Через Telegram можно узнать реальный адрес человека. И для этого не нужно быть хакером
Telegram позволяет за несколько минут вычислить точные координаты своих пользователей, использующих встроенный сервис «Люди рядом». Алгоритм обнаружения прост, что дает возможность следить за нужным человеком даже тем, у кого нет никаких навыков хакинга. Аналогичная брешь была обнаружена в японском мессенджере Line несколько лет назад, но разработчики очень оперативно устранили ее.
Слежка при помощи Telegram
В мессенджере Павла Дурова Telegram обнаружена уязвимость, позволяющая определять точное местонахождение любого пользователя. Об этом в начале января 2021 г. сообщил в своем блоге пользователь Ахмед Хасан (Ahmed Hassan), обнаруживший, что можно вычислить очень точные координаты тех, кто пользуется Telegram.
Уязвимость скрывается в сервисе «Люди рядом», встроенном в мессенджер. С его помощью можно находить пользователей Telegram, находящихся поблизости – их место дислокации определяется по GPS-координатам и отслеживается в реальном времени. Сам мессенджер не раскрывает координаты пользователей, а лишь указывает точное расстояние до них, но этого уже достаточно для вычисления их местоположения и даже адреса проживания, если они подключились к Telegram из дома.
Сервис «Люди рядом» был добавлен в Telegram в июне 2019 г. и первоначально носил название «Люди поблизости». В феврале 2020 г. он получил обновление до версии 2.0.
Как работает уязвимость
Для вычисления координат того или иного человека в Telegram, по словам Ахмеда Хасана, нужно использовать метод триангуляции. На первом этапе нужно три раза изменить собственное местоположение, фиксируя при этом расстояние до нужного пользователя и свои же GPS-координаты.
Затем нужно на карте местности начертить три окружности, центром которых будут собственные координаты, а радиусом – расстояние до объекта слежки, указанное в Telegram. Этих простых действий достаточно, чтобы определить, где он находится – он будет там, где все три окружности пересекутся на карте.
Важный момент: отследить таким способом можно тех людей, кто пользуется в Telegram функцией «Люди рядом». Она требует включенного GPS-модуля, и объектом слежки может оказаться каждый. Для предотвращения всех попыток отследить ваше место дислокации третьими лицами при помощи данной уязвимости нужно прекратить пользоваться сервисом «Люди рядом» и отозвать у Telegram разрешение на доступ к геолокации.
Следить могут за каждым
Отследить местоположение пользователя Telegram можно вне зависимости от того, в какой стране или в каком городе он проживает. Например, спустя несколько дней после публикации статьи Ахмеда Хасана и его тестов, проведенных в Нью-Йорке (США), исследователь Андрей Копелян опубликовал на своем сайте Debug Pro результат использования уязвимости мессенджера в Нур-Султане (Казахстан).
Он скачал из Google Play одно из приложений-трекеров, использующих GPS, выбрал в Telegram совершенно случайного пользователя, применил алгоритм с тремя окружностями, и через несколько минут у него на руках был точный адрес этого человека, вплоть до дома.
По словам Андрея Копеляна, Telegram позволяет полностью идентифицировать пользователя при использовании дополнительной информации. Так, человек, которого он выбрал для проверки метода слежки, оставил номер своего телефона в открытом доступе, а также опубликовал свою реальную фотографию. Исследователь отметил, что при использовании поисковых систем, того же Google, можно будет найти дополнительные сведения об этом человеке, например, его страницы в соцсетях.
Дурной пример заразителен
Возможность отследить человека через функцию «Люди рядом» (в английской версии – People Nearby), впервые появилась вовсе не в Telegram – изначально такой «сервис» предоставлял японский мессенджер Line. Аналогичную уязвимость одноименной функции в нем обнаружил все тот же Ахмед Хасан.
