Il codice sorgente dell'interfaccia di Persona utilizzata da Discord per la verifica dell'età è stato reso pubblico accidentalmente. L'analisi di questo codice ha rivelato che, sebbene dovesse essere utilizzato per la "verifica dell'età", conteneva anche moduli che confrontavano le immagini facciali con le liste di controllo e i PEP, e che inviavano segnalazioni direttamente al governo, suscitando scalpore.
Cosa è stato "trovato"?
Secondo quanto riferito, ricercatori e hacktivist hanno trovato il front-end di Persona (2,456 file) su un server autorizzato dal governo degli Stati Uniti (agenzia federale), da cui è possibile leggere quanto segue:
- Implementati 269 controlli di convalida.
- Possibilità di confrontare le immagini facciali con le liste di controllo e le liste PEP.
- Funzione di screening dei "media avversi" per 14 categorie, tra cui attività di terrorismo e spionaggio.
- È progettato per memorizzare indirizzi IP, impronte digitali di browser/dispositivi, numeri di documenti d'identità governativi, numeri di telefono, nomi, immagini facciali e analisi dei selfie (incluso il rilevamento di discrepanze di età) per un massimo di tre anni.
Inoltre, all'interno della stessa base di codice sarebbero stati trovati i seguenti moduli:
- Modulo di invio di segnalazioni di attività sospette (SAR) per FinCEN (implementato secondo lo schema XML sul sito FinCEN).
- Modulo di invio della segnalazione di transazioni sospette (STR) al FINTRAC canadese.
In altre parole, ciò che è stato esposto non era solo una "libreria monofunzionale per la verifica dell'età", ma l'intero front-end di una piattaforma KYC/AML completa. Ciò ha sollevato dubbi e indignazione sul fatto che la "verifica dell'età" di Discord sia effettivamente una verifica dell'età.
Cosa ha fatto realmente la verifica dell'età di Discord
Tuttavia, al momento, dalle informazioni pubblicamente disponibili non è chiaro quali funzioni siano state effettivamente abilitate.
- Inizialmente Discord ha affermato che le foto del viso venivano elaborate sul dispositivo, ma in seguito ha spiegato che nelle implementazioni che utilizzano Persona, le foto vengono inviate al server e conservate fino a sette giorni.
- Il codice trapelato indica che si tratta di un "motore KYC/AML generico" che include PEP, sanzioni, media avversi e report FinCEN/FINTRAC.
Non sorprende, né è prevedibile, che tali moduli siano inclusi nel codice di Persona, poiché tra i suoi clienti figurano exchange di criptovalute e istituti finanziari. Tuttavia, quanto segue è semplicemente dedotto dall'esistenza del codice.
- Se lo screening PEP/sanzioni è sempre stato effettuato per ogni transazione di verifica dell'età.
- Se le segnalazioni di sospetto/segnalazioni di sospetti (SAR/STR) sono state inviate automaticamente a FinCEN/FINTRAC, ecc. in base ai risultati della verifica dell'età e al comportamento dell'utente.
Dagli attuali rapporti non è chiaro se queste funzionalità siano state abilitate nelle impostazioni di Discord.
pertanto,
- "La verifica dell'età è stata eseguita sulla stessa piattaforma e sono state implementate e rese disponibili anche le funzionalità PEP, sanzioni e conformità FinCEN."
- Tuttavia, non vi sono prove che suggeriscano che "la verifica PEP e la segnalazione FinCEN siano state condotte per ogni transazione di verifica dell'età" (livello di preoccupazione o dubbio).
Questa interpretazione è probabilmente corretta.
Ma qual è il problema che si ritiene essere?
