«Сначала защищаем детей, потом следим за всеми». Павел Дуров разгромил новое приложение ЕС

Еврокомиссия только успела объявить о готовности общеевропейского приложения для проверки возраста, как вокруг проекта сразу вспыхнул спор. Павел Дуров заявил, что систему взломали за две минуты, а сама схема, по его версии, с самого начала ведет не к защите детей, а к усилению контроля над пользователями соцсетей.

Поводом стал запуск Age Verification App, приложения, которое должно подтверждать возраст без передачи лишних персональных данных платформам. Урсула фон дер Ляйен представила проект 15 апреля и назвала решение технически готовым. По замыслу Еврокомиссии, пользователь должен загрузить приложение, подтвердить возраст с помощью паспорта или ID-карты, а затем получать доступ к сервисам с возрастными ограничениями. В Брюсселе подчеркивают, что система не раскрывает лишние сведения, не позволяет отслеживать активность и работает на телефонах, планшетах и компьютерах.

Еврокомиссия подает проект как единый европейский стандарт для сайтов и приложений, где по закону нужны возрастные ограничения. Речь идет не только о соцсетях, но и о порносайтах, азартных сервисах, покупке алкоголя и других площадках, где нужно доказать совершеннолетие. В основе лежит blueprint, техническая схема, которую комиссия опубликовала еще летом 2025 года. Решение сделали открытым, чтобы код могли проверить государства, разработчики и частные компании, а страны ЕС при желании встроили механизм в национальные цифровые кошельки. В числе первых участников проекта названы Франция, Дания, Греция, Италия, Испания, Кипр и Ирландия.

Официальная логика Брюсселя строится вокруг защиты детей. Фон дер Ляйен в заявлении напомнила о травле в сети, хищническом поведении взрослых, вредном контенте и зависимых механиках соцсетей, вроде бесконечной ленты и коротких роликов. Еврокомиссия считает, что цифровые платформы слишком долго перекладывали ответственность на родителей, поэтому в ЕС решили продвигать общий механизм проверки возраста и одновременно жестче требовать от сервисов соблюдения правил.

Но почти сразу после презентации проект попал под резкую критику. Cybernews пишет, что консультант по безопасности Пол Мур смог обойти защиту меньше чем за две минуты и назвал проблему не случайной ошибкой, а слабой архитектурой. По его описанию, приложение хранит зашифрованный PIN локально, причем защита PIN не привязана к хранилищу личности, где лежат чувствительные данные. Из-за такой схемы достаточно удалить из конфигурационных файлов значения, связанные с PIN, перезапустить приложение и задать новый код, сохранив доступ к уже созданным учетным данным.

На замечаниях о PIN претензии не закончились. По словам Мура, счетчик неудачных попыток ввода тоже хранится в редактируемом конфигурационном файле. Если сбросить значение до нуля, приложение забывает, сколько раз пользователь уже ошибался. Биометрическая защита, как утверждает исследователь, контролируется одним логическим флагом: переключение параметра с true на false отключает биометрическую проверку. Критики проекта после публикации заметили, что такие механизмы нельзя оставлять в зоне, доступной самому владельцу устройства, и спросили, почему разработчики не задействовали защищенные аппаратные модули смартфонов.

Дуров раскритиковал не только сам взлом, но и всю идею европейской возрастной верификации. В своем посте предприниматель написал, что приложение для проверки возраста «было взломано намеренно», потому что система доверяла устройству, а такой подход, по его словам, означает мгновенный провал. Дальше Дуров изложил свою версию происходящего почти по шагам: сначала чиновники презентуют «уважающее конфиденциальность», но взламываемое приложение, потом получают взлом, а затем отменяют конфиденциальность, чтобы «исправить» систему. Результатом, по формулировке Дурова, становится инструмент слежки, который подают как решение, уважающее конфиденциальность. Предприниматель также заявил, что европейским бюрократам была нужна причина, чтобы тихо начать превращать приложение для проверки возраста в механизм слежки за всеми европейцами, пользующимися социальными сетями, а сегодняшний «удивительный взлом» как раз дал им такой повод.

Пока в заявлении Еврокомиссии говорят прямо противоположное. На официальном сайте ведомства сказано, что решение соответствует максимально возможным стандартам приватности, не позволяет отслеживать действия пользователей и не раскрывает дополнительных персональных данных. Там же подчеркивают, что открытый исходный код нужен именно для прозрачности, а разработчики приложений и государства не смогут убрать встроенные механизмы защиты конфиденциальности, даже если адаптируют систему под свои нужды.