Le gouvernement britannique a instauré une nouvelle loi sur la vérification de l'âge dans le cadre de l'Online Safety Act 2023, entrée en vigueur le 25 juillet 2025.
Ces règles obligent les utilisateurs à prouver qu'ils ont plus de 18 ans avant d'accéder à certains contenus en ligne. Il s'agit principalement des sites pornographiques ou des plateformes qui promeuvent l'automutilation, le suicide, les troubles alimentaires et d'autres contenus potentiellement nuisibles.
L'objectif du système britannique de vérification de l'âge sur Internet est de protéger les enfants qui naviguent sur le web.
Si l'intention de protéger les enfants est louable, une vérification de l'âge rigoureuse implique souvent d'exposer des informations personnelles sensibles. Ces contrôles introduisent de nouveaux risques en matière de cybersécurité et de vie privée.
Comment fonctionne le système britannique de vérification de l'âge sur Internet
- Les utilisateurs doivent prouver leur âge pour accéder aux sites web à contenu adulte ou aux sites faisant la promotion de sujets nuisibles
- Les sites web doivent utiliser des méthodes strictes pour vérifier l'âge des utilisateurs, telles que :
- Le téléchargement d'une pièce d'identité (passeport ou permis de conduire)
- La prise d'un selfie et l'utilisation d'un logiciel de vérification de l'âge par reconnaissance faciale
- La confirmation de l'âge via une carte de crédit ou de débit
- Les plateformes comme Reddit, X (Twitter) et d'autres sites polyvalents doivent s'assurer que les mineurs ne peuvent pas accéder aux contenus pour adultes.
- Les sites non conformes peuvent être :
- Bloqués au Royaume-Uni
- Sanctionnés d'une amende pouvant atteindre 18 millions de livres sterling ou 10 % du chiffre d'affaires mondial
Ce que cela signifie en pratique (et pour la cybersécurité)
1. Les utilisateurs vont recourir aux VPN pour contourner les lois britanniques sur la vérification de l'âge
Les sites web utilisent l'adresse IP du demandeur pour déterminer l'origine de la requête, ce qui est facilement contournable. Pour éviter ces contrôles, de nombreux utilisateurs se tournent vers les VPN et modifient leur localisation en dehors du Royaume-Uni. Les données de recherche sur l'App Store indiquent déjà une augmentation significative des téléchargements de VPN depuis le déploiement de la loi.
2. Multiplication des faux sites VPN, des pages de phishing et des logiciels malveillants
Les cybercriminels sont au fait de ce changement et lancent déjà de faux services VPN ciblant les mineurs ainsi que des sites de phishing imitant de véritables portails de vérification de l'âge.
Ces sites contiennent le plus souvent des logiciels espions, des logiciels malveillants ou des mineurs de cryptomonnaies.
Même les annonces Google Search ont déjà affiché des liens sponsorisés malveillants menant à des téléchargements dangereux. Il y a fort à parier que nous assisterons à nouveau à ce phénomène.
Cela ouvre la voie à une forte hausse du vol d'identité, de la collecte d'identifiants et des infections par logiciels malveillants, en particulier chez les utilisateurs cherchant à contourner la vérification.
3. JavaScript malveillant et abus de scripts tiers
De nombreux sites web externalisent les contrôles d'âge à des SDK tiers ou à des widgets intégrés. Cela introduit des risques considérables dans la chaîne d'approvisionnement côté client. Comme pour d'autres dépendances, des attaquants peuvent lancer des attaques de type Magecart pour collecter :
- Des photos de pièces d'identité téléchargées
- Des coordonnées bancaires
- Des selfies téléchargés
- D'autres informations personnelles
Exemples de méthodes d'attaque :
- Injection de balises
<script>malveillantes dans les flux de vérification - Utilisation de faux overlays
<input>pour usurper des formulaires d'identité - Manipulation du DOM pour exfiltrer des données avant leur chiffrement ou leur envoi
Tout cela est bien connu dans le domaine de la sécurité côté client, où ce type d'attaque est devenu le plus répandu — et celui que les audits traditionnels manquent le plus souvent.
4. Extensions de navigateur dangereuses
Toujours dans la continuité du point sur les VPN, les utilisateurs cherchant à contourner les restrictions peuvent installer des extensions de navigateur VPN douteuses. Nous avons récemment expliqué en détail pourquoi les extensions de navigateur sont si dangereuses.
Elles peuvent :
- Détourner le trafic
- Injecter des publicités ou des liens d'affiliation
- Enregistrer l'historique de navigation
- Être revendues à des acteurs malveillants — c'est une pratique courante
5. Exploitation des API et des tokens
Partout où des données personnelles (PII) sont collectées, les attaques se multiplient. Comme nous l'avons vu récemment avec l'application Tea, dont le backend a été compromis et toutes les données personnelles des utilisateurs ont été divulguées. À l'instar du système britannique de vérification de l'âge sur Internet, Tea collectait également des vérifications via photo d'identité et d'autres informations personnelles. Puisque les plateformes elles-mêmes sont responsables de cette vérification de l'âge, cela ne fait qu'augmenter le nombre de cibles potentielles pour des attaques.
Menaces futures à anticiper
Bonnes pratiques
Pour les utilisateurs :
- N'utilisez que des fournisseurs de VPN de confiance
- Ne téléchargez jamais de documents d'identité sur des sites web non vérifiés
- Évitez d'installer des extensions de navigateur provenant de développeurs inconnus et assurez-vous que l'extension dispose d'avis positifs et légitimes
- Effacez régulièrement les cookies et les données de session. Cela contribue à réduire le traçage passif et l'exposition aux fuites de données intersites
Pour les développeurs :
- Auditez toutes les bibliothèques JavaScript et SDK tiers — côté client, middleware et côté serveur
- Mettez en place une stratégie stricte de Content Security Policy (CSP) — dans la mesure du possible
- Utilisez la Subresource Integrity (SRI) — dans la mesure du possible
- Configurez le Cross-Origin Resource Sharing (CORS)
- Prévenez le Cross-Site Scripting (XSS) en assainissant les entrées utilisateur et en utilisant des frameworks de templating sécurisés
- Ajoutez un système de tokens sécurisés
- Surveillez le DOM et les requêtes réseau
cside peut vous aider sur plusieurs de ces points.