I fatti tecnici e giuridici sono ancora in fase di accertamento, ma il caso ha suscitato critiche per i seguenti motivi:
- Un design eccessivo che sembra andare oltre il suo scopo
Doveva essere solo un "controllo per vedere se qualcuno ha più di 18 anni", ma dietro le quinte c'era un'enorme suite KYC/AML in grado di gestire PEP, sanzioni, controlli della stampa negativa e persino segnalazioni alle autorità di regolamentazione. - 透明性の欠如
Sebbene l'azienda abbia spiegato agli utenti che si trattava semplicemente di un processo di "verifica dell'età", non ha rivelato in anticipo che il processo veniva in realtà eseguito su uno stack di monitoraggio finanziario completo. - Preoccupazioni relative alla conservazione dei dati e alla "condivisione"
Il divario tra le promesse di Discord (mantenimento a breve termine/utilizzo minimo) e il modulo di progettazione e collaborazione con le agenzie governative mostrato nella base di codice di Persona, che può essere mantenuto fino a tre anni.
In particolare, con l'avvento del codice di coordinamento SAR/STR con le autorità di regolamentazione, si stanno diffondendo i sospetti che vengano inviate segnalazioni al FinCEN e ad altre organizzazioni.
In questa situazione, come può Discord/Persona chiarire il dubbio?
È quasi impossibile dimostrare che qualcosa non è stato fatto, ma dimostrare con un certo grado di persuasione che qualcosa non è stato fatto,
- Il design rende impossibile raggiungere o utilizzare la funzione a causa della sua configurazione (impostazioni/architettura).
- Non vi è traccia dell'utilizzo di questa funzione nei registri operativi effettivi (registro eventi KYC, registro collegamenti esterni, registro gestione SAR).
- I dati non vengono conservati per lunghi periodi né utilizzati per scopi secondari (registri di conservazione ed eliminazione).
- Un rapporto di audit che li verifica da parte di una terza parte.
Solo quando questi quattro livelli saranno al loro posto potremo raggiungere un livello in cui, dal punto di vista di un esperto, sarà "impensabile che lo stessero facendo".
Al momento, l'unico Paese in cui è possibile confermare con certezza che Discord abbia utilizzato Persona è il Regno Unito (UK), sulla base di informazioni pubblicamente disponibili. L'attenzione è focalizzata su come agirà l'Information Commissioner for Privacy and Data Protection (ICO) del Regno Unito.
Discord ha già terminato il suo contratto con Persona
In effetti, Discord ha già rescisso il contratto con Persona a causa di una forte reazione causata dal sospetto che la gestione dei dati fosse più rigorosa di quanto spiegato e dalla sfiducia nella natura e nel background politico del fornitore.
I principali punti di contesa possono essere riassunti approssimativamente in tre punti:
- L'elaborazione lato server e il periodo di archiviazione differiscono dalla spiegazione
- Inizialmente Discord aveva comunicato agli utenti che la scansione del volto sarebbe stata effettuata sul dispositivo, ma ora le FAQ del Regno Unito affermano che, nel suo esperimento con Persona, "le informazioni inviate verranno archiviate sui nostri server fino a sette giorni".
- Dopo la pubblicazione di questa FAQ, Discord l'ha rapidamente rimossa, facendo sorgere il sospetto che si trattasse di un tentativo di nasconderla.
- Legami del fornitore con la sorveglianza e il governo
- Persona ha ricevuto finanziamenti dal Founders Fund di Peter Thiel e, poiché Thiel è uno dei fondatori di Palantir e ha avuto un ruolo importante nell'infrastruttura di sorveglianza governativa, sono esplose critiche sul fatto che l'azienda non voglia fornire informazioni biometriche a un fornitore legato agli attori statali della sorveglianza.
- Mancanza di trasparenza e trattamento degli "esperimenti"
- Inizialmente Persona non era presente nell'elenco dei partner ufficiali di Discord e veniva testato segretamente solo per gli utenti del Regno Unito.
- Le spiegazioni fornite sulla portata dell'impatto, sui dettagli specifici dell'elaborazione e su chi avrebbe avuto accesso ai dati sono state tardive e frammentate, il che ha portato a critiche secondo cui "gli utenti sono stati usati come cavie" e "la qualità del consenso era insufficiente".
