Digital-лабораторія
IT технологій

UK EN

Кібербезпека

Безпека і анонімність в Telegram

07/06/2023
Konrad Ravenstone
1 762

Головна » IT Блоґ » Безпека і анонімність в Telegram

У цій публікації ми детально розглянемо що являє собою Telegram з погляду безпеки. Яка його архітектура і модель шифрування. Які налаштування приватності він надає. Як зберегти анонімність в Телеграм і захистити свої акаунти, канали, групи.

За статистикою, Telegram входить у п’ятірку найпопулярніших додатків в Україні. Користуються ним широкі верстви населення. Загальна кількість користувачів по всьому світу перевалила за пів мільярда. На перший погляд, це просто цифри. А для когось Telegram – серйозний інструмент електронної розвідки та соціальної інженерії. Чимало функцій у ньому є шпигунськими, у цьому ви переконаєтесь на власному досвіді, ознайомившись з нашим матеріалом.

Архітектура і структура Telegram

ℹ️ Telegram – це централізована платформа для онлайн-комунікації, розроблена в росії братами Павлом та Миколою Дуровими й запущена 14 серпня 2013 року. Надає користувачам різноманітні електронні сервіси, такі як: обмін онлайн-повідомленнями, надсилання і зберігання файлів, чати, групи, канали, стрічки новин, голосові дзвінки, мультимедіа та багато іншого.
Штаб-квартира Telegram знаходиться в Дубаї, ОАЕ. Більшість розробників, як йдеться на офіційному сайті, родом з Санкт-Петербурга. Юридично, за даними комісії цінних паперів США, Telegram зареєстрований на Британських Віргінських Островах. За даними офіційного сайту, Telegram складається з 3-х компаній: материнської Telegram Group Inc., групи Telegraph Inc. (Британські Віргінські Острови) та Telegram FZ-LLC (Дубаї).

Архітектурна Telegram є клієнт-серверною, тобто складається з 2-х частин:

◉ Серверна частина (Server Side) – це хмарні і фізичні сервери, які виступають накопичувачами даних. Серверна інфраструктура налічує десятки центрів обробки даних (ЦОД) в різних країнах, які підпорядковуються місцевому законодавству. Сервери адмініструються і обслуговуються інженерами Telegram.

◉ Клієнтська частина (Client Side) – це додаток для мобільного та десктопного пристроїв, з яким взаємодіє користувач. Додаток є багатоплатформним й підтримує майже всі популярні операційні системи: Windows, Windows Phone, Linux, Android, MacOS, iOS, iPhone, iPad. Окрім цього, існує web-версія Telegram Web – нею можна користуватися лише через веб-браузер за наявності облікового запису.

Мережева карта серверів Telegram. Джерело: DNSdumpster.

Клієнтська і серверна частини постійно комунікують між собою. Через клієнтську частину користувацькі дані синхронізуються з серверами Telegram. Вони шифруються авторським алгоритмом MTProto 2.0 з 256-бітними AES-ключами в режимі IGE (Infinite Garble Extension). Вихідний код його закритий — у вільному доступі лише його специфікація, що не дає можливості оцінити незалежним дослідникам провести аудит і пентест. У такому випадку користувачу залишається або відмовитися від використання сервісу, або довіритися розробнику, що по суті суперечить правилу нульової довіри Zero Trust Architecture: «Ніколи не довіряти, завжди перевіряти».

Основним недоліком Telegram є його модель шифрування за принципом – “клієнт-сервер/сервер-клієнт” (Client-Server/Server-Client, MTProto 2.0 Part 1). За такої моделі сервер виступає посередником і має доступ до ключа шифрування (!). Власники серверів в теорії можуть за потреби розшифрувати й прочитати будь-яке повідомлення.

Зберігання ключів шифрування на сервері, а не на локальному пристрої користувача, є досить ненадійним і суперечить самій логіці шифрування. Якщо на сервері з’явиться вразливість, то він може бути зламаний, скомпрометований і підроблений. У висновку зловмисник отримає доступ до конфіденційних або службових даних. Подібне колись регулярно траплялося з криптобіржами, які зберігали ключі на слабо захищених серверах.

Telegram тут теж не виняток. У 2019 році хакер під ніком Bo0oM опублікував пост “Як я ламав Telegram”, де він детально розповів як наткнувся на один з незахищених Apache-серверів Телеграму. У 2021 році видання The Guardian повідомляли, що засновник Telegram фігурує у списку осіб, за яким стежить зловмисне програмне забезпечення Pegasus, яке може проникати на будь-які цифрові носії.

Окрім цього, в усіх чатах, окрім секретних, відсутнє наскрізне E2EE-шифрування (!) – використовується звичайне TLS/SSL-з’єднання. Чому воно не працює у всіх чатах по замовчуванню Павло Дуров спробував відповісти в статті “Why Isn’t Telegram End-to-End Encrypted by Default?”. 80% тексту тут побудована на спростуваннях і запереченнях WhatsApp. Однак, можна зрозуміти, що розробники просто не хочуть позбавляти користувачів основної функціональності – хмарного накопичувача в режимі реального часу. Це дає можливість отримувати одночасний доступ до акаунта на різних пристроях, системах, платформах. Тобто. дарує кросфункціональність. Якщо увімкнути E2EE – швидкість може знизитися у кілька разів. Детальніше про секретні чати і як вони влаштовані читайте нижче в окремому розділі.

Щодо клієнтської частини Telegram, то вихідний код додатка розміщений у вільному доступі (ліцензія OpenSource GPLv2/v3). Це дозволило незалежним розробникам створити власні альтернативні версії Telegram з додатковим функціоналом.

Ось деякі з них:

Примітка: Користуючись неофіційними збірками Telegram, ви берете на себе усі ризики та відповідальність, які можуть бути з ними пов’язані. Telegram не відстежує їх вразливості. Один з таких випадків стався на початку 2023-го – хакерська група “StrongPity” поширювала троянізовані версії Telegram. Постраждали чимало користувачів.

Клієнтська частина Telegram, окремо від серверної, зберігає на пристрої користувача певні дані, а саме: дані профілю, кешовані повідомлення, файли, сесії, логи, конфіги. До прикладу, якщо ви знайдете теку Telegram-Desktop на своєму комп’ютері й зайдете в неї, то побачите там директорію tdata і файл log.txt (журнал запуску додатка). В директорії tdata зберігаються усі технічні файли облікового запису Telegram, включаючи сесію користувача.

⚠️ УВАГА: Якщо ваша система зламана і зловмисник якимсь чином скопіював теку tdata собі на пристрій — він зможе безперешкодно отримати доступ до вашого акаунта БЕЗ АВТОРИЗАЦІЇ й ПАРАЛЕЛЬНО з вами користуватися ним. Цю сесію ви не побачите у налаштуваннях Telegram. Це дуже небезпечний і доволі поширений трюк.

На смартфоні усе діє аналогічно, хоча там дещо складніше (залежить від моделі смартфона та версії Android). Зловмисник зламує через шкідливе ПЗ (наприклад, стилер або Pegasus) дешевий, не оновлений китайський смартфон і отримує доступ до всіх файлів, далі просто копіює їх собі на локалку і вуаля.

На пристроях під управлінням ОС Android файли Telegram зберігаються в директорії /Android/data/org.telegram.messenger. Тут є директорії cache і files. Відповідно в них зберігається вся активність вашого акаунта в Telegram.

Рекомендуємо ці директорії час від часу очищати. Це можна робити вручну з допомогою файлового менеджера Total Commander та через налаштування Telegram: Settings -> Data and Storage -> Storage Usage.

