Weryfikacja wieku. Skany dokumentów zanim wyciekną na rynek

Coraz więcej serwisów pyta o wiek nie checkboxem „mam 18 lat”, tylko skanem dowodu albo selfie z dokumentem. Politycy mówią o ochronie dzieci. Firmy mówią o compliance. Ja patrzę na to, co zostaje po weryfikacji: plik, który da się skopiować, sprzedać i zestawić z innymi bazami.

Nie piszę, jak ominąć bramkę wiekową. Piszę, dlaczego model „pokaż nam dowód osobisty, żeby wejść na stronę” jest zagrożeniem samym w sobie, zanim jeszcze ktoś włamie się do vendora.

Polityka pcha skany do vendorów

W Wielkiej Brytanii Online Safety Act wymusił na części usług surowszą weryfikację wieku, zwłaszcza przy treściach pornograficznych i przy innych kategoriach uznanych za szkodliwe dla nieletnich. W praktyce wiele serwisów oddaje to zewnętrznym dostawcom: wrzucasz zdjęcie dokumentu, algorytm porównuje twarz, dostajesz token „pełnoletni”.

W Unii Europejskiej debata o potwierdzaniu wieku wraca przy DSA i przy projektach dotyczących ochrony nieletnich w sieci. Szczegóły regulacji zmieniają się szybciej niż warto je tu cytować paragrafami. Kierunek jest stały: checkbox przestaje wystarczać regulatorom, a firmy wolą kupić gotowy silnik KYC niż budować go same.

Efekt uboczny jest przewidywalny. Skala weryfikacji tożsamości rośnie poza bankami i poza lotniskami. Trafia do serwisów, które wcześniej znały tylko mail i hasło. Im więcej miejsc prosi o ten sam dowód, tym więcej kopii tego samego skanu żyje na dyskach firm, których nazwy znasz z popupu „zweryfikuj wiek”.

RODO i brytyjskie reguły ochrony danych formalnie wymagają podstawy prawnej, minimalizacji i bezpieczeństwa. W praktyce użytkownik klika „kontynuuj”, bo chce wejść na stronę. Retencja, podwykonawcy i lokalizacja serwerów zostają w PDF-ie polityki prywatności, którego nikt nie czyta w kolejce do bramki.

Vendor widzi więcej niż „tak/nie”

Dobra weryfikacja wieku w teorii mogłaby zwracać sam atrybut: osoba ma powyżej X lat. Wiele systemów i tak zbiera obraz dokumentu, dane MRZ, zdjęcie twarzy, czasem sprawdzenie, czy przed kamerą jest żywa osoba. To wygodne dla zespołu antyfraudowego. Dla threat modelu użytkownika to magazyn dokumentów z etykietą „świeże, kolorowe, z hologramem w kadrze”.

Kiedy taki magazyn wycieka albo wycieka od partnera, nie dostajesz anonimowej listy hashów. Dostajesz skany nadające się do kradzieży tożsamości, do wniosków kredytowych, do socjotechniki wobec urzędów. Pisałem o skali tego rynku przy sprawie Nexus / IDScan: setki milionów skanów praw jazdy wystawione jako towar, zanim serwis zniknął po tekście Krebsa.

Nie musisz wierzyć każdej liczbie z oferty na forum. Wystarczy przyjąć, że popyt istnieje. Skany z weryfikacji wieku i z onboardingów KYC są dokładnie tym towarem. Im więcej państw wymaga sprawdzania wieku przez upload dokumentu, tym większy staje się zbiornik.

W dossier o skanach dokumentów zbieram wątki o tym, skąd biorą się takie zbiory i dlaczego „weryfikacja” bywa synonimem „kopiowania”. Tu zostawiam oś: polityka chroni nieletnich, infrastruktura produkuje dane osobowe.

Co grozi zwykłemu użytkownikowi

Threat model nie musi zakładać, że jesteś celem służb. Wystarczy:

• wyciek u vendora KYC albo u klienta, który trzymał kopię „na reklamację”;
• insider, który ściąga paczkę skanów;
• phishing, który podszywa się pod znaną bramkę age check i zbiera dokumenty zanim prawdziwy serwis cokolwiek zobaczy;
• łączenie skanu z innymi wyciekami (mail, numer telefonu, adres), aż powstanie paczka gotowa do oszustwa.

Selfie z dowodem w ręku jest szczególnie wartościowe dla kupującego. Potwierdza, że dokument jest „żywy” i że twarz pasuje. Dla banku to sygnał. Dla kogoś z forum to produkt premium.

Nie twierdzę, że każda weryfikacja wieku kończy się wyciekiem. Twierdzę, że przenosimy wzorzec z bankowości do serwisów o krótkiej relacji z użytkownikiem, bez tej samej kultury retencji. Bank trzyma KYC, bo musi i bo jest regulowany jak bank. Portal z paywallem wiekowym trzyma KYC, bo regulator kazał „coś zrobić”, a vendor sprzedał API.

Co da się zrobić bez obchodzenia prawa

Jeśli serwis oferuje metodę bez uploadu pełnego dowodu (np. potwierdzenie przez bankowość albo atrybut od zaufanej strony), warto sprawdzić, czy naprawdę nie zostawia kopii obrazu. Czytaj, kto jest operatorem przetwarzania. Unikaj robienia zdjęcia dokumentu „do schowka” na telefonie, które potem ląduje w galerii zsynchronizowanej z chmurą.

Dla firm: minimalizacja to nie slogan. Jeśli potrzebujesz tylko progu wieku, nie archiwizuj wielostronicowego skanu na dwa lata „na wszelki wypadek”. Token wyniku powinien wygasać. Dostęp insiderów powinien być audytowany. To nudne. Wycieki zaczynają się od nudy, której nikt nie wdrożył.

Dla legislatorów pytanie jest proste, nawet jeśli odpowiedź polityczna jest trudna: czy ochrona nieletnich wymaga, żeby dorosły zostawiał skan dowodu u trzeciej firmy przy każdym wejściu na stronę dla dorosłych? Da się wyobrazić modele z dowodem zerowej wiedzy albo z potwierdzeniem atrybutu bez kopii dokumentu. Rynek vendorów woli pełny skan, bo pełny skan sprzedaje się też do antifraud. Ochrona nieletnich i sprzedaż narzędzia antyfraudowego to dwa różne cele.

Bez tutorialu, z ostrzeżeniem

Weryfikacja wieku zostanie. Presja regulacyjna w UK i w UE nie cofnie się do checkboxa z 2010. Pytanie, czy skan dokumentu ma być domyślną walutą wejścia do sieci.

Ja zakładam, że każdy upload dowodu żyje dłużej, niż obiecuje popup. Nexus pokazał, jak wygląda popyt po drugiej stronie. Polityka age checks powiększa podaż, nawet jeśli robi to w imię ochrony dzieci. Te dwa zdania da się utrzymać naraz, bez obchodzenia żadnej bramki i bez linkowania do sklepów ze skanami.