Restricciones a las redes sociales para menores: los desafíos de ciberseguridad detrás de los controles de edad
Más de 20 países han impulsado prohibiciones o restricciones al acceso de menores de edad a las redes sociales. Sin embargo, la experiencia australiana evidencia las dificultades para hacer cumplir estas medidas y abre nuevas interrogantes sobre la privacidad, la verificación de identidad y la seguridad de los datos personales.
La protección de niños y adolescentes en internet se ha convertido en una prioridad para gobiernos y organismos reguladores. Frente a las preocupaciones por el acoso, la exposición a contenidos perjudiciales y los efectos del uso excesivo de las redes sociales, cada vez más países buscan limitar el acceso de los menores a estas plataformas.
Australia marcó un precedente al implementar, en diciembre de 2025, una restricción para menores de 16 años. Desde entonces, otras naciones han evaluado medidas similares, mientras las plataformas enfrentan una presión creciente para asumir una mayor responsabilidad sobre la seguridad de sus usuarios.
Sin embargo, prohibir el acceso no garantiza que este deje de producirse.
Los primeros datos australianos muestran que una proporción importante de los menores que ya tenían cuentas en plataformas restringidas continúa utilizándolas. Entre los métodos empleados para eludir los controles aparecen las identidades falsas, los cambios en la fecha de nacimiento y el uso de redes privadas virtuales (VPN).
Esta realidad plantea una cuestión que resulta especialmente relevante desde la ciberseguridad: ¿qué riesgos aparecen cuando las restricciones dependen de sistemas de verificación que deben recopilar información personal y que, al mismo tiempo, pueden ser vulnerados o eludidos?
El desafío no consiste únicamente en determinar quién puede acceder a una plataforma. También implica garantizar que los mecanismos de protección no generen nuevas vulnerabilidades para quienes buscan proteger.
Verificar la edad también implica proteger la identidad
Para hacer cumplir las restricciones, las plataformas necesitan establecer si una persona cumple con la edad mínima requerida. El problema es que no todos los mecanismos de verificación ofrecen las mismas garantías de seguridad ni requieren el mismo nivel de exposición de datos.
Algunos sistemas permiten declarar una fecha de nacimiento, mientras que otros recurren a estimaciones biométricas, fotografías, documentos de identidad o servicios externos de verificación.
Cada alternativa presenta limitaciones.
Una fecha de nacimiento declarada por el usuario puede modificarse fácilmente. En cambio, los mecanismos que analizan el rostro o solicitan documentos pueden requerir información personal mucho más sensible.
Esto introduce un equilibrio complejo: cuanto más rigurosa es la verificación, mayor puede ser la cantidad de información que una persona debe entregar para demostrar su edad.
Desde la perspectiva de la ciberseguridad, esa información debe tratarse como un activo que necesita protección. Si se recopilan documentos de identidad, imágenes faciales u otros datos sensibles, es fundamental determinar cómo se almacenan, quién puede acceder a ellos, durante cuánto tiempo se conservan y con qué finalidad pueden utilizarse.
Una filtración podría exponer a los usuarios a suplantación de identidad, fraude u otras formas de abuso.
Además, si la verificación depende de proveedores externos, también es necesario evaluar los riesgos asociados a las integraciones y a la transferencia de información entre distintas organizaciones.
Un sistema de protección que expone innecesariamente los datos de sus usuarios puede terminar creando un problema de seguridad distinto del que buscaba resolver.
Por eso, los mecanismos de verificación deberían aplicar criterios de minimización de datos: comprobar únicamente lo necesario para determinar si se cumple la edad requerida, evitando recopilar o conservar información adicional sin una justificación clara.
VPN e identidades falsas: por qué los controles pueden fallar
Uno de los principales desafíos de las restricciones digitales es que los usuarios pueden encontrar distintas formas de sortearlas.
En Australia, una encuesta de la Molly Rose Foundation publicada en marzo de 2026 encontró que el 61 % de los menores de entre 12 y 15 años que tenían cuentas en plataformas restringidas seguía accediendo al menos a una de ellas. Entre quienes continuaban utilizándolas, el 70 % consideraba fácil eludir las medidas.
