahtijeva od tih korisnika da predaju podatke za identifikaciju. Ti podaci moraju biti negdje pohranjeni, obrađeni i preneseni. Svaki od tih koraka uvodi točku kvara. Pitanje zapravo nikad nije bilo može li doći do provale, već kada će se to dogoditi i koliko ozbiljna će biti.

EU-ova alatka osmišljena je s praktičnošću i standardizacijom na umu, s ciljem zamjene mozaika nacionalnih pristupa jednim provjerenim sustavom. Ta ambicija, iako razumljiva iz regulatorne perspektive, pojačala je rizik. Jedan manjkavi standard, primijenjen u velikom opsegu, znači jednu točku kvara koja istovremeno pogađa korisnike u više zemalja.

Što to znači za vas

Ako ste stanovnik države članice EU-a ili netko tko koristi platforme koje će vjerojatno implementirati ovaj sustav provjere, implikacije vrijedi ozbiljno uzeti u obzir.

Prvo, neposredna briga: ako ste preuzeli i koristili aplikaciju otprilike u trenutku njezina pokretanja, vrijedi pregledati koja su joj dopuštenja bila dodijeljena i koje je podatke možda pohranila ili prenijela. Praćenje vijesti od istraživača i svakog službenog odgovora vlasti EU-a bit će važno u nadolazećim danima.

Šire gledano, ovaj incident korisni je podsjetnik da sukladnost s vladinom obveznom digitalnom uslugom ne znači sigurnost. Regulatorno odobrenje i sigurnost nisu ista stvar. Alat može biti zakonski obavezan i tehnički opasan u isto vrijeme.

Postavlja i legitimna pitanja o tome što se događa s podacima o identitetu nakon što posluže svojoj svrsi provjere. Sustavi provjere dobi koji se oslanjaju na vjerodajnice povezane s vladom stvaraju zapise o tome kada i gdje ste tražili pristup određenom sadržaju. Čak i bez provale, taj podatkovni trag ima implikacije na privatnost koje nadilaze neposrednu transakciju.

Praktični zaključci

  • Budite oprezni s novim obveznim digitalnim alatima. Vladina obveza ne jamči sigurnost. Pričekajte neovisne sigurnosne preglede prije nego što aplikaciji povjerite osjetljive osobne podatke, ako postoje alternative.
  • Redovito provjeravajte dopuštenja aplikacija. Aplikacije za provjeru identiteta često traže široki pristup. Pregledajte i ograničite dopuštenja gdje je moguće, te uklonite aplikacije koje više ne koristite.
  • Pratite ažuriranja od vjerodostojnih sigurnosnih istraživača. Konzultanti koji su pronašli ovu ranjivost učinili su to brzo. Praćenje neovisnih istraživačkih zajednica za sigurnost daje vam rano upozorenje koje službeni kanali možda neće pružiti.
  • Razumijte koje podatke predajete. Prije korištenja bilo kojeg sustava za provjeru, pokušajte razumjeti koje informacije prikuplja, gdje se te informacije pohranjuju i koliko dugo se čuvaju.
  • Zagovarajte standarde privatnosti po dizajnu. Najtrajniji popravak za ovakve incidente nije bolje krpanje nakon činjenice, već izgradnja sustava koji od početka prikupljaju minimum potrebnih podataka. Podržavanje organizacija koje zagovaraju te standarde je važno.

Posrtanje EU-ove aplikacije za provjeru dobi studija je slučaja o tome što se dogodi kada se opsegu i brzini daje prednost nad sigurnosnom arhitekturom. Istraživači koji su pronašli grešku učinili su to za nekoliko minuta. To nije mala marža greške; to je signal da temeljne pretpostavke o načinu na koji je sustav izgrađen zaslužuju preispitivanje. Kako sustavi digitalnog identiteta postaju sve učestaliji diljem Europe i šire, ulozi vezani uz njihovo pravilno oblikovanje samo će rasti.