23 de junio de 2026
La prohibición prevista por el Gobierno del Reino Unido del uso de las redes sociales por parte de menores de 16 años ha vuelto a situar en el punto de mira la verificación de la edad.
Cuando entraron en vigor los requisitos de verificación de la edad previstos en la Ley de Seguridad en Internet el 25 de julio de 2025, la intención era clara y justificable: los niños debían estar mejor protegidos frente a experiencias perjudiciales en Internet.
Sin embargo, la puesta en marcha también puso de manifiesto un reto que ahora ocupa un lugar central en la confianza digital: cuando aparecen los controles de edad, siempre surgen formas de eludirlos.
Proton VPN informó de que las altas en el Reino Unido se dispararon aproximadamente un 1.400 % cuando entraron en vigor las normas; NordVPN registró un aumento de alrededor del 1 000 %. Los datos de Ofcom mostraron que el uso diario de VPN en el Reino Unido se duplicó con creces hasta alcanzar los 1,4 millones de usuarios, antes de estabilizarse en torno a los 900 000, una cifra de referencia significativamente elevada.
El uso de Tor ha mostrado una tendencia similar en otros mercados en los que la verificación de la edad ha cobrado mayor importancia en la agenda política; los datos de Australia tras la implantación de los requisitos de verificación de edad en las redes sociales son un ejemplo de ello:
Para que quede claro, las normas también están funcionando: Ofcom ha informado de fuertes descensos en las visitas desde el Reino Unido a los principales sitios web para adultos tras la aplicación de la normativa, y las encuestas muestran que la mayoría de los británicos apoya el objetivo de la ley. La cuestión no es que la verificación de la edad no pueda funcionar. Es que, cuando los controles se basan en señales que los usuarios pueden ocultar, la misma medida puede tanto garantizar el cumplimiento como fomentar su elusión.
Leyes similares en el Reino Unido, Australia y varios estados de EE. UU. han puesto de manifiesto el mismo problema fundamental.
La cuestión no es si deberían existir leyes de verificación de la edad; la cuestión es si los enfoques actuales para garantizar la edad están poniendo de manifiesto una deficiencia más generalizada en la confianza digital.
Las VPN no eluden la verificación, sino que eluden el mecanismo de activación
La mayoría de los sistemas de verificación de edad se basan en la geolocalización de la dirección IP para decidir si solicitar al usuario que realice la verificación en primer lugar. Si un sitio web detecta una dirección IP del Reino Unido, activa una comprobación de edad. Si la dirección IP parece proceder de fuera de la jurisdicción regulada, por ejemplo, porque el usuario está conectado a través de una VPN, el proceso de verificación nunca se inicia.
Las VPN no eluden los controles de edad. Lo que hacen es eludir la condición en la que se exigen dichos controles.
No se trata de un fallo de la tecnología de verificación de identidad. Es un recordatorio de que el desencadenante es tan importante como la comprobación en sí. Si nunca se activa un proceso de verificación, ni la verificación biométrica avanzada, ni la comprobación de documentos, ni la detección de vida tienen la oportunidad de cumplir su función.
Hay una segunda cuestión de diseño que hay que tener en cuenta: no todos los métodos de verificación de la edad ofrecen el mismo nivel de certeza. Muchas soluciones implantadas para cumplir con la legislación sobre verificación de la edad son, en realidad, herramientas de estimación de la edad, que son probabilísticas y pueden no ofrecer el nivel de certeza necesario en contextos de cumplimiento normativo o de aplicación de la ley de mayor riesgo. Obtén más información en nuestro blog sobre la diferencia entre la verificación y la estimación de la edad.
El Gobierno del Reino Unido ha destacado las cifras de la AVPA, que muestran que, tras la implantación del sistema, se realizan 5 millones de comprobaciones de edad adicionales al día, lo que constituye una prueba fehaciente de que, para los usuarios a los que llega, el sistema está funcionando. Lo que esas cifras no reflejan es a todas aquellas personas que nunca se han sometido a una comprobación, ya que el uso de una VPN las situaba fuera del ámbito de aplicación del sistema.
Ese es el problema fundamental, en una sola frase: ni siquiera el sistema de verificación más sólido del mundo puede proteger un flujo que nunca llega a iniciarse.