Telegram також має власний API-інтерфейс (Application Programming Interface) – це технологія віддаленої взаємодії з серверами, що дозволяє досвідченим користувачам на базі Telegram створювати власні боти, додатки, інтеграції. Також присутній CLI (Command Line Interface) – керування Telegram засобами командного рядка, але він неофіційний. Обидві функції надають користувачам розширені переваги. Інструменти, які застосовують API та CLI Telegram детально розглянемо в окремому розділі нижче.

👉 Посилання на додаткові матеріали з аналізом безпеки архітектури Telegram:

⏩ Telegram: End-to-End Encrypted Voice and Video Calls
⏩ Telegram: Perfect Forward Secrecy
⏩ Telegram: Should you stop reading Gizmodo right now?
⏩ Así funciona la seguridad de Telegram
⏩ Four Attacks and a Proof for Telegram
⏩ A practical cryptanalysis of the Telegram messaging protocol
⏩ Andrea Fortuna. Security analysis of Telegram Messenger
⏩ Dear Telegram, stop calling Cloud Chats encrypted, let alone heavily encrypted
⏩ Security Analysis of Telegram (Symmetric Part)
⏩ Security Analysis of Telegram
⏩ On the CCA (in)security of MTProto
⏩ Forensic analysis of Telegram Messenger on Android smartphones
⏩ Automated Symbolic Verification of Telegram’s MTProto 2.0
⏩ Cryptographers unearth vulnerabilities in Telegram’s encryption protocol
⏩ Four cryptographic vulnerabilities in Telegram
⏩ Insecure by Design: As Millions Flock to Telegram, 7 Reasons to Question the App’s Privacy Claims
⏩ Telegram Review 2022: NOT as Private as You Think
⏩ Mozilla: Privacynotincluded. Telegram.
⏩ Telegram: A New Place for Hackers
⏩ Francesco Piccinno. Telegram: goto fail (twice)

Які користувацькі дані збирає і зберігає Telegram?

У Політиці конфіденційності Telegram вказано наступне:

“Telegram підтримує величезні спільноти, які ми маємо контролювати проти зловживань і порушень Умов використання. Telegram також має понад 700 мільйонів користувачів, що робить його прибутковою мішенню для спамерів. Щоб підвищити безпеку вашого облікового запису, а також запобігти спаму, зловживанням та іншим порушенням наших Умов використання, ми можемо збирати такі метадані, як ваша IP-адреса, пристрої та програми Telegram, якими ви користуєтеся, історія змін імені користувача тощо. У разі збору ці метадані можна зберігати максимум 12 місяців.”

Політика використання даних користувача в додатку Telegram. Інформація вказана розробником в репозиторіях Google Play та Apple AppStore.

Точно з’ясувати які дані користувача зберігаються на серверах Telegram допоможе функція “Експорт профілю”. Її ввели на вимогу GDPR. Присутня вона лише на Telegram Desktop останніх версій і знаходиться в меню Advanced -> Export Telegram Data. Щоб розпочати, оберіть усі типи даних, виставте максимальний поріг об’єму даних, вкажіть шлях до збереження на комп’ютері і задайте формат – HTML або JSON. Отже, тиснемо Export – з’явиться вікно з ініціалізацією завантаження. Жодних додаткових підтверджень особи або введення пароля Telegram не потребує. І це теж трохи дивує.

Процес відбуватиметься у фоновому режимі, ви можете закрити вікно. У верхньому рядку побачите виконання – “Exporting your data”. Ви можете вилучити будь-який файл в процесі експорту, натиснувши “Skip this file”.

Після завершення побачите сповіщення з відомостями щодо кількості отриманих файлів та загального об’єму у мегабайтах. Натисніть “SHOW MY DATA”, щоби перейти безпосередньо до результатів:

Ви побачите збережені на вашому комп’ютері дані. Відкрийте файл export_results.html – відобразиться сторінка з вибором ваших даних, розбитих за категоріями:

Проаналізуємо, які користувацькі дані було отримано в результаті експорту:

👉 Phone number. Ваш номер телефону, прив’язаний до Telegram. Це основний ідентифікатор користувача в Telegram.
👉 First name і Last name. Ім’я користувача. Якщо ви, наприклад, ці дані не вказували, скориставшись лайфхаком “Порожнє ім’я” (див. нижче), то вони не будуть відображені.
👉 Username. URL-адреса вашого профілю.
👉 Bio. Коротка інформація, яку можна вказати про себе в описі профілю.
👉 Chats. Надається повний список назв публічних груп і каналів (без їх опису і аватарок), в яких перебував користувач. Причому навіть тих, з яких користувач вийшов. Якщо користувач залишав там якісь повідомлення – вони також збережуться і покажуться в хронологічній послідовності з вказаними датою і часом. Цікаво, що сюди не потрапили секретні чати Telegram з наскрізним E2EE-шифруванням. Ми їх розглянемо трохи нижче. Також сюди потрапила історія листування з Телеграм-ботами (включаючи BotFather), а також папка з особистими нотатками “Saved messages”. Якщо ви в цю папку відправляли фото і різні файли (pdf, zip, mp3, mp4 і ін.) – вони будуть в експорті. Присутні канали, в яких користувач був адміністратором з усіма публікаціями.
👉 Contacts. Телеграм по замовчуванню просить отримати доступ до телефонної книги з вашими контактами, щоб синхронізувати їх зі своїми серверами і повідомляти вас або ваші контакти, якщо хтось приєднається до Телеграм. Якщо погодитися, то месенджер буде щоразу додавати на свій сервер нові контакти, якщо вони у вас з’являться. Цікавим виявилось наступне: імена синхронізованих контактів показані в експорті не ті, які були у вашій телефонній книзі, а ті, які вперше вказали у своєму профілі самі користувачі. Також вказана дата і час синхронізації. У цьому списку не буде заблокованих користувачів.
👉 Profile pictures. Усі зображення, які користувач завантажував як фото профілю.
👉 Sessions. Інформація про сеанси Telegram. Буде показано з яких пристроїв, моделей смартфонів, операційних систем входив у свій акаунт користувач. Також показана геолокація та IP-адреса. Вказані дата і час створення акаунту та останньої активності. Як бачимо, Telegram фіксує буквально все.
👉 Other data. У цій папці найважливіше. Дані подаються у форматі JSON. Також зазначається, що Telegram зберігають ці дані максимум 12 місяців:“We may collect data such… for 12 month maximum”. Ми знайшли тут історію IP-адрес, з яких здійснювався вхід в акаунт, логи всіх змін в акаунті (назва зміни, дата, IP-адреса, країна, ID додатку та сесії з яких вносилися зміни), чернетки повідомлень з деякими ботами, посилання встановлені стікер-паки. Уявіть собі скільки взнає зловмисник, якщо зламає чийсь акаунт і скористається експортом. Хоча, подібні логи насправді фіксуються майже у всіх сучасних додатках і онлайн-сервісах, просто не всі дають їх вивантажити в такому об’ємі.

Отже, ви наочно переконались скільки всього про вас знає Telegram. Нижче можете ознайомитись з основними порадами як зменшити ризики використання Telegram та знеособити свої персональні дані.

