L'appli de vérification d'âge de l'UE hackée en 2 minutes

L'Union européenne vient de déployer son application de vérification d'âge, présentée par Ursula von der Leyen comme "totalement anonyme". Le problème : un expert en sécurité l'a contournée en moins de 2 minutes.

Paul Moore, consultant en cybersécurité, a disséqué le code de l'appli et publié ses conclusions jeudi sur X. Son verdict est sans appel : le système peut être trompé de façon à ce que la vérification d'âge ne soit pas correctement liée à l'utilisateur réel ni à son appareil. "Ce produit sera le catalyseur d'une faille massive à un moment ou un autre", a-t-il écrit.

Pavel Durov, PDG de Telegram, a immédiatement relayé l'analyse et enfoncé le clou. Pour lui, l'appli est "hackable by design", autrement dit conçue de façon à être facilement contournée en pratique. Ce n'est pas un bug, c'est une feature — et une feature dangereuse.

La Commission européenne avait pourtant communiqué en grande pompe. La première version du système a été publiée en juillet 2025, développée en open source, avec la promesse de permettre aux utilisateurs de prouver qu'ils ont plus de 18 ans sans divulguer de données personnelles ni être tracés. Le projet est également présenté comme compatible avec les futurs portefeuilles d'identité numérique européens.

Durov va plus loin que la simple critique technique. Selon lui, les failles de sécurité ne sont pas le vrai problème — elles sont le prétexte. "Les bureaucrates de l'UE avaient besoin d'une excuse pour transformer silencieusement leur appli de vérification d'âge 'respectueuse de la vie privée' en mécanisme de surveillance de tous les Européens sur les réseaux sociaux", a-t-il déclaré sur Telegram vendredi.

L'argument est limpide : une fois que l'UE aura prouvé que le système actuel ne tient pas, elle aura le feu vert politique pour imposer une vérification d'identité bien plus intrusive sur l'ensemble des plateformes en ligne. La vérification d'âge comme cheval de Troie de la surveillance de masse.

Ce débat ne se limite pas à l'Europe. Plusieurs régions du monde poussent des systèmes similaires, et les questions sur la sécurité et l'infrastructure d'identité numérique reviennent partout. La pression réglementaire sur les plateformes est globale, et les marchés crypto ne sont pas épargnés par cette tendance à vouloir identifier les utilisateurs.

Il faut rappeler que Durov n'est pas un observateur neutre. Il est actuellement sous enquête judiciaire en France pour des infractions liées à des activités illégales facilitées via Telegram, notamment du crime organisé, de la fraude, et le refus présumé de coopérer avec les autorités. Sa défense de la vie privée numérique se double donc d'intérêts personnels évidents.

Mais cela ne rend pas son analyse fausse pour autant. Quand un expert indépendant confirme que le système est contournable en 2 minutes, la question de la crédibilité des promesses de la Commission européenne est légitime, peu importe qui la pose.

Ce que ça change : Si l'UE ne sécurise pas sérieusement ce système avant tout déploiement à grande échelle, elle offre sur un plateau l'argument parfait pour imposer une identification obligatoire et centralisée sur toutes les plateformes en ligne — exactement ce que Bruxelles jure ne pas vouloir faire.