El gobierno del Reino Unido creó una nueva ley de verificación de edad en el marco de la Online Safety Act 2023, que entró en vigor el 25 de julio de 2025.
Estas normas exigen que los usuarios demuestren ser mayores de 18 años antes de acceder a determinados contenidos en línea, principalmente sitios web pornográficos o plataformas que promuevan la autolesión, el suicidio, los trastornos alimentarios y otro material potencialmente dañino.
El objetivo del sistema de verificación de edad en internet del Reino Unido es proteger a los menores que navegan por la red.
Aunque el propósito de proteger a los menores es positivo, una verificación de edad rigurosa implica con frecuencia exponer información personal sensible. Estas comprobaciones traen consigo nuevos riesgos de ciberseguridad y preocupaciones sobre la privacidad.
Cómo funciona el sistema de verificación de edad en internet del Reino Unido
- Los usuarios deben demostrar su edad para acceder a sitios web con contenido para adultos o que promuevan temas perjudiciales.
- Los sitios web deben emplear métodos estrictos para verificar la edad de los usuarios, como:
- Subir un documento de identidad (pasaporte o permiso de conducir)
- Hacerse un selfie y usar software para verificar la edad mediante reconocimiento facial
- Confirmar la edad con una tarjeta de crédito o débito
- Plataformas como Reddit, X (Twitter) y otros sitios de uso general deben garantizar que los menores no puedan ver contenido para adultos.
- Los sitios web que no cumplan pueden ser:
- Bloqueados en el Reino Unido
- Multados con hasta 18 millones de libras o el 10 % de los ingresos globales
Qué significa esto en la práctica (y para la ciberseguridad)
1. Los usuarios recurrirán a VPN para eludir las leyes de verificación de edad del Reino Unido
Los sitios web utilizan la IP del solicitante para verificar el origen de la solicitud, algo que se puede eludir fácilmente. Para evitar estas comprobaciones, muchos usuarios están recurriendo a VPN y cambiando su ubicación aparente fuera del Reino Unido. Los datos de búsqueda en la App Store ya muestran un aumento significativo en las descargas de VPN tras el despliegue de la ley.
2. Proliferación de sitios VPN falsos, páginas de phishing y malware
Los ciberdelincuentes son conscientes de este cambio y ya están lanzando servicios VPN falsos dirigidos a menores y sitios de phishing que imitan portales reales de verificación de edad.
Estos suelen contener spyware, malware o mineros de criptomonedas.
Incluso los anuncios de Google Search han mostrado en el pasado enlaces patrocinados maliciosos que conducen a descargas peligrosas. Es probable que volvamos a ver esto.
Esto abre la puerta a un fuerte aumento del robo de identidad, la recolección de credenciales y las infecciones por malware, especialmente entre los usuarios que intentan evitar la verificación.
3. JavaScript malicioso y abuso de scripts de terceros
Muchos sitios web externalizan las comprobaciones de edad a SDKs de terceros o widgets integrados. Esto introduce enormes riesgos en la cadena de suministro del lado del cliente. Al igual que con otras dependencias, los atacantes pueden lanzar ataques al estilo Magecart para recopilar:
- Documentos de identidad subidos como foto
- Datos de tarjetas de crédito
- Selfies subidos
- Otra información personal
Ejemplos de métodos de ataque:
- Inyectar etiquetas
<script>maliciosas en los flujos de verificación - Usar superposiciones
<input>falsas para suplantar formularios de identidad - Manipular el DOM para exfiltrar datos antes de que se cifren o envíen
Todo esto es bien conocido en el ámbito de la seguridad del lado del cliente, donde se ha convertido en el ataque más habitual, y uno que las auditorías tradicionales suelen pasar por alto.
4. Extensiones de navegador peligrosas
Volviendo al punto de las VPN, los usuarios que intentan saltarse las restricciones pueden instalar extensiones de navegador VPN de dudosa procedencia. Recientemente escribimos en detalle sobre por qué las extensiones de navegador son tan peligrosas.
Pueden:
- Secuestrar el tráfico
- Inyectar anuncios o enlaces de afiliados
- Registrar el historial de navegación
- Ser vendidas a actores maliciosos — es una práctica habitual
5. Exploits de API y tokens
Allí donde se recopila información de identificación personal (PII), los ataques no tardan en aparecer. Como vimos recientemente con la aplicación Tea, su backend fue vulnerado y toda la PII de los usuarios quedó expuesta. De forma similar al sistema de verificación de edad en internet del Reino Unido, Tea también recopilaba verificación mediante foto de documento de identidad y otra información personal. Dado que las propias plataformas son responsables de esta verificación de edad, eso simplemente significa más objetivos para posibles ataques.
Amenazas futuras que podemos esperar
Buenas prácticas
Para usuarios:
- Utiliza únicamente proveedores de VPN de confianza
- Nunca subas documentos de identidad a sitios web no verificados
- Evita instalar extensiones de navegador de desarrolladores desconocidos y asegúrate de que la extensión tenga reseñas positivas y legítimas
- Borra regularmente las cookies y los datos de sesión. Esto ayuda a reducir el rastreo pasivo y la exposición a filtraciones de datos entre sitios
Para desarrolladores:
- Audita todas las bibliotecas JavaScript y SDKs de terceros: lado del cliente, middleware y lado del servidor
- Implementa una estrategia estricta de Content Security Policy (CSP), si es posible
- Usa Subresource Integrity (SRI), si es posible
- Configura Cross-Origin Resource Sharing (CORS)
- Prevén el Cross-Site Scripting (XSS) saneando la entrada del usuario y usando frameworks de plantillas seguros
- Añade un sistema de tokens seguros
- Monitoriza el DOM y las solicitudes de red
cside puede ayudarte con varios de estos puntos.
