Aplikasi Verifikasi Usia UE Berhasil Dibobol, Privasi Terancam

Telset.id – Aplikasi verifikasi usia yang diluncurkan Komisi Eropa untuk melindungi anak-anak di internet justru terbukti mudah dibobol. Seorang pakar keamanan dengan pengalaman lebih dari 20 tahun, Paul Moore, berhasil melewati sistem verifikasi tersebut hanya dalam hitungan menit menggunakan ekstensi Chrome. Kegagalan ini memicu kekhawatiran bahwa langkah selanjutnya yang diambil regulator justru akan menggerus privasi pengguna.

Moore pertama kali membobol aplikasi tersebut pada April 2026, tak lama setelah Komisi Eropa meluncurkannya. Ia kembali melakukannya dengan versi terbaru aplikasi, yang diberi nama EU age verification app (2026.07-1). “Bypassing the latest EU age verification app (2026.07-1) with a Chrome extension,” tulisnya di X. Pengalamannya membuatnya menyimpulkan: “anonymous age verification doesn’t work” atau verifikasi usia anonim tidak berhasil.

## Pendekatan Privasi ala Komisi Eropa

Sebagian besar metode verifikasi usia saat ini mengharuskan pengguna memindai dokumen identitas nasional atau data biometrik. Pendekatan ini menempatkan data sensitif pengguna pada risiko. Sebagai contoh, kebocoran data yang menimpa penyedia verifikasi usia Discord tahun lalu mengekspos dokumen identitas pemerintah dan data pribadi 70.000 orang.

Untuk mengatasi masalah tersebut, Komisi Eropa mengembangkan template alat open-source yang mengutamakan privasi. Negara anggota Uni Eropa dapat menggunakan template ini untuk membangun aplikasi nasional mereka sendiri. Proses ini merupakan bagian dari proyek European Digital Identity Wallet (EUDI) yang lebih besar.

Aplikasi ini memanfaatkan zero-knowledge proofs (ZKPs) dan verifiable credentials (VCs) untuk memverifikasi usia seseorang tanpa membagikan informasi sensitif. Cara kerjanya, ponsel memindai identitas pengguna dan menyimpan data tersebut secara lokal. Situs web kemudian meminta pengguna memindai kode QR melalui aplikasi untuk membuktikan usia mereka sebelum mengakses konten tertentu.

Juru bicara Komisi Eropa menegaskan bahwa layanan online tidak akan menerima informasi pribadi pengguna. “The age proof simply confirms whether the user meets the age requirement,” ujarnya. Moore sendiri tidak membantah kredensial privasi dari proses tersebut. Namun, ia justru menilai pendekatan ini tidak akan berhasil.

## Mengapa Verifikasi Usia Anonim Gagal?

Menurut Moore, pemeriksaan usia harus terikat dengan identitas seseorang agar dapat dipercaya. “The second you strip the identity away from how old somebody is, a person can’t answer that question,” jelasnya. Sejak peluncuran April lalu, kredensial keamanan alat ini memang telah ditingkatkan. Namun, Moore menegaskan bahwa masalahnya bukan pada bug, melainkan keseluruhan proses yang ia sebut sebagai “security theater.”

Cara Moore membobol aplikasi tersebut terbilang sederhana. Ia membangun dua ekstensi Chrome menggunakan Claude hanya dalam hitungan menit. Ekstensi pertama mereplikasi aplikasi Android tetapi tanpa pemeriksaan identitas. Pengguna tidak perlu memindai dokumen sama sekali. “It detects the QR code automatically (when presented by a website) and passes verification,” kata Moore. Seluruh proses berjalan otomatis tanpa perlu interaksi setelah ekstensi terpasang.

Pada minggu terakhir Juli 2026, Moore melangkah lebih jauh dengan membangun ekstensi Chrome yang mampu menangkap kode QR dari situs web dan meneruskannya secara otomatis ke ponsel jarak jauh untuk mendapatkan tanda tangan asli dalam hitungan detik. Serangan yang dikenal sebagai ‘automated relay bypass’ ini membuat tidak ada satu pun elemen dalam proses yang dipalsukan, sehingga pencegahan hampir mustahil dilakukan. “Even after they enable all other protection mechanisms, both will continue to work,” tegas Moore.

## Respons Komisi Eropa dan Risiko Privasi

Ketika ditanya apakah ada langkah untuk mencegah penghindaran sistem, juru bicara Komisi Eropa menyatakan: “We of course rely also on parents and caretakers to check what children are doing online.” Tujuan aplikasi ini adalah “avoiding the unintended exposure of kids to inappropriate content.”

Namun, Moore menilai fokus para pembuat kebijakan keliru. “What [lawmakers] are missing is that the threat actor isn’t a third party; the threat actor is the user. They don’t want age verification in the first place, so they are going to look for ways to bypass the system. And if the system can be bypassed by design, they will do it.”

Kekhawatiran Moore melampaui sekadar sistem yang tidak efektif. Ia khawatir ketidakefektifan aplikasi ini justru mendorong pembuat kebijakan beralih ke pemeriksaan yang lebih invasif, yang pada akhirnya mengikis privasi masyarakat. “All it is an escalation path being drip-fed, bit by bit under the guise of child safety,” katanya. “The next step will be proving who you are.”

Masalah fundamental terletak pada desain aplikasi yang mengandalkan client-side trust. Aplikasi ini memang lebih menjaga privasi dibandingkan paspor dan pemindaian wajah karena data tidak meninggalkan perangkat pengguna. Namun, justru inilah alasan implementasinya diprediksi gagal. Jika tidak ada data yang keluar dari perangkat, tidak ada cara untuk memercayai atau memverifikasi apa yang telah diperoleh.

Ketika aplikasi anonim ini gagal menjauhkan anak-anak dari situs terbatas, Moore meyakini Brussels tidak akan menyerah pada inisiatif keselamatan andalannya. “For them to push ahead with it under the guise of child safety is an escalation path to say we’ve tried this; the natural route is now you’ve got to prove your identity,” jelasnya.

## Masa Depan Verifikasi Usia dan Privasi

Verifikasi usia dipastikan akan tetap ada meskipun terus mendapat tentangan dari advokat privasi, teknolog, dan ilmuwan data yang memperingatkan bahwa sistem ini mungkin lebih banyak mudaratnya daripada manfaatnya. Bagi Moore, bahaya terbesar adalah apa yang saat ini dipasarkan sebagai terobosan yang mengutamakan privasi justru pada akhirnya digunakan untuk merusak privasi di masa depan.

Kekhawatiran ini sejalan dengan meningkatnya tekanan regulasi terhadap alat privasi digital. Regulasi yang semakin ketat berpotensi mendorong pengguna beralih ke solusi yang lebih aman. Situasi serupa juga terjadi di berbagai negara yang mulai membatasi akses terhadap layanan tertentu demi alasan keamanan anak.

Pelajaran penting dari kasus ini adalah bahwa teknologi verifikasi usia yang mengandalkan kepercayaan pada perangkat pengguna memiliki kelemahan mendasar. Selama pengguna memiliki motivasi untuk menghindari sistem, dan sistem tersebut dapat dilewati secara teknis, maka efektivitasnya akan selalu dipertanyakan. Pertanyaan besarnya kini beralih pada sejauh mana regulator bersedia mempertahankan pendekatan yang menghormati privasi, atau justru tergoda untuk menerapkan kontrol yang lebih ketat.