Налаштування безпеки Telegram-акаунта

Основні налаштування безпеки знаходяться в меню “Privacy and Security”:

✅ Two-Step Verification – двофакторна верифікація (не плутати з класичною двофакторною авторизацією, де формується на окремому пристрої чи додатку OTP-код , який потрібно ввести). Являє собою просто додатковий пароль на доступ до вашого акаунта. Навіть якщо зловмисник отримає доступ до вашої SIM-картки й отримає SMS-підтвердження, то двофакторна верифікація не пустить його в акаунт. Рекомендується в обов’язковому порядку вмикати, інакше можете опинитися під реальною загрозою. Більшість варіантів зламу Телеграм-акаунтів стаються саме через відсутність двофакторної верифікації. Пароль варто вказувати складний, довгий — не менше 20 символів, що складається з різних цифр, латинських літер верхнього та нижнього регістру, спецсимволів. Слабкий пароль можуть підібрати методом bruteforce-перебору. При встановленні двофакторної верифікації, Telegram попросить вказати додаткову підказку (у випадку якщо забудете пароль) і електронну пошту для відновлення у разі втрати доступу. Краще проігноруйте і не вказуйте жодної додаткової інформації. А якщо вирішили перестрахуватися й додати email, то використовуйте тільки захищеного провайдера з PGP-шифруванням і двофакторною авторизацією. Наприклад, Protonmail або Tutanota.
✅ Auto-Delete Messages – автоматичний таймер видалення повідомлень. Якщо включено, ваші повідомлення автоматично зникатимуть з чатів по досягненню відповідного часового інтервалу. Корисно, якщо спілкуєтесь на різні приватні теми. Однак варто пам’ятати, що будь-які повідомлення, окрім секретних чатів, все одно зберігаються на серверах.
✅ Passcode Lock – встановлення PIN-коду на доступ до додатка Telegram. Рекомендується активувати, щоб обмежити несанкціонований доступ. Наприклад, при втраті телефона. Виставте потрібний час автоматичного блокування: 1 хв, 5 хв, 1 год, 5 год. Опцію “Show Content” бажано вимкнути, щоби push-сповіщення не з’являлися на екрані, коли пристрій заблоковано.
✅ Blocked users – керування функцією блокування користувачів в Telegram. Заблоковані користувачі не зможуть відправляти вам повідомлення, додавати до груп, бачити ваш статус онлайн та фото профілю. У будь-який момент ви можете відключити і розблокувати користувача.
✅ Devices – перегляд активних сесій акаунту Telegram. Тут можна контролювати на яких пристроях авторизований додаток, чи немає підозрілих сесій, пристроїв, локацій, IP-адрес. Можна перейменовувати та вилучати сесії, прив’язувати нові по QR-коду, а також виставити період неактивності свого акаунта, відповідно до якого він самознищиться (мінімальне значення – 1 тиждень, максимальне – 1 рік). Може бути корисним, якщо ви створюєте щось тимчасово.
✅ Phone number – дає можливість приховати свій номер телефону від інших користувачів в Telegram. Рекомендується виставити режим видимості “Nobody” з доступністю тільки для своїх контактів “My contacts”. Це потрібно зробити одразу після реєстрації, в іншому випадку різні боти просканують ваш профіль і внесуть номер в базу даних, яка може використовуватися ким та як завгодно. Видалити себе з цієї бази буде неможливо.
✅ Last seen & online – дає можливість приховати час і дату останнього входу в Телеграм, що унеможливлює стеження і таймінг-атаки. Існують боти й інструменти API, які ведуть запис часу проведеного у мережі конкретного користувача і відправляють метадані зловмиснику. Таким чином можна розібратися, коли і хто виходив на зв’язок в Телеграмі та багато іншого.
✅ Profile photos – дає можливість обмежити відображення вашого аватара іншим користувачам Telegram.
✅ Forwarded messsages – дає можливість обмежити пересилку ваших повідомлень іншими користувачами. Корисна опція, яка додає приватності й захищає від різних атак і маніпуляцій з вашими повідомленнями.
✅ Calls – дає можливість обмежити дзвінки від невідомих осіб або взагалі відключити їх. Можна надати дозвіл лише для обраного списку. Важливою є опція “Use peer-to-peer”. Якщо увімкнути — ваш співрозмовник зможе дізнатися вашу IP-адресу (наприклад через фільтри Wireshark). Якщо вимкнути — усі дзвінки будуть йти через сервери Телеграм. Є також опція зробити P2P активним лише для обраних контактів.
✅ Groups & channels – дає можливість заборонити, щоби інші користувачі не додавали й не запрошували вас до груп й каналів. Допоможе захиститись від спаму.
✅ Voice messages – дає можливість заборонити відправляти вам голосові повідомлення (доступно тільки по підписці на Telegram Premium).
✅ Clear Payment and Shipping Info – дозволяє очистити всю платіжну інформацію, пов’язану з вашим обліковим записом.
✅ Logged in with Telegram – перегляд сайтів, на яких ви авторизувалися через Telegram.
✅ Delete Synced Contact – вилучає з Telegram синхронізовані контакти з вашої телефонної книги.
✅ Sync Contacts – рекомендуємо вимкнути синхронізацію контактів в Telegram. Додатково, можете заблокувати Telegram доступ до ваших контактів через налаштування смартфона. Річ у тому, що Телеграм на своїх серверах вибудовує гігантську карту соціальних зв’язків, аналізуючи як вони пов’язані один з одним.
✅ Suggest Frequent Contacts – формування списку контактів, з якими користувач найчастіше спілкується. Шпигунська функція, яка збирає статистику по контактах. Рекомендуємо відключити.
✅ Sesnsitive content – дає можливість відключити автоматичну фільтрацію контенту в Телеграм, таким чином ви зможете бачити будь-які пости в Telegram. Опція присутня лише в Desktop-додатку.
✅ Map preview provider – ви можете змінити постачальника сервісу онлайн-мап. Це корисно, якщо вирішили відмовитись від сервісів Google.
✅ Link Previews – ця опція включає прев’ю сніппетів для URL-посилань. Таким чином ви будете бачити куди веде посилання, перед тим як перейти по ньому.

В додатку Telegram Desktop є інші корисні опції, які знаходяться в меню “Settings” -> “Advanced”:

✅ Connection type – дозволяє підключатися до Телеграм через сторонні проксі-сервери. Корисно, якщо ви не хочете світити в Телеграм свою IP-адресу і щоб трафік через сервер, а не напряму через ваш пристрій. Підтримуються різні типи з’єднань: IPv6, HTTP, SOCKS5, MTPROTO.
✅ Manage local storage – дозволяє керувати даними, які Телеграм зберігає на вашому пристрої, зокрема кеш. Бажано, щоб він не застоювався і очищався якомога частіше (див. вище).
✅ Ask download path for each file – Телеграм запитуватиме вас куди зберігати файли при завантаженні. В іншому випадку, він буде зберігати їх автоматично у папку по замовчуванню. Це захистить вас від потрапляння зайвих файлів на ваш комп’ютер.
✅ Automatic media download – дає можливість відключити автоматичне завантаження файлів з чатів, груп, каналів на ваш пристрій. Це може бути корисним, тому що в іншому випадку Telegram не питаючи дозволу автоматично завантажуватиме будь-який контент. Найкраще відключити й самому вирішувати, що треба завантажувати, а що ні.
✅ Battery and Animations – можна відключити інтелектуальну систему керування батареєю і відключити анімацію в Telegram.
✅ Spell checker – рекомендуємо відключити перевірку орфографії Telegram. Під цим виглядом здійснюється відстеження вводу клавіатури та персоналізація.

ℹ️ Важливо провести усі налаштування безпеки одразу після реєстрації, адже потім може бути пізно — боти регулярно сканують Telegram на наявність нових профілів й відразу копіюють будь-яку знайдену інформацію у свою базу, де вона залишається фактично навічно (навіть після видалення акаунта Telegram).

