L'app de vérification d'âge de l'UE hackée en 2 minutes chrono
La Commission européenne voulait frapper fort avec son application de vérification d'âge. Résultat : moins de 2 minutes ont suffi à un expert pour la compromettre. Le projet, lancé officiellement le 15 avril 2026 par Ursula von der Leyen en personne, se retrouve sous le feu des critiques avant même d'avoir atteint le grand public.
Le consultant en cybersécurité Paul Moore a publié sur X une démonstration glaçante. En explorant les fichiers de configuration de l'app, il découvre que le code PIN et les données biométriques sont stockés en clair dans un simple fichier local sur l'appareil. Un attaquant ayant accès physique au téléphone peut modifier ou supprimer ces données, puis utiliser le certificat numérique volé sans restriction.
Deuxième faille, tout aussi sérieuse : les données biométriques persistent bien au-delà de leur utilité. La photo du passeport peut rester indéfiniment dans le cache en cas de bug ou d'interruption. Les selfies pris lors de la vérification sont stockés en mémoire, sans limite de durée. Aucun mécanisme de purge automatique n'est prévu.
Pour rappel, ce projet est né du Digital Services Act, entré en application en février 2024, qui oblige les plateformes à lutter contre les contenus illicites. La vérification d'âge des mineurs en ligne est l'une des mesures phares. L'app a été développée par Scytales et T-Systems et testée depuis un an dans plusieurs pays pilotes dont la France.
Le problème n'est pas technique au sens ordinaire du terme. C'est une erreur de conception fondamentale : une cryptographie robuste ne sert à rien si l'authentification est stockée en clair sur l'appareil. C'est l'équivalent d'un coffre-fort blindé avec la combinaison collée dessus.
Le timing est particulièrement embarrassant. Von der Leyen avait déclaré le dispositif « techniquement prêt à être mis en œuvre ». Les spécifications techniques et le code source étant publics, les chercheurs en sécurité ont eu tout le loisir de tester, et les résultats sont sans appel.
La question qui divise les experts : ces failles sont-elles corrigeables par des patchs ou révèlent-elles une limite structurelle du projet ? La réponse conditionne la crédibilité du futur portefeuille d'identité numérique européen, un chantier bien plus vaste dans lequel cette app n'est qu'une première brique.
Ce que ça change : si l'UE ne peut pas sécuriser une app de vérification d'âge, sa capacité à déployer un portefeuille d'identité numérique fiable pour 450 millions de citoyens est sérieusement en question. La confiance se construit sur des preuves, pas sur des communiqués de presse.
