Дуров: «взлом за две минуты» похоронил идею приватности в ЕС

Европейская комиссия представила приложение для проверки возраста с заявленной полной анонимностью, однако уже через два дня после релиза специалист по безопасности продемонстрировал возможность обхода защиты, что вызвало резкую реакцию со стороны главы Telegram Павла Дурова.

Приложение с акцентом на приватность

14 апреля 2026 года Европейская комиссия опубликовала официальное заявление о запуске приложения для подтверждения возраста пользователей в интернете. Согласно описанию, инструмент позволяет проходить проверку возраста без раскрытия дополнительных персональных данных. Пользователь может загрузить приложение, пройти настройку с использованием паспорта или ID-карты, после чего подтверждать возраст при доступе к онлайн-платформам.

Разработчики подчеркивают ключевые особенности решения:

• полная анонимность без возможности отслеживания действий пользователя;
• поддержка всех типов устройств — смартфонов, планшетов и компьютеров;
• открытый исходный код, доступный для проверки и доработки;
• интеграция с национальными цифровыми кошельками.

Франция, Дания, Греция, Италия, Испания, Кипр и Ирландия уже заявили о планах внедрения технологии в свои системы. При этом другим странам и онлайн-платформам также предоставлена возможность использовать данное решение.

Уязвимость на уровне архитектуры

16 апреля специалист по кибербезопасности Пол Мур (Paul Moore) продемонстрировал способ обхода защиты приложения. В опубликованном разборе он показал, что достаточно получить доступ к файлу shared preferences на устройстве, чтобы удалить значения зашифрованного PIN-кода, сбросить счетчик попыток входа и отключить требование биометрической аутентификации.

После выполнения этих действий и перезапуска приложения пользователь может задать новый PIN-код и получить доступ к уже подтвержденным возрастным данным. Мур подчеркнул, что речь идет о демонстрационной версии — так называемой reference implementation, предназначенной для тестирования и адаптации разработчиками в странах ЕС.

Однако ключевой вывод эксперта заключается в том, что проблема не является случайной ошибкой реализации. По его словам, уязвимость заложена в самой архитектуре, поскольку система доверяет устройству пользователя, что открывает возможности для манипуляций на локальном уровне.

Реакция Павла Дурова

17 апреля глава Telegram Дуров раскритиковал ситуацию в социальной сети X. В своем сообщении он заявил: «Приложение для проверки возраста, которое ЕС хочет навязать миру, было взломано за две минуты».

В следующем посте он добавил, что проблема носит фундаментальный характер: система изначально доверяет устройству пользователя, что делает её уязвимой на уровне архитектуры.

Дуров также изложил возможный сценарий развития ситуации:

1. представление решения с заявленной защитой приватности, но с уязвимостями;
2. публичный взлом системы;
3. пересмотр архитектуры с уменьшением уровня приватности под предлогом усиления безопасности.

По его мнению, итогом может стать инструмент надзора, который будет позиционироваться как решение, уважающее конфиденциальность пользователей.

Мнение ИИ

С точки зрения машинного анализа данных, история цифровой идентификации знает немало случаев, когда архитектурная ошибка «доверия устройству» становилась фатальной — именно эта модель угроз описана в стандарте OWASP Mobile Top 10 как одна из наиболее распространённых. Ситуация демонстрирует классическую инверсию приоритетов: политическое давление на скорость релиза опережает базовый аудит безопасности. Примечательно, что открытый исходный код — заявленное преимущество приложения — одновременно является и ускорителем поиска уязвимостей, что делает промежуток в два дня до публичного взлома не сенсацией, а вполне предсказуемым результатом.

Источник