Los métodos reportados incluían modificar la fecha de nacimiento, utilizar identidades falsas, recurrir a fotografías de otras personas o pedir ayuda a familiares y amigos mayores de edad. También se identificó el uso de VPN.
Una VPN puede encaminar el tráfico de internet a través de un servidor intermediario y modificar la dirección IP pública que ve un servicio. Esto puede dificultar que una plataforma determine la ubicación aproximada de una conexión, pero no oculta necesariamente todos los datos que permiten identificar o autenticar a un usuario.
Es importante distinguir su funcionamiento de su uso concreto. Las VPN tienen aplicaciones legítimas en privacidad y seguridad, por lo que no deben considerarse herramientas maliciosas por definición. Sin embargo, pueden utilizarse para intentar eludir restricciones geográficas o determinados controles de acceso.
Este escenario demuestra que un sistema de verificación no debería depender exclusivamente de una única señal, como la ubicación de una conexión o una declaración de edad.
Las plataformas necesitan evaluar la eficacia de sus mecanismos, detectar patrones de abuso y evitar que los controles sean fáciles de manipular. Al mismo tiempo, deben hacerlo sin recurrir a una vigilancia desproporcionada ni recopilar indiscriminadamente información sobre todos sus usuarios.
La dificultad está en encontrar un equilibrio entre eficacia, privacidad y seguridad.
¿Pueden las medidas de protección crear nuevos riesgos?
Las restricciones por edad buscan reducir la exposición de niños y adolescentes a experiencias potencialmente perjudiciales. Sin embargo, una implementación deficiente puede generar efectos no deseados.
Uno de ellos es el desplazamiento hacia servicios menos regulados. Si los menores encuentran barreras para acceder a plataformas conocidas, podrían migrar a comunidades o aplicaciones con mecanismos de moderación y denuncia más débiles.
Esto no significa que las restricciones provoquen necesariamente ese resultado, pero sí que su eficacia debe evaluarse considerando las posibles consecuencias indirectas.
Desde la ciberseguridad, los espacios con controles deficientes pueden presentar mayores riesgos de fraude, suplantación de identidad, contacto con actores maliciosos y exposición a enlaces o archivos peligrosos.
Otro problema aparece cuando los controles se diseñan sin considerar las necesidades de privacidad de los usuarios. Una verificación que exige entregar documentos o datos biométricos podría exponer información que no resulta necesaria para la experiencia que ofrece la plataforma.
También existe el riesgo de generar una falsa sensación de seguridad. Cumplir con una edad mínima no garantiza que una cuenta esté protegida frente al acoso, las estafas, la manipulación o los intentos de robo de credenciales.
Por eso, las restricciones deben entenderse como una medida dentro de una estrategia más amplia, no como una solución que elimina por sí sola los riesgos asociados al uso de las redes sociales.
Seguridad desde el diseño: una alternativa más integral
Una de las propuestas que ha ganado relevancia en este debate es incorporar mecanismos de protección desde el diseño de las plataformas, en lugar de depender exclusivamente de prohibiciones o de la intervención posterior a un incidente.
Este enfoque, conocido como security by design y complementario a los principios de privacidad desde el diseño, busca que la seguridad forme parte del desarrollo y funcionamiento de un servicio desde sus primeras etapas.
En las redes sociales, esto puede traducirse en distintas medidas:
Configuraciones de privacidad más estrictas por defecto. Las cuentas de menores pueden limitar la visibilidad de sus publicaciones, restringir quién puede enviarles mensajes y reducir las posibilidades de contacto por parte de desconocidos.
Controles sobre las interacciones. Las plataformas pueden establecer barreras frente a mensajes no solicitados, intentos de suplantación y comportamientos que indiquen acoso o abuso.
Mayor control sobre las recomendaciones algorítmicas. Es importante evaluar cómo los sistemas de recomendación afectan la exposición a contenidos perjudiciales y evitar mecanismos de interacción que incentiven conductas problemáticas.
Mecanismos de denuncia y respuesta accesibles. Los usuarios deben poder reportar situaciones de riesgo y recibir información clara sobre cómo se gestionan sus denuncias.
Protección de datos personales. Los sistemas de verificación de edad deben limitar la información recopilada, proteger los datos durante su tratamiento y establecer reglas claras para su eliminación y acceso.