Також радимо обмежити дозволи й доступи для Telegram на рівні Android (або iOS, залежно від операційної системи вашого пристрою). Для цього перейдіть в меню Apps та оберіть у списку додатків Telegram й відключіть усе зайве, наприклад:

Додаткові поради та заходи як захистити акаунт в Telegram

Не реєструйтеся в Telegram за мобільним номером, який звично використовуєте в житті. По номеру можна провести різнорівневі атаки: SS7, SMS-bombing (Flood Attack), SMiShing, Vishing. Крім того, у Телеграмі існують боти, які збирають телефонну базу номерів і незаконно збувають або зливають в інтернет. Краще придбати окремий стартовий пакет (пам’ятайте, що номер повинен бути чистий, без історії. Перед покупкою пробийте його в Getcontact на наявність тегів), а ще краще закордонну SIM. Рекомендуємо використовувати номери Євросоюзу. Річ в тому, що аби захистити дані користувачів ЄС, Telegram змушений ОБОВ’ЯЗКОВО відповідати європейським нормам і стандартам безпеки, включаючи GDPR. В іншому випадку, з нього стягнуть штрафи або взагалі заблокують. Ви також можете придбати анонімний NFT-номер з префіксом +888 на платформі fragment.com за криптовалюту TON і зареєструватися в додатку без SIM-картки. Якщо номер стане в майбутньому непотрібним, ви зможете продати його на цій же платформі. Цю можливість ввів сам Telegram. Прив’язаний до акаунта номер в майбутньому можна змінювати.
Не задавайте username у своєму акаунті. Це не обов’язково. Якщо username вказано, профіль будь-якого користувача стає вразливим до різних атак, його можна відкрити у будь-якому браузері: https://t.me/USERNAME. Такий профіль індексується пошуковими системами і з’являється у відкритому доступі. По юзернейму можна вирахувати ідентифікатор користувача Telegram ID і провести деанон. По юзернейму вас будуть парсити і аналізувати ваші повідомлення в групах. Якщо ж задаєте юзернейм, то робіть його унікальним, аби він не співпадав з іншими вашими URL та нікнеймами в інтернеті (перевірити їх можна інструментами Maigret, Sherlock або Instantusername). До речі, Username в Телезі можна змінити і навіть продати на аукціоні fragment.com.
Не вказуйте свої справжні ім’я та прізвище. Ці поля хоч і обов’язкові, але є довільними. Ви не змушені вказувати персональні дані. Можна також скористатися лайфхаком і ввести невидимі спецсимволи, наприклад “м’яке перенесення” – символ пробілу в таблиці Юнікод (U+00AD). Ваше ім’я стане невидимим. Хочемо зауважити, що будь-які зміни в профілі відразу фіксуються на серверах Telegram. Тобто, якщо ви при реєстрації вказали одне ім’я, а потім інше, то це відобразиться в історії вашого Telegram ID. І, за певних обставин, з допомогою API цю історію можна спарсити.
Не завантажуйте свої справжні фото на аватар, а також зображення, які ви використовуєте на інших сайтах. По фото можна провести розгорнуте дослідження, визначити метадані і геолокацію, знайти профілі в соцмережах та пов’язати віртуальні дані (Fingerprint) з вашою реальною особою. В OSINT присвячений окремий розділ веб-аналітики — розвідка по зображенню – IMINT (Image Intelligence). В іншому випадку проведіть пост-обробку зображення в Photoshop (приберіть різкість, заблюрте зайві елементи) й очистіть EXIF-дані (сучасні фотокамери часто записують в файл зображення час і дату знімання, GPS-координати).
Якщо ви змушені часто користуватися Telegram з тих чи інших причин (наприклад, робота, активізм, навчання), створіть кілька акаунтів і використовуйте для різних задач. Наприклад, один анонімний (про який не знає ніхто) для адміністрування груп, інший для спілкування. Не змішуйте професійне і особисте (друзі, родичі, знайомства, чати, новини). До речі, Telegram підтримує мультиакаунт. Можна перейти в налаштування і натиснути “Add Account”, далі пройти звичний процес реєстрації й ви зможете перемикатися між акаунтами в одному профілі. Максимально так можна додати до 3-х акаунтів, хоча це обмеження відсутнє в неофіційних версіях Telegram. Існує більш конфіденційний спосіб: використати спеціальний додаток для Android чи iOS, що дозволить користуватися декількома Telegram одночасно на одному пристрої й у вас буде декілька не пов’язаних між собою профілів. Ще один спосіб — просто встановити різні неофіційні збірки Telegram на пристрої.
Не вмикайте опцію “People Nearby” (Люди поруч) -> “Make Myself Visible”. Через неї Telegram отримує доступ до ваших GPS-координат та визначає локацію інших людей, присутніх у Telegram, поблизу з вами у вашій місцевості, з точністю до метра! Далі ці дані, ймовірно, теж зберігаються на серверах. Цікаво, що подібним чином можна проводити GEOINT-розвідку. Наприклад, завантажити додаток “Fake GPS location” або скористатись іншими рішеннями, задати конкретну локацію на мапі й з допомогою Telegram парсити користувачів та групи по заданій локації (див. відео). Чим не інструмент кіберсталкінгу? Хакери таким чином підбирають жертви для своїх атак. Скаммери розсилають фішинг і спам. SEOшники відправляють інвайти та накручують учасників. Ну а зловмисники можуть цю опцію використовувати для визначення фізичного місцеперебування осіб, фішингу, булінгу, вішингу, смішингу, перехвату дзвінків (SS7) та SMS. Дивно, що ця функція, якою можна так зловживати, досі жива.
Не приймайте дзвінки від незнайомих користувачів в Telegram. Ця функція може дозволити визначити вашу IP-адресу (якщо у налаштуваннях приватності увімкнуто “Use peer-to-peer”).
Будьте уважними з папкою “Saved Messages” (дозволяє писати й пересилати повідомлення самому собі) – закріпіть її у списку чатів так, щоб ви її бачили та могли оперативно знайти. Також, пам’ятайте, що ця тека не має наскрізного E2EE-шифрування й усі дані йдуть на сервер. Не використовуйте її для зберігання конфіденційної інформації: паролів, логінів, документів і т.д. Шахраї примудрилися використати цю функцію для викрадення приватної інформації користувачів. Вони реєструють нові акаунти з ім’ям Saved Messages і аватаром закладки, а потім пишуть випадковим користувачам Телеграму й миттєво видаляють свої повідомлення. Після цього, через деякий час діалог залишається і неуважний або заклопотаний користувач шукає в пошуку свою папку “Saved Messages” й знаходить ворожий акаунт “Saved Messages”, якому відправляє свої повідомлення. Сам Telegram рекомендує використовувати приватні канали у випадку, якщо конче треба зберегти щось приватне, наприклад фото.
Не використовуйте Telegram для реєстрації або авторизації на сайтах. Існує чимало випадків, коли саме через цей спосіб викрадали акаунти. Наприклад, ви можете потрапити на фішинговий ресурс з підробленим віджетом “Потрібно авторизуватися через Telegram, щоб продовжити”. У висновку, після входу ваша сесія Telegram та cookie втечуть до зловмисників.
Не переходьте за посиланням, які вам надсилають в Telegram незнайомці. Вони можуть вести на фішингові сайти або шкідливі боти для перехоплення/викрадення користувацьких даних і подальшого зламу акаунта. Вам можуть запросто підсунути IP-логгер для визначення метаданих і GPS-координат. Як перевіряти шкідливі посилання ми писали тут.
Не пересилайте в Telegram скріншоти з номерами кредитних карт, телефонами, паролями та іншими важливими даними. Як показує практика, в Telegram це все зберігається на серверах і локально в кеші пристрою теж. Причому це нерідко стається навіть тоді, коли автотаймер знищення повідомлень увімкнуто.
Дотримуйтесь правил цифрової гігієни в будь-яких публічних чатах Telegram. Не розміщуйте жодної персональної інформації – місце роботи, проживання, вік. Не надсилайте нікому свої документи. Не знайомтеся в анонімних чатах і не робіть там жодних необдуманих висловлювань. Пам’ятайте, що в цих чатах окрім вас перебувають найрізноманітніші люди серед них можуть бути і хакери, і шахраї, і спецслужби. Ось стаття, опублікована Washington Post, в якій йдеться про те як Росія активно стежила за чатами Telegram у рамках своїх операцій проти повстанців в окупованому Херсоні.
Не вмикайте біометрію для входу в Telegram, наприклад вхід по Face ID або відбитку пальця. На сьогодні, ці методи вдосконалюються і можуть містити невідомі раніше 0-Day вразливості. До прикладу, ось одна із офіційно публікованих вразливостей, яка дозволяла зловмиснику підібрати відбиток пальця.
Ми не рекомендуємо застосовувати функцію Telegram Passport – це спосіб авторизації в різних платіжних сервісах, які вимагають ідентифікації особи через документи, що посвідчують особу. Є ризик “посіяти” персональні дані.
Якщо ви бачите, що ваш акаунт скомпрометований і ви маєте доступ до свого мобільного телефону — видаліть акаунт (як це зробити див. нижче) і створіть заново. Це дещо підчистить історію й ускладнить хронологію.
Користуйтеся завжди VPN. Як вже писалося, будь-які IP-адреси з яких ви входите в акаунт зберігаються в історії на серверах. Шукайте надійні та якісні VPN-клієнти з функцією “Kill Switch” – заборона інтернет-з’єднання без увімкненого VPN. Пропонуємо ознайомитись з деякими нашими рекомендаціями.