Хасан связался с разработчиками Line и указал им на обнаруженную проблему. Те оперативно отреагировали на замечание и закрыли брешь в приложении – оно по-прежнему позволяет общаться с людьми поблизости, но теперь к их местоположению прибавляется произвольно взятое число, чтобы отследить их было невозможно.
«Дыры» в Telegram
Telegram, считающийся одним из самых безопасных мессенджеров, на самом деле содержит множество уязвимостей. Например, в августе 2019 г. в нем была обнаружена лазейка, позволявщая властям различных стран вычислять номера телефонов тех, кто участвует в тех или иных акциях протеста и числится в соответствующих группах в мессенджере. Проблему обнаружили эксперты из Гонконга, где на тот момент как раз проходили многотысячные протесты.
В августе 2020 г. выяснилось, что Telegram допускал создание поддельного профиля, маскирующегося под «Избранное», в которое пользователи часто помещают важную информацию, включая фотографии и пароли. Хакеры могли написать пользователю с такого поддельного аккаунта, после чего он начал бы хранить эти сведения в поддельном «Избранном», открывая тем самым доступ к ним третьим лицам. Разработчики оперативно устранили эту брешь.
В сентябре 2020 г. CNews рассказывал, что Telegram «сливал» номера телефонов своих пользователей, притом даже и тех, кто в нем не зарегистрирован. Это давало возможность хакерам и просто третьим лицам вытащить всю информацию из их профилей и в дальнейшем использовать ее для создания поддельных аккаунтов с целью мошенничества. Здесь стоит отметить, что аналогичная проблема была обнаружена также в мессенджерах Signal и WhatsApp, известных своей развитой системой безопасности.
Дыры в безопасности телеграм. Как тебя могут пробить и меры предосторожности
Вот пример подобных ботов для пробива
@getmyid_bot (пробивает ID по пересланному сообщению)
@deanonym_bot (пробивает номер телефона по ID, используя ту самую слитую базу).
Иными словами, если ваш номер в базе, то нужно беречь ID как зеницу ока.
Собственно, как инфа о сливе начала распространяться, телеграм принял меры против этого.
Во-первых, всем было предложено сменить никнейм, если он ставился до осени 19 года.
Во-вторых, в настройках конфиденциальности появилась возможность запрещать находить номер телефона, если отсутствуют взаимные контакты.
В общем, предложили выкрутить настройки конфиденциальности на максимум, сменить никнейм и жить спокойно.
Но было бы слишком если так.
Недавно появились боты, которые дают возможность ID по никнейму, даже если он был сменен после 2019 года, да хоть вы никнейм поставили минуту назад.
Суть в том, что эти боты используют уязвимость протокола телеги, которая дает возможность напрямую получать ID, если известен никнейм пользователя. А зная ID, как уже говорилось выше, можно получить и все остальное.
Вот пример ботов, которые делают подобное:
@CheckID_AIDbot (пробивает ID по никнейму вне зависимости от того был он в базе или нет).
Ну и вишенка на торте.
Бот со звучным названием «Глаз бога»
@EyeGodsBot
В нем совмещены функции двух ботов выше + кроме пробива по базе телеги, данный бот представляет собой полноценный «комбайн» для пробива по открытым базам данным. С помощью бота пробивается и сам номер телефона (по базам Getcontact, NumBuster и др.).
В телеграме бот выдает также инфо о том, в каких публичных чатах вы состоите.
А также много еще чего. К сожалению, бот платный. Хотя и не особо дорогой. Кому надо, тот поверьте пробьет.
Есть на самом еще множество OSINT решений для пробива (гугл в помощь).
Кто виноват и что делать?
С первым пунктом все и так понятно. Телеграм никогда не был и не является анонимным и близко. Смешно считать анонимным сервис, в основе архитектуры которого лежат централизованная система серверов Гугл и Амазон, для регистрации нужен телефон, база которых в открытую парсилась вплоть до 2019 года.
Но это еще полбеды. Настоящая проблема в том, что телеграм оказался настолько дырявым, что теперь любой школьник, зная пару-тройку ботов может пробивать других пользователей, получая конфиденциальные сведения.