Por qué esto es importante más allá de los límites de edad
Cuando alguien utiliza una VPN o Tor para acceder a contenidos restringidos, está utilizando herramientas de las que se valen las redes organizadas de estafadores para:
- Ocultar su ubicación al abrir cuentas bancarias fraudulentas
- Eludir los controles de geovalla en las plataformas de intercambio de criptomonedas
- Eludir las sanciones haciéndose pasar por clientes de regiones sin restricciones
- Realizar la creación masiva de cuentas desde una única ubicación física
- Comprobar si las credenciales robadas funcionan en varios servicios sin activar los controles de Velocity
La intención es diferente. Un adolescente que intenta acceder a una plataforma no es lo mismo que un delincuente que abre cuentas «mula». Pero el patrón subyacente es el mismo: ocultar la señal, evitar el disparador, eludir el control.
Ese solapamiento es la razón por la que los controles de edad son importantes más allá de la seguridad infantil. Hacen visible ante el público en general un problema de prevención del fraude. No todo el que descarga una VPN se convierte en un estafador. Por supuesto que no. Pero es un recordatorio de la facilidad con la que la gente recurre a herramientas de elusión —VPN, proxies, ubicaciones falsificadas— en cuanto un control se percibe como un obstáculo. El conjunto de herramientas se solapa con el que utilizan las operaciones de fraude a gran escala, incluso cuando la intención es completamente diferente.
Desde las VPN hasta el intercambio de caras: un amplio abanico de técnicas para eludir la identificación
Si las VPN ocultan dónde estás, el intercambio de rostros y los «deepfakes» ocultan quién eres. Las VPN muestran lo que ocurre cuando los usuarios pueden eludir el control. El intercambio de rostros muestra lo que ocurre cuando los usuarios llegan al control e intentan suplantar a otra persona.
Un personaje ficticio de un videojuego superó una verificación de edad real. Cuando Discord puso en marcha la verificación de edad facial, los usuarios descubrieron que el modo foto de Death Stranding les permitía manipular el rostro de un personaje durante el paso de «abrir y cerrar la boca» para superar la verificación (PC Gamer). La lección que se esconde tras esta broma: los controles de presencia en vivo basados en acciones predecibles y repetibles pueden ser vulnerables a la reproducción o la imitación. La presencia genuina depende de un reto que no se pueda anticipar ni reutilizar.
Esa misma trayectoria va mucho más allá de una solución provisional para el modo de juego:
- Los datos de inteligencia sobre amenazas de iProov revelaron un aumento del 1.151 % en los ataques de inyección en iOS durante la segunda mitad de 2025.
- Deloitte prevé que las pérdidas por fraude relacionadas con la IA generativa en EE. UU. pasarán de 12.3 mil millones de dólares en 2023 a 40 mil millones de dólares en 2027.
No se trata de problemas aislados. Son diferentes manifestaciones de la misma lógica fraudulenta: si un servicio digital necesita confiar en algo, los atacantes intentarán falsificarlo. La ubicación se puede ocultar. Los dispositivos se pueden manipular. Los documentos se pueden falsificar. Se pueden intercambiar rostros. Se pueden inyectar transmisiones de vídeo.
Ese es el abanico de formas de elusión de la identidad.
El único punto de referencia sólido: la presencia humana auténtica
Si todas esas señales de confianza se pueden falsificar, ¿qué queda?
La respuesta es la presencia humana auténtica, comprobada en directo, en ese mismo instante.
Tecnologías como «Dynamic Liveness» de iProov verifican la presencia real respondiendo a una pregunta aparentemente sencilla: ¿se trata de una persona real, la persona correcta, que está presente en este momento? La detección biométrica robusta de la presencia real ayuda a neutralizar amenazas como las grabaciones, los «deepfakes», los intercambios de rostros y los ataques de inyección.
En la mayoría de casos de verificación de identidad, como abrir una cuenta bancaria, acceder a servicios públicos y cumplir con los requisitos de KYC en plataformas financieras, el factor desencadenante no depende de la ubicación de la red. Tanto si te conectas desde Londres como desde Lagos, con o sin VPN, el sistema sigue exigiéndote que verifiques tu identidad con credenciales legítimas, como un documento oficial. En estos casos, la verificación biométrica de vitalidad proporciona un sólido pilar de confianza que ni las VPN ni Tor pueden eludir.