Estas medidas no eliminan todos los riesgos, pero permiten abordar diferentes aspectos de la seguridad sin hacer depender toda la protección de la edad declarada por una persona.
El papel de las familias y la educación en ciberseguridad
La tecnología y la regulación son componentes importantes, pero la protección de los menores también requiere desarrollar habilidades para reconocer y gestionar los riesgos en línea.
La educación en ciberseguridad debe comenzar por aspectos prácticos: comprender qué información se comparte, reconocer intentos de engaño, identificar perfiles sospechosos y saber cómo actuar ante situaciones de acoso o contacto no deseado.
También es importante enseñar que una cuenta aparentemente legítima no garantiza que la persona detrás de ella sea quien afirma ser, y que no toda solicitud de información o imagen personal es apropiada.
Para las familias, el acompañamiento debe incluir conversaciones sobre privacidad, permisos de las aplicaciones y configuración de las cuentas, además de acuerdos sobre el uso de los dispositivos.
La supervisión, por sí sola, no reemplaza la formación. Los menores necesitan herramientas para tomar decisiones informadas, pedir ayuda cuando algo les preocupa y reconocer cuándo una interacción puede representar un riesgo.
Las propias plataformas también tienen responsabilidades: sus mecanismos de seguridad deben ser comprensibles, sus opciones de privacidad accesibles y sus procedimientos de denuncia efectivos.
Qué deben considerar las organizaciones que implementan controles de edad
La discusión no involucra únicamente a las empresas propietarias de redes sociales. También es relevante para cualquier organización que gestione servicios digitales dirigidos a menores o que deba verificar la edad de sus usuarios.
Antes de implementar un sistema de este tipo, conviene evaluar cinco aspectos:
Minimización de datos: determinar qué información es realmente necesaria para verificar la edad y evitar recopilar datos adicionales sin justificación.
Seguridad del proveedor: revisar los controles de acceso, las medidas de protección de la información y las condiciones bajo las cuales los terceros procesan los datos.
Gestión de accesos: limitar quién puede consultar la información recopilada y mantener registros que permitan investigar accesos indebidos.
Evaluación de vulnerabilidades: comprobar si el sistema puede ser manipulado, suplantado o eludido, y actualizar los controles cuando se identifiquen debilidades.
Respuesta ante incidentes: definir procedimientos para gestionar filtraciones, accesos no autorizados y posibles exposiciones de información personal.
Estas medidas deben acompañarse de una evaluación de las obligaciones legales aplicables en cada jurisdicción. Las exigencias de verificación, consentimiento y tratamiento de datos pueden variar según el país y el tipo de servicio.
El objetivo es que la protección de los menores no dependa únicamente de una barrera de acceso, sino de un sistema que considere los riesgos durante todo el ciclo de vida de la información.
Conclusión: proteger a los menores requiere más que restringir el acceso
El debate sobre las restricciones a las redes sociales refleja una preocupación legítima por la seguridad y el bienestar de niños y adolescentes. Sin embargo, los primeros resultados de Australia muestran que las prohibiciones enfrentan dificultades de implementación y que algunos usuarios encuentran formas de eludirlas.
Desde la ciberseguridad, esta experiencia deja una lección importante: los controles deben evaluarse no solo por su intención, sino también por su eficacia, sus vulnerabilidades y los riesgos adicionales que pueden generar.
Verificar la edad sin proteger adecuadamente los datos personales, por ejemplo, puede exponer a los usuarios a nuevas amenazas. Del mismo modo, restringir el acceso sin mejorar las herramientas de privacidad, moderación y denuncia deja otros riesgos sin resolver.
Una estrategia integral requiere combinar regulación, seguridad desde el diseño, protección de datos, educación digital y mecanismos efectivos para prevenir y responder ante incidentes.
En Lockbits, ayudamos a las organizaciones a fortalecer sus estrategias de ciberseguridad y protección de la información, considerando los riesgos que surgen a medida que evolucionan los servicios y las tecnologías.
Proteger a los menores en internet no consiste únicamente en decidir quién puede entrar, sino en construir servicios más seguros para quienes los utilizan.
Conoce cómo podemos ayudarte a fortalecer la seguridad de tu organización en lockbits.cl/contacto.