Теперь же что касается рекомендаций.
1. Если ваш номер уже попал в базу, то самым безопасным вариантом будет просто удалить свой аккаунт. И перезарегистрировать заново. Можно на тот же номер телефона. Предварительно можно скопировать важные контакты и данные, если таковые есть.
Новый аккаунт будет иметь свежий ID, а как мы выяснили это ключевой пункт для любого пробива по телеге.
Желательно все же регистрировать аккаунт на отдельный номер, на которых нет никаких контактов, а после регистрации вывернуть на максимум настройки конфиденциальности.
2. Если Вы попали в базу, но по ряду причин не можете расстаться со старым аккаунтом, то имеет смысл выполнить ряд условий:
— Удалить и больше никогда не использовать никнеймы
3. Ну и следить за новостями вокруг телеграм, чтобы быть в курсе происходящего.
Безопасен ли Телеграм: прослушивается ли спецслужбами и насколько защищен
Насколько безопасен Телеграм?
Безопасность данных подписчиков Telegram зависит от возможностей мессенджера, бесперебойной работы программы и самих пользователей. Приложение защищает информацию о клиентах несколькими способами.
Как работает шифрование
Пользователи Telegram должны знать, что их переписка передается в зашифрованном виде. Сообщения при отправке зашифровываются и преобразуются в код, который представляет собой набор непонятных символов. Когда информация получена, она расшифровывается.
Мессенджер автоматически выполняет аналогичный процесс, используя специальные клавиши. Шифрование и дешифрование выполняются только на клиентских устройствах Telegram (компьютеры, смартфоны), но не на сервере. Отправленные сообщения остаются зашифрованными до тех пор, пока не будут получены. Программы шифрования устанавливаются по умолчанию (кроме функции активации секретного чата). Пользователям не нужно знать кодировку информации. Главное научиться пользоваться Telegram, изучить возможности приложения.
В мессенджере используется два типа шифрования:
Переписка облачных пользователей сохраняется на сервере Telegram. Правда, там он тоже хранится в зашифрованном виде. С любого устройства вы можете получить доступ к своей учетной записи, и, благодаря резервированию на сервере, все сообщения в профиле будут сохранены. Обмен сообщениями в облаке зашифрован с использованием симметричного шифрования.
Telegram предлагает своим подписчикам возможность создавать не только простые сообщения, но и секретные чаты. Эта функция доступна только на смартфонах. Сообщения, созданные с использованием сквозного шифрования и активации секретного чата, передаются от отправителя к получателю в зашифрованном виде.
Корреспонденция не поступает и не хранится на сервере. Никто не может его прочитать (кроме отправителя и получателя). Секретные сообщения надежно защищены и через некоторое время удаляются сами, но для этого рекомендуется при отправке установить таймер самоуничтожения.
Помогают ли длинные пароли
До недавнего времени доступ к Telegram в Российской Федерации был возможен без пароля. При входе сервер отправлял подписчикам облачный код на номер телефона. Эту комбинацию символов нужно было ввести в активную строку. Запись производилась с правильным введением отправленного облачного кода. Второй и последующие разы можно было без проблем войти в Telegram. Никакой дополнительной аутентификации не требовалось.
Если Telegram входит в систему с другого устройства, на номер телефона клиента был отправлен другой облачный код. Для входа в мессенджер достаточно иметь доступ к сим-карте, указанной при регистрации.
Мы рекомендуем вам настроить функцию, которая позволяет вам вводить пароль при входе в свою учетную запись. Установка дополнительного пароля находится в «Настройках». Пароль должен состоять не менее чем из 8 символов. Чем он длиннее, тем надежнее. При входе в свой профиль вам потребуется двойная аутентификация, то есть ввести облачный код и пароль. Двухступенчатая защита увеличивает степень защиты данных.