La verificación de la edad es un caso totalmente distinto. Cuando el criterio de activación depende exclusivamente de la geolocalización basada en la dirección IP —«¿te encuentras en una jurisdicción regulada?»—, las VPN y Tor eluden el sistema antes incluso de que pueda iniciarse la verificación real de la presencia. Esto no supone un fallo de la tecnología biométrica; es un recordatorio de que el criterio de activación es tan importante como la propia verificación.
El camino a seguir
La prohibición del uso de las redes sociales para menores de 16 años en el Reino Unido es un caso de estudio muy oportuno, pero no lo dice todo. Se trata de un ejemplo más de una tendencia mucho más amplia hacia la verificación de la edad, la identidad y los derechos en Internet.
Seamos claros: las VPN y Tor cumplen funciones fundamentales. Bloquear estas herramientas de forma generalizada sería tanto técnicamente inviable como éticamente cuestionable. El problema no es la existencia de una infraestructura de privacidad, sino la dependencia de mecanismos de aplicación de la ley que esas herramientas pueden eludir.
Esto apunta hacia dónde debe dirigirse la verificación de la edad. Una comprobación que dependa en exceso de una señal de IP que se puede falsificar corre el riesgo de convertirse en el eslabón más débil, por lo que el mecanismo de activación debe situarse más cerca del usuario, y no de su ubicación aparente. Esto implica señales de edad a nivel del dispositivo y del sistema operativo, credenciales verificadas y reutilizables, y métodos que respeten la privacidad para que una persona pueda demostrar su edad o identidad una sola vez, sin tener que volver a realizar una comprobación que la ubicación geográfica pueda eludir. Es el mismo principio que subyace a la iniciativa de la UE en favor de las carteras de identidad digital: la confianza basada en una credencial verificada, no en una señal de red.
En aquellos ámbitos en los que la verificación ya es obligatoria y no depende de la ubicación —como la banca, el proceso KYC, los servicios públicos, la recuperación de cuentas y el teletrabajo—, la presencia física es hoy en día el pilar fundamental. La verificación de la edad no hace más que demostrar el principio por negación: la validez de una comprobación depende del motivo que la desencadena.
Para funcionar de forma óptima, los sistemas del futuro deben:
- Aleja el disparador de las señales de red que se pueden falsificar fácilmente
- Prioriza un diseño que anteponga la privacidad, con credenciales que protejan la privacidad, para que la verificación no se convierta en un «honeypot» de datos.
- Basar la verificación de alto riesgo en la presencia humana real
- Estructura los controles de seguridad en capas, de modo que neutralizar una señal no provoque el colapso de todo el sistema.
- Minimizar las dificultades para el usuario con el fin de reducir el incentivo para eludir las restricciones
- Diseñar teniendo en cuenta el comportamiento adversario desde el principio
Hay que dar por hecho que el sistema será objeto de pruebas. No porque todos los usuarios tengan malas intenciones, sino porque algunos sentirán curiosidad, otros se sentirán frustrados, otros seguirán tutoriales y otros serán delincuentes.
Lo más importante es que los servicios digitales necesitan, cada vez más, generar confianza sin necesidad de una presencia física. Necesitan saber si una persona tiene la edad mínima necesaria para acceder a un servicio, si un cliente o un teletrabajador es quien dice ser, si la persona que abre una cuenta es real o ficticia, y si el rostro que aparece en pantalla es real o generado.
Las lagunas en la verificación de la edad reflejan el problema más amplio del fraude, ya que ambas ponen de manifiesto la misma vulnerabilidad: son demasiados los sistemas digitales que siguen confiando en señales que pueden falsificarse, eludirse o fabricarse.
El futuro de la confianza digital depende de demostrar lo que más importa: que una persona real está realmente presente, en ese momento, y está autorizada para actuar.
- La confianza digital está cambiando rápidamente. Para saber más sobre cómo se está poniendo a prueba y reconstruyendo, suscríbete a Biometric Beat.
- Reserva aquí una demostración informativa de iProov.
