De Britse overheid heeft een nieuwe wet op leeftijdsverificatie ingevoerd via de Online Safety Act 2023, die per 25 juli 2025 van kracht is geworden.
Deze regels verplichten gebruikers te bewijzen dat ze ouder zijn dan 18 jaar voordat ze toegang krijgen tot bepaalde online inhoud. Voornamelijk pornografische websites of platforms die zelfbeschadiging, zelfmoord, eetstoornissen en ander potentieel schadelijk materiaal promoten.
Het doel van het Britse systeem voor leeftijdsverificatie op internet is kinderen te beschermen tijdens het surfen.
Hoewel het doel om kinderen te beschermen positief is, betekent nauwkeurige leeftijdsverificatie vaak dat gevoelige persoonsgegevens worden blootgesteld. Deze controles brengen nieuwe cybersecurityrisico's en privacyzorgen met zich mee.
Hoe het Britse systeem voor leeftijdsverificatie op internet werkt
- Gebruikers moeten hun leeftijd bewijzen om toegang te krijgen tot websites met volwasseneninhoud of websites die schadelijke onderwerpen promoten
- Websites moeten strikte methoden gebruiken om de leeftijd van gebruikers te verifiëren, zoals:
- Het uploaden van een identiteitsbewijs (paspoort of rijbewijs)
- Een selfie maken en software gebruiken om de leeftijd te verifiëren via gezichtspatroonherkenning
- Je leeftijd bevestigen met een credit- of debetkaart
- Platforms zoals Reddit, X (Twitter) en andere multifunctionele websites moeten ervoor zorgen dat minderjarigen geen volwasseneninhoud kunnen bekijken.
- Niet-conforme websites kunnen:
- Geblokkeerd worden in het VK
- Een boete krijgen van maximaal £18 miljoen of 10% van de wereldwijde omzet
Wat dit in de praktijk betekent (en voor cybersecurity)
1. Mensen zullen VPN's gebruiken om de Britse leeftijdsverificatiewetten te omzeilen
Websites gebruiken het IP-adres van de aanvrager om te verifiëren waar het verzoek vandaan komt, wat eenvoudig te omzeilen is. Om deze controles te vermijden, wenden veel gebruikers zich tot VPN's en wijzigen ze hun locatie naar buiten het VK. Zoekdata in de App Store wijzen al op een significante toename in VPN-downloads na de uitrol.
2. Opkomst van nep-VPN-sites, phishingpagina's en malware
Cybercriminelen zijn op de hoogte van deze verandering en lanceren al nep-VPN-diensten gericht op minderjarigen en phishingwebsites die echte leeftijdsverificatieportalen nabootsen.
Deze bevatten meestal spyware, malware of cryptominers.
Zelfs Google Search-advertenties hebben in het verleden kwaadaardige gesponsorde links bevat die leidden naar gevaarlijke downloads. De kans is groot dat we dit opnieuw zullen zien.
Dit opent de deur voor een sterke toename van identiteitsdiefstal, het oogsten van inloggegevens en malware-infecties, met name onder gebruikers die verificatie proberen te vermijden.
3. Kwaadaardige JavaScript en misbruik van scripts van derden
Veel websites besteden leeftijdscontroles uit aan SDK's van derden of ingebedde widgets. Dit introduceert enorme client-side supply chain-risico's. Net als bij andere afhankelijkheden kunnen aanvallers Magecart-stijl aanvallen uitvoeren om het volgende te verzamelen:
- Geüploade foto-ID's
- Creditcardgegevens
- Geüploade selfies
- Andere persoonsgegevens
Voorbeelden van een aanvalsmethode:
- Kwaadaardige
<script>-tags injecteren in verificatiestromen - Nep-
<input>-overlays gebruiken om identiteitsformulieren te spoofen - De DOM manipuleren om gegevens te exfiltreren voordat ze worden versleuteld of verzonden
Dit is allemaal goed bekend in de client-side security-wereld, waar het de meest voorkomende aanval is geworden. En een die traditionele audits vaak missen.
4. Gevaarlijke browserextensies
Opnieuw terug naar het punt over VPN's: gebruikers die beperkingen proberen te omzeilen, installeren mogelijk dubieuze VPN-browserextensies. We schreven onlangs precies waarom browserextensies zo gevaarlijk zijn.
Ze kunnen:
- Verkeer kapen
- Advertenties of affiliate-links injecteren
- Browsegeschiedenis loggen
- Worden verkocht aan kwaadwillenden — dit is gangbare praktijk
5. API- en token-exploits
Overal waar persoonsgegevens worden verzameld, zullen aanvallen volgen. Zoals we zagen bij de recente Tea-app: hun backend werd gehackt en alle persoonsgegevens van gebruikers werden gelekt. Net als het Britse systeem voor leeftijdsverificatie op internet verzamelde Tea ook verificatie via foto-ID en andere persoonlijke informatie. Omdat platforms zelf verantwoordelijk zijn voor deze leeftijdsverificatie, betekent dat simpelweg meer doelwitten voor mogelijke aanvallen.
Toekomstige dreigingen die we kunnen verwachten
Best practices
Voor gebruikers:
- Gebruik alleen betrouwbare VPN-aanbieders
- Upload nooit identiteitsdocumenten naar niet-geverifieerde websites
- Vermijd het installeren van browserextensies van onbekende ontwikkelaars en controleer of de extensie positieve en legitieme beoordelingen heeft
- Verwijder regelmatig cookies en sessiegegevens. Dit helpt passieve tracking en blootstelling aan cross-site datalekken te verminderen
Voor ontwikkelaars:
- Auditeer alle JavaScript-bibliotheken en SDK's van derden. Client-side, middleware en server-side
- Implementeer een strikte Content Security Policy (CSP)-strategie — indien mogelijk
- Gebruik Subresource Integrity (SRI) — indien mogelijk
- Stel Cross-Origin Resource Sharing (CORS) in
- Voorkom Cross-Site Scripting (XSS) door gebruikersinvoer te sanitizen en veilige templating-frameworks te gebruiken
- Voeg een beveiligd tokensysteem toe
- Monitor de DOM en netwerkverzoeken
cside kan helpen bij een aantal van deze maatregelen.