Взлом серверов
Взломать сервер Telegram не так-то просто. Разработчики мессенджера даже несколько раз объявляли конкурс и предлагали хакерам денежное вознаграждение. Правда, приз в несколько сотен тысяч долларов за взлом сервера Telegram никто не получил.
Иногда программа дает сбой, не позволяет отправлять сообщения, а отправленную информацию невозможно открыть или прочитать. Это часто случается, если Telegram перегружен запросами. В этом случае вам нужно подождать некоторое время (несколько минут или часов), и программа заработает. Серверы Telegram расположены в пяти разных странах. Взломать их практически невозможно. Однако время от времени программа может давать сбой. Через некоторое время эта проблема исчезнет сама по себе.
Перехват файлов
Существуют специальные программы для перехвата файлов, отправленных пользователем Telegram. Подобные продукты устанавливаются в компаниях, ведущих деловую переписку с помощью мессенджера. Установка программы для перехвата файлов осуществляется с разрешения руководства. С его помощью отслеживается переписка сотрудников.
Если кто-то отправляет конфиденциальную информацию конкурентам, программа перехватывает файлы. С помощью такого алгоритма можно осуществлять несанкционированный перехват данных.
Увы, Telegram уже взламывали, причём демонстративно
Пользователь Хабра ne555 год назад подробно рассказал, как взломать Telegram. Он обошел сквозное шифрование мессенджера в Android и отправил разработчикам отчет об ошибке.
Не получив ответа, ne555 связался с волонтерами, которые обещали передать информацию руководству Telegram. Но никакой реакции не последовало.
Результат: хакер обошел двухфакторную аутентификацию, получил доступ к секретным чатам со сквозным шифрованием и смог читать и отправлять им сообщения.
При этом настоящий владелец аккаунта даже не догадывался, что его взломали.
И когда хакер попытался выйти из всех сеансов с реальной учетной записи, фальшивая учетная запись даже не была выгнана из сети. Ключи сеанса и графика также не изменились.
В целом хакеру удалось провести еще несколько экспериментов, пока аккаунт Telegram не был заблокирован, а секретные чаты не удалены. Не быстро, давайте посмотрим правде в глаза.
Связи пользователей Telegram друг с другом тоже раскрывали
Чтобы выявить связи любого выбранного абонента, прослушать его голосовую почту, прочитать переписку, необходимо сначала войти в его учетную запись. Самый простой способ войти в систему – использовать облачный пароль. Вы можете войти в определенную учетную запись пользователя с другого устройства. Вы также можете получить чужой пароль, взломав страницу с помощью хакерской программы. Сотовый протокол SS7 уязвим. Хакеры могут использовать специальную программу для перехвата пароля, отправленного на телефон в виде SMS.
Сложнее получить доступ к учетной записи, которая даже защищена паролем. Двойная степень защиты полностью исключает взлом страницы. Если пользователь использует секретный чат, взломщик его профиля не найдет никакой информации. Сквозные зашифрованные сообщения не сохраняются на сервере или в профиле клиента, они автоматически удаляются через некоторое время.
Передаваемые через Telegram файлы уже перехватывали
В июне Symantec рассказала об уязвимости Media File Jacking для Android-версий Telegram и WhatsApp. Установлено, что мессенджеры сохраняют изображения во внутренней памяти или во внешней памяти. Второй опасен.
Если вы отправляете файлы на внешнее хранилище, они могут быть украдены внешними вредоносными программами. А также заменить или изменить.
Следовательно, скриншоты с номерами карт и кошельков не должны передаваться точно таким образом. А также личные фотографии душа.
Многие эксперты считают защиту в Telegram просто маркетингом
Telegram не намерен говорить о протоколе MTProto 2.0 и никогда не проводил внешний аудит.
Еще один момент: что происходит, когда пользователь Telegram отправляет сообщения, а получатель не в сети? Вероятно, сообщения отправляются на серверы Telegram, объединенные в виртуальное облако. Они синхронизированы друг с другом. Как только получатель появится в сети, он получит сообщения.