Лайфхаки Telegram

⚡ Лайфхак #1: Ще один недолік приватності Telegram полягає в неможливості приховати сам факт використання додатка. Якщо ваш номер зареєстрований в Телеграмі, то, по-перше, усім тим, хто має його у своїй телефонній книзі надійде сповіщення що ви там є, а по-друге, можна будь-який номер вручну пробити на наявність Телеграму, що дає можливість зловживати цим. Шахраї й спецслужби беруть відразу увесь пул номерів того чи іншого оператора, формують з них розбиту на частини телефонну книгу і з допомогою спеціалізованого софта на базі Telegram API, перевіряють кожен номер на наявність в Telegram. Якщо контакт присутній, далі отримується його ID, список груп, коментарі користувача, активність і багато іншого. Так проводиться деанонімізація. Шахраї ж можуть просто формувати базу даних номерів з метою збуту у даркнеті. Уникнути подібного можна таким чином – або купивши анонімний Телеграм-номер на +888, якого немає в жодних абонентських базах (тому що це штучний NFT-номер). Або використовувати SIM-картки надійних іноземних операторів в країнах ЄС, регулярно сплачуючи їх послуги.

⚡Лайфхак #2: Якщо ви маєте номер телефону незнайомої особи і за ним є Telegram-акаунт, ви можете дізнатися справжнє ім’я або нік цієї особи. Для цього додайте цей номер собі в контакти в Telegram під будь-яким іменем, а потім вилучіть його натиснувши Delete Account. Ви побачите ім’я, яке особа сама вказала в своєму акаунті.

👉 Інші чек-лісти безпеки акаунта Telegram:

⏩ Unveiling Messenger Weaknesses: Understanding How Hackers Can Infiltrate and Compromise Your Device
⏩ Telegram Security Best Practices

Секретні чати в Telegram

Усі чати в Telegram діляться на 2 типи:

◉ Звичайні (хмарні) чати (Cloud chats) – це типові чати Telegram, які не мають наскрізного E2EE-шифрування, вони зберігаються на серверах компанії та синхронізуються з усіма прив’язаними до облікового запису пристроями користувача. До 99% листування в Telegram відбувається у звичайних хмарних чатах. Повідомлення в них шифруються звичайним типом по моделі “клієнт-сервер/сервер-клієнт”, тобто сервер має доступ до ключів шифрування. Відсутність E2EE робить хмарні чати потенційно вразливими до атак типу перехоплення Man-in-the-Middle (Людина посередині). Також до історії листування можуть отримати доступ й самі модератори/адміністратори Telegram за рішенням (або без рішення) суду. Саме тому конфіденційне листування найкраще вести лише у секретних чатах.

◉ Секретні чати — це спеціальні чати Telegram з підвищеною безпекою, у яких повідомлення шифруються асиметричним наскрізним End-to-End шифруванням по моделі “клієнт-клієнт” (1:1). По ідеї тут немає посередника. Ключами шифрування володіють лише учасники чату. Тобто, ніхто інший не зможе розшифрувати дані. Обмін ключами здійснюється по протоколу Діффі-Хеллмана (DH). Підтримується запобіжна система з прямою секретністю – Perfect Forward Secrecy (PFS), яка автоматично оновлює ключі кожного сеансу та вилучає неактуальні, скомпрометовані ключі. Резервні копії секретних чатів не створюються на хмарних серверах Telegram – повідомлення доступні тільки на пристроях користувачів. Крім того, секретні чати прив’язані до поточної сесії. Якщо ви вийдете з акаунта й увійдете знову, то втратите усі свої секретні чати.

Алгоритм обміну ключами шифрування Діффі-Хеллмана

Схема роботи алгоритму Діффі-Хеллмана. Аліса та Боб мають по парі ключів – публічний та приватний. а і b – приватні ключі, g і p – випадкові ключі, А і B – публічні ключі, якими Аліса і Боб обмінюються між собою. К – загальний для обох секретний ключ.

Аудіо та відеовиклики, голосові повідомлення, стріми в Telegram підтримують наскрізне E2EE-шифрування. Принаймні так говориться в офіційній документації.

Нижче зображена схема наскрізного шифрування секретних чатів (MTProto 2.0 Part II):

Фахівці KR. Laboratories наполегливо рекомендують використовувати тільки секретні чати для спілкування зі своїми контактами. До речі, міжнародна організація з захисту цифрових прав та свобод в інтернеті Electronic Frontier Foundation (EFF) на диво високо оцінила секретні чати Telegram.

Схема пояснення секретних чатів Telegram.

Щоб розпочати секретний чат з користувачем в Telegram, необхідно відкрити його профіль, натиснути символ «…» в правому верхньому куті та обрати “Start Secret Chat”. Після цього у співрозмовника на головному екрані з’явиться новий чат зі значком замочка і написом “You joined the secret chat”. Увійдіть в нього та почніть діалог.

В чаті, поруч з аватаркою співрозмовника буде іконка таймера автознищення повідомлень “Self-Desctuct Timer”. Клацнувши по ній ви можете задати значення навіть в секундах. Щоб перевірити ключі шифрування, необхідно клацнути по аватарці співрозмовника і обрати пункт “Encryption Key”. Вам відкриється зображення ключа шифрування вашого секретного чату і його хеш. Надалі, ви можете порівняти цей хеш з тим, який має ваш співбесідник — якщо обидва сходяться, ви можете бути впевнені, що спілкуєтеся саме з цією особою і ніхто не перехоплює вашу розмову, а отже атака типу MITM (Man-in-The-Middle, «Людина посередині») неможлива.

Пересилання повідомлень й скріншоти по замовчуванню в секретних чатах заборонені. Однак, як сказано в довідці, у випадку, якщо хтось зробить знімок екрана в секретному чаті, Telegram повинен сповістити користувача про це.