Secondo un articolo investigativo di Redact, "l'esperimento Persona ha iniziato a essere osservato tra gli utenti del Regno Unito 'giorni' dopo la reazione negativa all'annuncio della verifica dell'età a livello globale".Un test molto breve è stato condotto tra l'inizio e la metà di febbraio 2026.Ciò suggerisce che sia proprio così.
Quindi, per cosa usi Discord?
Discord sta attualmente pianificando di utilizzare k-ID di Singapore e Yoti del Regno Unito (in alcune regioni, inclusa l'Europa) per la verifica dell'età. Entrambi i sistemi stimano l'età a partire dalle immagini facciali catturate da una telecamera e poi la confrontano con altre prove in caso di dubbio, in modo simile a ISO/IEC 27566-1 Age assurance systems — Part 1: Framework (gratuito). Tuttavia, ogni sistema ha le sue caratteristiche uniche.
Stima dell'età tramite scansione del viso
- ragazzo: La scansione del volto viene elaborata solo sul dispositivo ed è possibile implementare un'implementazione in cui le informazioni sul volto non escono dal dispositivo (è fornita anche una funzione di verifica lato server).
- Yoti: L'immagine del viso viene inviata a un server, dove viene stimata l'età e l'immagine viene immediatamente eliminata.
Altri metodi di verifica dell'età
- ragazzo: Verifica del consenso dei genitori/tutori (tramite autenticazione tramite e-mail, pagamenti con carta di credito, documento d'identità nazionale, ecc.), confrontando i dati con fonti di terze parti attendibili.
- Yoti: Portafoglio ID digitale e verifica ID + selfie
Sembra che k-ID verrà utilizzato a livello globale, ma il solo nome k-ID non ci dice se sarà sul dispositivo o lato server. Discord sembra affermare che sia "sul dispositivo", quindi sarebbe auspicabile che garantisse la trasparenza pubblicando i risultati delle verifiche di certificazione di terze parti che possano verificarlo.
(Riferimenti)
- Redatto (2026). Discord ha testato la verifica dell'età del fornitore: cosa dovrebbero sapere gli utenti. 2026-02-16. https://redact.dev/blog/discord-persona-age-verification-experiment
- Bernier, Rony. (2026). Discord termina l'attività di verifica dell'età della persona. LinkedIn. 16/02/2026. https://www.linkedin.com/posts/rorybernier_discord-ends-persona-age-verification-test-activity-7428905652959358977-CTB2/
- Crescione, Laura. (2026). "Non mi fido di loro": i principali streamer sono preoccupati per i controlli dell'età su Discord. BBC. 17/02/2026. https://www.bbc.com/news/articles/cn4g8ynpwl8o
- Naprys, Ernestas. (2026). L'azienda che verifica le foto segnaletiche per ChatGPT e Roblox alimenta l'apparato di sorveglianza statunitense con 269 controlli distinti. Cybernews. 19/02/2026. https://cybernews.com/privacy/persona-leak-exposes-global-surveillance-capabilities/
- Alajaji, R e S. Baldwin. (2026). Discord spinge volontariamente per la verifica obbligatoria dell'età nonostante la recente violazione dei dati. 2026-02-12. https://www.eff.org/deeplinks/2026/02/discord-voluntarily-pushes-mandatory-age-verification-despite-recent-data-breach
- L0la L33tz. (2026). Gli hacker smascherano il software di verifica dell'età alla base della sorveglianza web. 2026-02-19. https://www.therage.co/persona-age-verification/
- ISO/IEC 27566-1. (2025). Sicurezza delle informazioni, sicurezza informatica e tutela della privacy — Sistemi di garanzia dell'età — Parte 1: Quadro. 2025-12. https://www.iso.org/standard/88143.html