Таким образом, трафик по-прежнему проходит через сервер. Хотя многие специалисты считают, что логичнее было бы установить соединение клиент-клиент, например, одноранговое (P2P).
В итоге получается, что общение в Telegram вообще не работает без постоянного использования серверов. В других мессенджерах есть более элегантные и безопасные решения, например, когда серверы используются только для сравнения текущих IP-адресов собеседников и организации прямого соединения между ними.
Кроме того, эксперты считают, что алгоритм Диффи-Хеллмана в Telegram сознательно ослаблен на уровне генератора псевдослучайных чисел. Эти номера не генерируются на вашем смартфоне или ПК: приложение запрашивает их с сервера. Как там организовано поколение, знают только разработчики.
Клиент с открытым исходным кодом – еще одна большая проблема. Более-менее регулярно обновляется только репозиторий настольной версии, и снова он размонтируется. Из каких готовых дистрибутивов они собраны, быстро проверить невозможно.
Привязка к телефону
Аккаунты Telegram привязаны к номерам телефонов. Это влияет как на анонимность, так и на безопасность.
Коды подтверждения отправляются через SMS. Известная дыра в протоколе сотовой связи SS7 позволяет их перехватывать и заменять.
Перехватывая код, вы получите доступ к переписке в обычных чатах. Вам даже не нужно ломать MTProto. Сервер автоматически изменит ключ и расшифрует недоставленные сообщения. И это минимум!
Еще одна проблема – push-уведомления. Именно они предупреждают о прибытии, не запуская мессенджер. Но сервер push-уведомлений на самом деле является разрешенной вами атакой типа “злоумышленник посередине”. И так обстоит дело во всех популярных мессенджерах.
Что делать обычному пользователю Telegram?
Не ведите приватных чатов. Не передавайте через них информацию, которая может быть использована против вас.
Альтернативой Telegram, например, является Signal. Его рекомендовали основатель WikiLeaks Джулиан Ассанж и бывший офицер АНБ и ЧР Эдвард Сноуден.
Другой вариант – мессенджеры с поддержкой OTR: Adium, Conversations Legacy, Xabber, Pidgin (с плагином), Conversations и т.д. И личные встречи в чистом поле без свидетелей.
Как деанонимизацией в Telegram пользуются силовики?
Как правило, у них есть свои боты, и для них вообще не проблема войти в аккаунт. Сотрудник службы безопасности может пойти в магазин мобильного оператора, предоставить фальшивую доверенность и получить сим-карту с нужным номером. Через него он входит в свой аккаунт (в утечках чаще всего просачиваются пароли).
Массовая деанонимизация мессенджеров началась в 2020 году. Сотрудники службы безопасности обратились к предполагаемым администраторам канала Telegram Cello Case, где произошла утечка компромата, и изъяли SIM-карту, привязанную к учетной записи. То же самое произошло после фальшивых публикаций на Незыгаре о введении комендантского часа. Данные о директорах впоследствии были опубликованы на других каналах.
Как обезопасить себя от деанонимизации?
Вот несколько советов от правоохранительных органов:
• Иметь как минимум две учетные записи: для тех, кому вы доверяете, и для остальных
• Используйте двухфакторную аутентификацию. Это означает, что для доступа к своей учетной записи вы должны сначала ввести имя пользователя и пароль, а затем написать специальный код по SMS или электронной почте
• Клонируйте необходимые учетные записи на гаджете резервного копирования
Что можно узнать, имея номер телефона?
Благодаря ему вы можете увидеть, в каком еще мессенджере находится этот человек, если номер встречался на других сайтах, например, на Авито. В платных телеграм-ботах вы найдете страницу ВКонтакте, связанную с этим номером телефона и даже с машиной этого человека.
Как увеличить безопасность приложения?
Пользователи Telegram, использующие возможности мессенджера для личной переписки, могут ввести пароль при входе и не беспокоиться о безопасности своих данных. Взлом личных страниц происходит крайне редко. Хакеры работают за высокие денежные комиссии. Информация, не содержащая коммерческой тайны, никого не интересует.