Після завершення розмови рекомендуємо видалити секретний чат натиснувши на значок “…” в правому верхньому куті діалогу та обравши “Delete chat”, після чого у діалоговому вікні додатково позначити галочкою “Also delete for” й натиснути “Delete chat” – секретний чат видалиться і миттєво зникне з головного екрану і пристрою обох користувачів одночасно.

Пам’ятайте, що секретні чати Telegram залежать від пристрою. Їх немає в Desktop-додатку, вони доступні лише на мобільному пристрої. Якщо ви починаєте секретний чат на одному зі своїх пристроїв – цей чат буде доступний лише на цьому пристрої. Ви можете створювати скільки завгодно різних секретних чатів з одним контактом.

Посилання:

⏩ End-to-End Encryption, Secret Chats
⏩ Telegram F.A.Q.: Secret Chats

Безпека груп і каналів в Telegram

В Telegram розрізняють два типи ресурсів:

◉ Групи (чати) – це спільноти для групового обміну повідомленнями, підтримують до 200 000 учасників. Історія повідомлень зберігається на серверах Telegram, учасники мають можливість її експортувати з допомогою опції “Export chat history”, яка доступна в описі групи. В чатах можна згадувати один одного з допомогою символу @. Адміністратори можуть підключати спеціальних ботів для модерації повідомлень.

◉ Канали – це сторінки для публікації. Можуть мати необмежену кількість підписників. Коли ви публікуєте щось в каналі, ваші повідомлення підписуються назвою каналу, а не іменем адміністратора. Також ви можете призначати додаткових адміністраторів. Нові підписники бачать всю історію повідомлень у каналі. Підписники не можуть писати в каналах, за виключенням, якщо до них не прив’язаний чат для коментування.

Групи і канали можуть бути публічними або приватними. Публічні мають URL-адресу, яка дозволяє кожному знаходити їх у пошукових системах, відкривати в браузері, приєднуватися. Приватні є закритими – щоб долучитися, потрібно мати посилання або QR-код запрошення. Згенерувати їх або оновити можна в налаштуваннях каналу або групи.

У всіх груп та каналів є свій ID (починається з символу мінус), ім’я, аватар, опис. Ім’я групи формує URL-адресу, яку можна переглянути як сторінку у будь-якому браузері. Максимальна довжина URL-адреси – 5 символів, включаючи 0-9, літери a-z та нижні підкреслення.

***

Питання безпеки груп і каналів в Telegram сьогодні особливо актуальне, адже шахрайських схем дедалі більшає. Це і сквоттинг, і токсичні посилання, і злочинна накрутка конкуренту “липових” підписників, атаки з підставними каналами та інше. На щастя цього можна уникнути, користуючись відповідними налаштуваннями, які доступні усім адміністраторам груп і каналів:

✅ Removed Users – опція блокування учасників в групах і каналах. Необхідно перейти в пункт “Subscribers” й обрати у списку бажаного користувача та натиснути “Remove”. Він буде видалений і з’явиться в окремому списку забанених – “Removed Users”. Надалі ви зможете редагувати цей список – вилучати або заново додавати користувачів у групу.

✅ Approve new members – опція, яка дозволяє вступ в групу лише після попереднього схвалення адміністратора. Корисна функція, адже обмежує активність небажаних персонажів. Щоправда, доступна вона, чомусь, тільки в процесі створення групи, або при переведенні приватної в публічну.

✅ Restrict Saving Content – опція забороняє учасникам груп та каналів ділитися вашим контентом, копіювати та зберігати його. Це добре захищає від несанкціонованого повторного використання і просто приховує від зайвих очей.

✅ Chat history for new members – опція обмежує видимість історії чатів в групах для нових учасників. Тут є дві опції: “Visible” і “Hidden”. Якщо увімкнути режим “Hidden”, то нові учасники не зможуть переглядати хто і що писав раніше, до того як вони вступили в групу. В іншому випадку, кожен охочий зможе вивантажити й проаналізувати історію чату разом з усім контентом – фото, відео, посиланнями, вкладеннями та іншими матеріалами. Корисна функція, захищає від несанкціонованого парсингу.

✅ Permissions – гнучка опція, яка дає адміну можливість редагувати дозволи для учасників груп: обмежити відправу повідомлень і медіа, запрошувати, закріпляти повідомлення, змінювати інформацію в описі. Можна задати проміжок часу, через який користувач зможе почати надсилати повідомлення в чат. Є опція “Add Exception’, що дозволяє видавати окремі дозволи для тих чи інших користувачів, призначати модераторів.

✅ Remain anonymous, Custom title – опції доступні у налаштуваннях адміністраторів групи. Дає можливість адміну писати в чаті анонімно, від імені своєї групи, а також змінити напис “owner”, який відображається по замовчуванню. Боти-парсери таких адмінів не бачать і не можуть вивантажити при експорті, на відміну від решти учасників.

Основна відмінність Telegram-каналу від Telegram-групи полягає в тому, що в каналах користувач не може переглядати список учасників. Відповідно провести деанонімізацію адміністратора каналу стає важчим – допоможуть або соціальна інженерія, або спеціальні OSINT-інструменти. Причому, не завжди.

Поради власникам Telegram-каналів

Більшість шахрайських схем в Телеграм розраховані на неуважність, довірливість та наївність, а також відсутність цифрової гігієни і недотримання вимог безпеки в інтернеті.

Створіть окремий Telegram-акаунт з окремою SIM-картою, до якої маєте постійний доступ. Захистіть його налаштуваннями приватності і не показуйте цей профіль, не вступайте у жодні групи й канали, щоб він не потрапив у жодну базу. Зробіть цей акаунт адміністратором ваших груп.
Якщо на вас вийшли незнайомці й пропонують співпрацю, перш ніж вступати в діалог, проаналізуйте їх з допомогою OSINT або найміть фахівця з інформаційної безпеки, який це зробить за вас.
Не ведіться на привабливі умови і пропозиції – це може бути соціальна інженерія. Шахраї часто вигадують спокусливі схеми та маніпулюють неправдоподібними цифрами, аби надавити на вашу вигоду й тим самим ввести в оману та розвести.
Якщо вам хтось пише з пошти GMAIL і при цьому представляється співробітником якогось відомого бренду, компанії чи організації – вимагайте підтвердження. Хай напише з корпоративної електронної пошти – так ви пересвідчитеся, чи ця особа дійсно там працює. Обов’язково перевіряйте Email-заголовки, щоби упевнитися в автентичності листа. Також уважно перевіряйте сайт, щоб він не був підробленим або свіжозареєстрованим. Це може бути просто фейк.
Часто під виглядом покупця або рекламного партнера, протилежна сторона починає розпитувати про канал, вивідувати історію, якими сервісами користуєтеся, а разом з тим – вашу історію, де ви проживаєте, освіта, робота, чи є у вас інші Телеграм-канали і таке подібне. Це конкурентна розвідка. Не ведіться і не повідомляйте жодної зайвої інформації. Не надсилайте жодних документів, посвідчень, сертифікатів.
Ставтеся дуже уважно до пропозицій під’єднатися в Skype і продемонструвати свій канал. Нерідко через такі способи зловмисники дізнаються номера телефонів, тут же повторно реєструють їх і підглядають через Скайп код авторизації, після чого зламують акаунт і викрадають Телеграм-канал.
Не надавайте нікому тимчасового доступу для перегляду вашого каналу, не підключайте жодних Телеграм-ботів для аналізу статистики. Не авторизуйтеся на сторонніх сервісах аналітики, які вам надсилають в особисті повідомлення – вони можуть бути фішинговими. Всю статистику по Телеграм-каналах кожен охочий може переглянути без вашої допомоги в спеціалізованих онлайн-сервісах (див. нижче).
Не приймайте жодних файлів від незнайомих осіб – вони можуть містити шкідливий код і слугувати трояном для зламу вашого акаунта, сайту, пристрою.
Не робіть адмінами своїх груп і каналів людей, яких ви добре не знаєте, наприклад познайомилися в інтернеті.

