Verificación de edad online: un tesoro de datos para hackers

La creciente implementación de procesos de verificación de edad en diversas plataformas ha generado una preocupación significativa en torno a la seguridad de los datos personales. Estos procesos, que buscan asegurar que los usuarios cumplen con la edad requerida para acceder a ciertos contenidos, utilizan métodos que van desde el análisis de fotos hasta la solicitud de identificaciones oficiales.

Por ejemplo, se ha comenzado a utilizar inteligencia artificial para determinar si una fotografía de un usuario es adecuada para la edad que dice tener. Además, se solicita a los usuarios que proporcionen documentos de identidad, como licencias de conducir o pasaportes, y en algunos casos, incluso tarjetas de crédito verificadas.

Sin embargo, la cantidad de datos personales involucrados en estos procesos de verificación de edad se ha convertido en un verdadero tesoro para hackers. Recientes incidentes han puesto de manifiesto las preocupaciones sobre la privacidad y la seguridad en torno a la verificación de edad.

En octubre de 2025, la plataforma de chat y redes sociales Discord, popular entre los gamers, sufrió un ataque cibernético que resultó en la extracción de una cantidad no especificada de datos. La compañía identificó que aproximadamente 70,000 usuarios a nivel global podrían haber tenido sus identificaciones fotográficas expuestas a los hackers. Este acceso se produjo a través de un proveedor de servicios externo, aunque los detalles sobre cómo ocurrió la brecha siguen siendo inciertos.

La verificación de edad en el Reino Unido fue implementada por Discord para cumplir con la Ley de Seguridad Online, que exige que los sitios que permiten contenido para adultos implementen controles de edad antes del 25 de julio de 2025.

En julio de 2025, la aplicación Tea, que permite a las mujeres compartir información de manera anónima sobre sus citas, también fue hackeada. Esta aplicación requiere una selfie y una identificación fotográfica para registrarse. La brecha reveló estas fotos junto con contenido y mensajes.

Consecuencias graves

Estos incidentes resaltan problemas relacionados con el cumplimiento de las políticas de privacidad de los sitios web, las prácticas de seguridad y la legislación general sobre protección de datos (GDPR). Cuando Discord implementó la verificación de edad, su sitio de soporte afirmó que no almacena de forma permanente documentos de identidad o selfies de video. Aseguró que las imágenes de los documentos de identidad y las selfies utilizadas para la verificación de edad se eliminan inmediatamente después de confirmar el grupo de edad del usuario.

Las consecuencias de tales brechas pueden ser graves. Las imágenes filtradas de selfies e identificaciones pueden llevar a los usuarios a enfrentar una variedad de daños, como el robo de identidad y el fraude. El tipo de datos que se hackean también facilita formas particularmente sofisticadas de estos crímenes, especialmente considerando la disponibilidad de tecnología de deepfake y herramientas de inteligencia artificial generativa.

De hecho, los proveedores de servicios externos han representado una vulnerabilidad constante que los ciberdelincuentes han explotado, como se ha visto en recientes brechas que afectaron al Ministerio de Defensa del Reino Unido, al supermercado Co-op y a M&S, por nombrar algunos.

La proliferación de controles de edad en los últimos años es en parte una respuesta a nuevas legislaciones, como la Ley de Seguridad y Regulación del Espacio Digital de Francia, la Ley de Servicios Digitales de la Comisión Europea y las Leyes de Seguridad Online en el Reino Unido y Australia. Todas estas legislaciones consideran inadecuados los controles donde los usuarios declaran su edad por sí mismos. En cambio, requieren que los sitios utilicen métodos más efectivos, como la verificación de identificación fotográfica o controles de tarjetas de crédito.

En un comunicado de prensa reciente, el Departamento de Ciencia, Innovación y Tecnología del Reino Unido intentó abordar las preocupaciones de ciberseguridad y privacidad que surgen de tales controles. La guía del departamento establece que cualquier medida implementada por las plataformas para confirmar la edad de un usuario debe hacerse "sin recopilar o almacenar datos personales, a menos que sea absolutamente necesario".

Esto reitera las normas de la legislación GDPR de la UE. Se ofrece más orientación por parte de la Oficina del Comisionado de Información del Reino Unido y el regulador, Ofcom.

Sin embargo, las brechas de Tea y Discord destacan la incapacidad de los reguladores para prevenir la retención de datos o hacer cumplir la eliminación de datos en la práctica. Esto es particularmente relevante cuando los terceros se encuentran fuera del Reino Unido.

Los incidentes demuestran que la implementación y uso de la verificación de edad requiere una revisión genuina; una regulación adicional sobre el manejo de datos con poderes de aplicación, más allá de meras orientaciones. Esto es necesario para salvaguardar la privacidad, especialmente cuando están involucradas empresas de terceros.

Temas