Actualización del 13 de marzo de 2026
Persona se puso en contacto con nosotros para aclarar que:
- El entorno de pruebas expuesto se aisló de los sistemas de producción.
- No se filtraron datos personales.
- Ningún cliente de Persona utiliza las 269 comprobaciones posibles.
- Persona no colabora con ninguna agencia federal.
- Persona solo trata los datos, y son sus clientes quienes controlan cómo los gestiona y elimina.
Puedes leer la explicación de Persona sobre el problema y su respuesta en este análisis posterior al incidente.
¿Qué ha pasado?
Los investigadores que analizan los controles de verificación de edad de Discord afirman haber descubierto una interfaz expuesta perteneciente a Persona, el proveedor de verificación de identidad utilizado por Discord. Esta reveló un sistema de vigilancia e inteligencia financiera mucho más amplio que una simple herramienta de «seguridad para adolescentes».
Hace poco informamos de que Discord limitará los perfiles al modo adecuado para adolescentes hasta que se verifique la edad. Eso significa que cualquiera que quiera seguir utilizando Discord como antes tendrá que dejar que le escanee la cara, y eso no ha gustado nada a los usuarios de Internet.
Para analizar estos escaneos, Discord utiliza la empresa emergente de verificación de identidad biométrica Persona Identities, Inc., una iniciativa que ofrece soluciones de «Conozca a su cliente» (KYC) y «Anti-lavado de dinero» (AML) que se basan en comprobaciones de identidad biométricas para estimar la edad de un usuario.
Para demostrar las implicaciones en materia de privacidad, los investigadores analizaron más detenidamente el caso y encontraron una interfaz Persona expuesta públicamente en un servidor autorizado por el Gobierno de los Estados Unidos, con 2456 archivos accesibles.
Lo has leído bien. Según la investigadora «Celeste», el código expuesto, que ya ha sido eliminado, se encontraba en un punto final autorizado por el Gobierno de EE. UU. que parece haber sido aislado de su entorno de trabajo habitual. Sin embargo, Persona aclaró más tarde en una entrada de blog que «este dominio en su totalidad nunca ha tenido clientes federales y no contiene ningún dato de clientes».
En esos archivos, los investigadores encontraron detalles sobre la amplia capacidad de vigilancia que ofrece el software Persona. Además de comprobar la edad, el software puede realizar 269 comprobaciones de verificación distintas, aplicar el reconocimiento facial a listas de vigilancia y a personas políticamente expuestas, analizar «noticias negativas» en 14 categorías (entre ellas, terrorismo y espionaje) y asignar puntuaciones de riesgo y similitud.
Persona recopila —y puede conservar durante un máximo de tres años— direcciones IP, huellas digitales del navegador y del dispositivo, números de identificación oficiales, números de teléfono, nombres y rostros, además de una serie de análisis de «selfies», como la detección de entidades sospechosas, la detección de poses repetidas y las comprobaciones de inconsistencias en la edad. Después de que «Celeste» publicara sus hallazgos en línea, el director ejecutivo de Persona, Rick Song, declaró en la plataforma de redes sociales X: «Verificamos tu identidad de forma segura, la conservamos solo durante el tiempo necesario en nombre del cliente y, a continuación, la eliminamos tan pronto como podemos».
Comprueba si tus datos personales han sido expuestos.
En un momento en el que la verificación de la edad es un tema muy candente, este no es el tipo de noticia que convenza a los defensores de la privacidad de que la verificación de la edad nos beneficia. Enviar los datos obtenidos durante los controles de verificación de la edad a corredores de datos y gobiernos extranjeros—según se informa, Persona fue probado por Discord en el Reino Unido— no generará el nivel de confianza necesario para que los usuarios se sientan cómodos sometiéndose a este tipo de escrutinio.
Esto se produce en medio de un debate más amplio sobre si la verificación de la edad está realmente cumpliendo su función. Euronews ha analizado el efecto de la prohibición de Australia, pionera a nivel mundial, de que los menores de 16 años utilicen las redes sociales. Las nuevas normas australianas solo llevan seis semanas en vigor, pero, aunque el regulador de Internet del país afirma que ha cerrado alrededor de 4,7 millones de cuentas de menores de 16 años en plataformas como TikTok, Instagram, Snapchat, YouTube, X, Twitch, Reddit y Threads, los niños y los padres describen una realidad muy diferente. Las entrevistas con adolescentes, padres e investigadores indican que muchos niños siguen accediendo a las aplicaciones prohibidas mediante sencillos trucos.
Según The Rage, Discord ha declarado que no seguirá utilizando Persona para la verificación de la edad. Sin embargo, otras plataformas que, según se informa, utilizan Persona son:
- Roblox: Utiliza la estimación de la edad facial y la verificación de identidad de Persona como núcleo de su sistema de «verificación de edad para chatear».
- OpenAI / ChatGPT: El centro de ayuda de OpenAI explica que, si necesitas verificar que eres mayor de 18 años, «Persona es una empresa externa de confianza que utilizamos para ayudar a verificar la edad», y que Persona puede solicitar una selfie en directo y/o un documento de identidad oficial.
- Lime: El servicio de transporte compartido implementa flujos de verificación de edad personalizados con Persona para cumplir con los requisitos únicos de cada región.
No solo informamos sobre amenazas, sino que también ayudamos a proteger tus redes sociales.
Los riesgos de ciberseguridad nunca deben ir más allá de un titular. Proteja sus cuentas de redes sociales utilizandoMalwarebytes Identity Theft .