Посилання:

⏩ Telegram F.A.Q.: Channels
⏩ Telegram Groups

OSINT в Telegram

Існує безліч інструментів з допомогою яких в Telegram можна вести мережеву розвідку різних типів: OSINT, HUMINT, WEBINT, IMINT, GEOINT. Давайте розберемо їх детальніше.

Telegram-боти

Боти (bots) – це автоматизовані облікові записи, які базуються на функціях Telegram API. По суті це своєрідний інтерфейс API. Існують – вбудовані боти (надані самою платформою, наприклад @BotFather) та авторські – створені користувачами. Останні можуть працювати за підготовленими сценаріями й виконувати різноманітні операції: автоматизація дій в Telegram, парсинг і аналіз інформації, онлайн-сповіщення, розсилка повідомлень, відправка SMS і здійснення дзвінків, публікації матеріалів, математичні обчислення, конвертація файлів, інтернет-переклад, віддалене керування веб-додатками та інше. Користувачі можуть взаємодіяти з ботами з допомогою звичайних чатів.

Знаючи всього лиш Username користувача, з допомогою ботів в Telegram можна:

Отримати ID користувача, а з ним такі дані як: номер телефону, IP-адреса, геолокація, мова профілю, електронна пошта;
Дізнатися дату створення акаунта;
Відстежити час і дату входів/виходів з акаунта;
Відстежити активність в групах/каналах;
Спарсити історію змін профілю користувача, зокрема зміна імені та username;
Дізнатися учасником і адміністратором яких груп/чатів (включаючи приватні) є запитуваний користувач, отримати коло його інтересів;
Які повідомлення та посилання надсилав користувач в публічних групах/чатах;
Знайти згадки юзернейм користувача у пошукових системах;
Знайти акаунти у соцмережах;
Перевірити користувача на публічні витоки даних (логіни/паролі/документи).

Це далеко не увесь список інформації, яку можна отримати. Ці дані у більшості випадків стають доступними, якщо користувач не захистив профіль налаштуваннями приватності (див. вище). По замовчуванню, кожен профіль в Telegram є відкритим та вільно індексується пошуковими системами.

Приклади Telegram-ботів для пошуку інформації:

@OpenDataBotUA – бот української платформи OpenData для роботи з відкритими даними.
@YouControlBot – бот української онлайн-системи YouControl для пошуку та аналізу контрагентів і юридичних осіб.
@MaigretOsintBot – Telegram-бот інструменту Maigret для пошуку профілів в інтернеті за вказаним нікнеймом.
@QuickOSINTbot – OSINT-бот.
@TeleSINT – багатофункціональний OSINT-бот.
@TgScanRobot – покаже ID та групи користувача.
@TelegramDB – бот для пошуку груп і каналів в Telegram.
@GetContactBot – видає теги з додатка GetContact за вказаним номером телефону.
@BotoDetective – допомагає швидко знаходити інформацію про людей за такими критеріями, як номери телефонів, імена, адреси електронної пошти та ідентифікатори соціальних мереж.
@Unamer – показує історію імені по юзернейму.
@getfb_bot – видає посилання на профіль в FaceBook по вказаному номеру телефону.
@IDbot – визначає Telegram ID не тільки для користувачів, а й каналів та груп.
@userinfobot – ще один бот для пробиву ID.
@CreationDateBot – видає дату реєстрації акаунта за вказаним юзернеймом.
@ChatGPTBot – Telegram-версія популярного двигуна штучного інтелекту GPT. Допоможе в різних задачах OSINT, напише код Телеграм-бота або підготує сценарій.
@TheFeedReaderBot – бот для моніторингу RSS-стрічок.
@ShowJsonBot – бот для збереження будь-яких даних в Telegram в форматі JSON.

👉Більше Telegram-ботів, відсортованих за категоріями тут.

⛔ Хочемо зауважити, що не усім Telegram-ботам можна довіряти, і не всі з них є безпечними до використання. Часто вони використовують для деанонімізації або проведення атак. У 2019 році Juniper Threat Labs виявили шпигунське програмне забезпечення типу RAT, яке використовувало Telegram як сервер для поширення трояна. І це не одиничний випадок. У 2020 році спеціалісти Malwarebytes писали про стилер для викрадення платіжних даних, який маскувався під Telegram-бот. У 2021 році Avast повідомили про виявлення малварі, яка поширюється через Телеграм і краде криптовалюту у власників. В червні 2023-го Кіберполіція України викрила зловмисників, які через фішингових Telegram-ботів викрадали дані авторизації користувачів і зламували їх акаунти.

Приклад роботи шкідливих Telegram-ботів.

Деякі Телеграм-боти незаконно збирають користувацькі дані за межами Telegram. Так, у 2021 році громадськості стало відомо, що російський бот “Глаз Бога” імпортував клієнтські бази ПриватБанку, Нової Пошти, Київстару та інших компаній й роздає всім охочим за невелику плату. Внаслідок цього були скомпрометовані дані громадян України. При цьому, при завантаженні файлу звіту бот зберігає IP-адресу того, хто його завантажив.

Приклад даних, які потрапили у відкритий доступ через Telegram. Джерело: Скрипка В.О. Актуальні проблеми кібербезпеки.

Зловмисники вищевказану інформацію використовують для нелегального продажу персональних даних. У 2021 році 130 000 персональних даних було викрадено, і понад 1,1 мільярда євро витрачено на штрафи через порушення GDPR.

Telegram API і CLI інструменти

Окрім ботів, існують такі засоби експлуатації Telegram API як мережеві утиліти і засоби командного рядка (Command Line Interface, CLI):