Нередко взламывают деловую переписку, которую ведут сотрудники компании с помощью Telegram. Мессенджер предлагает своим клиентам возможность хранить и отправлять документы, фотокопии, фотографии, текстовые, голосовые и видео файлы. Рекомендуется защитить конфиденциальную информацию от взлома. Не рекомендуется доверять конфиденциальную информацию мобильным приложениям.
Способы защитить вашу переписку в Telegram:
Правда, информацию на компьютере или смартфоне можно прочитать при включенном устройстве. В этом случае рекомендуется установить пароль для доступа к устройству.
Надежность защиты переписки в Telegram зависит не только от программных возможностей мессенджера, но и от самих клиентов. Рекомендуется не оставлять смартфон без присмотра. Рекомендуется выключать компьютер в нерабочее время.
Ни одна программа не может гарантировать 100% защиту от взлома. Конфиденциальную информацию Telegram лучше не доверять. Приложения, поддерживающие OTR, считаются более надежными (например, Conversations, Adium, Xabber и другие).
Как общаться в Telegram безопасно
Чтобы общаться в Telegram максимально безопасно, воспользуйтесь нашими советами:
Можно ли удалить информацию из баз?
Да, полное удаление человека из базы стоит 100-200 тысяч рублей. На защиту от проникновения стоит 12 тысяч рублей в год.
Способы сделать использование мессенджера еще более безопасным
Мы выяснили, насколько безопасен Telegram. Но разработчики предоставили пользователям сервиса дополнительные инструменты, чтобы сделать общение по-настоящему безопасным. Они работают как коллективно, так и по отдельности.
Создавайте секретные чаты для большей безопасности
Для переписки в секретных чатах применяется специальный метод шифрования: пользователь – пользователь. Что предлагает:
* Разработчик до сих пор не обещает 100% защиты от проверки переписки.
Создать секретный чат несложно:
Включайте опцию самоуничтожения сообщений по таймеру
В секретном чате можно активировать самоуничтожение сообщений по таймеру. В этом случае ваши сообщения после прочтения получателем будут удалены через определенный промежуток времени. Минимальный период таймера – 1 секунда, максимальный – 1 неделя. Сообщения удаляются как на вашем устройстве, так и на устройстве получателя. Так ваша безопасность в Telegram будет еще выше.
Примечание. Если таймер исходящих сообщений составляет менее 1 минуты, получатель сможет просматривать отправленные вами фотографии, только удерживая их пальцем. Это создает дополнительные трудности при попытке сделать снимок экрана с экрана.
Подключайте двухэтапную авторизацию
Как вы понимаете, если злоумышленник получит доступ к вашей SIM-карте, он сможет легко получить доступ к вашему профилю Telegram на любом устройстве. Но если вы включите двухэтапную проверку, злоумышленник не избежит наказания. Как это работает:
включить функцию очень просто:
Поэтому наличия сим-карты на руках у злоумышленника будет недостаточно для доступа к вашему профилю в мессенджере. Ваши личные данные в безопасности
А для еще большей безопасности можно установить код-пароль
Код-пароль – это возможность закрыть доступ к мессенджеру любому, кто попадет в руки к телефону. Например, ребенок берет в руки смартфон, чтобы посмотреть фотографии или поиграть в игру: зачем беспокоиться, что он что-то удалит из переписки или отправит себе сообщение там, где ему это не нужно (например, начальнику). Просто измените настройки приватности, и система запросит пароль при запуске приложения. И вопрос о том, читает ли ваша семья Telegram в ваше отсутствие, отпадет сам собой.
И в заключение напоминаем о необходимости соблюдать гигиену в Интернете: мы выходим в Интернет только с работающим антивирусом, мы не останавливаемся на сайтах с летающими баннерами и ни в коем случае не нажимаем на эти баннеры. Также следует быть внимательными при выборе сайтов для загрузки программ.