Telegram Chat Parser – конвертує JSON-файли експорту історії Telegram-чатів в Excel таблицю для подальшого комфортного аналізу.
Telegram Groups Crawler – краулер на Python на базі API Telethon.
Telegram Phone Number Checker – скрипт дозволяє перевірити, чи певний номер телефону підключений до облікового запису Telegram.
Tosint – інструмент для отримання інформації з телеграм-ботів і каналів.
Telegram Index – веб-додаток на базі Python, який індексує телеграм-канал (або чат) і завантажує його.
Telegram Tracker – набір інструментів для роботи з Telegram API.
Telegram online status logger bot – бот для відстеження активності користувачів Телеграм.
Informer Telegram Mass Surveillance – бібліотека ботів, яка дозволяє маскуватися під кількох СПРАВЖНІХ користувачів у Telegram і стежити за понад 500 каналами Telegram. Деталі зберігаються в базі даних MySQL, приватній таблиці Google і вашому власному приватному каналі для аналізу.
Geogramint – OSINT-інструмент, який використовує API Telegram для пошуку користувачів і груп на мапі, використовуючи вбудовану функцію “Люди поруч”.
Telegram Nearby Map – ще один інструмент для визначення активних користувачів Телеграм на карті через вбудовану функцію “Люди поруч”.
Archive-Bot – інструмент, який дозволяє завантажувати вміст Телеграм-каналів на локальний сервер.
Telescan – пошук груп у яких перебуває користувач за ідентифікатором, іменем або номером телефону користувача.
Telepathy – набір інструментів OSINT для дослідження чатів Telegram.
telegram scan – набір інструментів для дослідження чатів/груп Telegram.
Telegram Scraper – набір інструментів для сканування Telegram та проведення OSINT досліджень.
Telegram Members Adder – програмне забезпечення для масового додавання користувачів в групи Телеграм.
Telegram Spammer – платний інструмент для спам-атаки на цільовий обліковий запис або групу в Telegram.
Telegram Web K – клон веб-версії Telegram типу “K”.
MadelineProto, a PHP MTProto telegram client – окремий клієнт для використання Телеграм API.
Telegram API Server – асинхронний php-сервер Telegram API: MadelineProto та сервер Amp Http.
Telegram Calls Library – бібліотека Telegram.
Telegram OSINT scenario library – бібліотеки Телеграм API для роботи з OSINT.
Harpoon – утиліта командного рядка Linux, яка може допомогти зібрати багато інформації про інших користувачів та групи в Телеграм.
Telegram. Інструмент написаний на Python і простий у використанні
tgcf – інструмент автоматизації пересилання повідомлень Telegram.
Telethon – бібліотека Python для роботи з Telegram API. Документація по Телетон.
Splunk Telegram – модуль Splunk, який аналізує повідомлення з груп Телеграм і візуалізує їх.
Biba and Boba – пакет Python для аналізу чатів Telegram і пошуку кореляцій між користувачами.
Telegram Anti Revoke – плагін, який зберігає та показує відкликані (видалені) співрозмовником у чаті Telegram повідомлення.
Telegram Storage Parser – програма для розшифровки та аналізу локального сховища Telegram Desktop.
Telegram desktop encrypt – інструмент для розшифровки файлів tdata.
Telegram messenger for Android – вихідний код додатка для Android.
PGPgram – це інструмент резервного копіювання/відновлення, зашифрований технологією GPG, написаний на Python із використанням TDLib. Він локально шифрує ваші файли з допомогою GnuPG, перш ніж вони надсилаються в хмару Telegram.
Teleparser – парсер списку підписників та їх ID і повідомлень з груп або каналів, де ви є адміністратором від розробників KR. Laboratories.
tgparser – парсер списку підписників з публічних груп від розробників KR. Laboratories.
MT4-Telegram-Bot-Recon – Телеграм-бот для мережевої розвідки і аналізу.
VMGram (Voicemod Telegram) – додаток для накладання цифрових ефектів і зміни голосу в голосових чатах, голосових повідомлення, відео і аудіодзвінках.
Telephish – готовий фішинговий бот для Telegram.
Dnnme2 – ще один готовий фішинговий бот.
snscrape – програмний засіб командного рядка для парсингу Telegram-каналів, а також інших даних в інтернеті.

Розширення для Chrome/Firefox

Telegram Sender – Telegram bulk message send – розширення для браузера Google Chrome, яке дозволяє парсити аудиторію і розсилати повідомлення.
Telegram Search Engine – TG Group Link Search – ще одне розширення для Chrome, шукає посилання на групи.
Greasemonkey – додаток для Firefox, який дозволяє парсити дані онлайн. З допомогою цих скриптів, можна налаштувати експорт користувачів груп в формат CSV. Існує також подібне розширення для Chrome – Tampermonkey.

Пошукові системи Telegram

Telegago – пошукова система по Telegram каналам на базі кастомізованого пошуку Google CSE.
Lyzem – пошукова система по Telegram.
Telegram Search Engine – метапошукова система.
Telegram Search CSE by Francesco Poldi – пошук по Телеграм на базі Google CSE, створений Франческо Польді.
Commentgram – пошук по коментарях Телеграм, на базі Google CSE.
Telegram CSE by OSINTme – ще одна авторська версія пошуку по Телеграм.
Intelx.io Search Telegram – пошук по Телеграм в популярній OSINT-платформі.
Search Telegram Channels Post – пошуковий двигун з можливістю задавати інтервал часу та інші параметри.
Telegcrack – пошук по публікаціях Telegraph.

Аналітика Telegram-каналів

Tgstat – популярна платформа для онлайн-аналітики Telegram.
Telegramchannels.me – платформа зі статистикою Телеграм-каналів.
Telemetr.io – ще одна платформа Телеграм-статистики.
Telegramindex – аналітика каналів Телеграм.
TGBots – рейтинг ботів Телеграм.
Tgviewer – сервіс для перегляду Телеграм-каналів без реєстрації в додатку.
Tlgrm.eu – колекція Телеграм-каналів, розбитих за категоріями.

Google Dorks Telegram

site:t.me
site:t.me/joinchat
site:t.me/joinchat inurl:<anything>
site:t.me intext: 2 members
intext:t.me/
intext:t.me/joinchat
site:t.me/joinchat -Exchange -crypto -crypt -mining
"t.me/joinchat" "qanon" -site:t.me

ℹ️ Лайфхак: Як читати публічні Telegram-канали анонімно, без реєстрації в Telegram? Таку можливість дає нам онлайн-сервіс RSSHUB.APP. Просто відкриваємо URL-посилання і підставляємо ім’я Telegram-каналу, який хочемо читати. Наприклад: https://rsshub.app/telegram/channel/cybdetective
Відкриється звичайна RSS-стрічка в форматі XML, яку можна загнати в будь-який Feed Reader, наприклад Feedbro. Тепер усі сповіщення про нові публікації будуть надходити вам в RSS-стрічку і ви зможете читати їх у браузері.

👉 Корисні мануали і туторіали по OSINT в Telegram:

⏩ How to Get Data From Telegram Using Python
⏩ Telegram OSINT Basics: 5 Tips Anyone Can Do Right Now
⏩ Geogramint – An OSINT geolocalization tool for Telegram
⏩ TG-API: Batch scrape from Telegram channels and groups
⏩ Telepathy: Geo-locating Telegram users
⏩ Leveraging Telegram for OSINT purposes | SANS@MIC Talk
⏩ Tips how to find private, hidden, personal groups and channels – TelegramPrivateChatLeaks
⏩ Telegram Network Visualization — Tracing Forwards and Mentions
⏩ Telegram Private Chat Leaks
⏩ Telegram Tracker: Generate JSON files containing data from channels
⏩ How to Track Realtime Location of ANY Telegram User — 2 Methods

За що можуть забанити в Telegram

Багато-хто помилково вважає буцімто в Telegram все дозволено і цензури як такої немає, його ніхто не модерує, все анонімно та секретно. Насправді це велика ілюзія. Телеграм чудово модерується, в ньому працюють сотні, а той тисячі людей, добре налагоджена система скарг і співпраця з правоохоронними органами. Інша справа, що рішення щодо блокування часто приймаються вибірково. Сотні каналів і профілів блокують щодня через скаргу користувачів або адмінів. Не рідко цим зловживають самі спамери та недобросовісні конкуренти, які з допомогою автоматизованих систем накручують жалоби. В Телеграм також існує “тіньовий бан”, коли сторінка з невідомих причин не з’являється у глобальному пошуку. Зняти його дуже складно, він може тривати до 6 і більше місяців.

В Telegram заборонено:

Створювати акаунти з іменем Telegram Support;
Накручувати підписників в групах і каналах;
Розсилати велику кількість повідомлень в день незнайомим контактам;
Розсилати велику кількість запрошень в день незнайомим контактам;
Закликати до насильства, екстремізму, тероризму, розпалювання міжнаціональної ворожнечі;
Торгувати забороненими матеріалами/продуктами/речовинами;
Поширювати піратський, заборонений, чужий контент;
Вводити в оману користувачів, видавати себе за іншу особу/компанію;
Публікувати виконувані або шкідливі файли: EXE, BAT, APK;
Створювати Телеграм-канали з різними сумнівними темами: ставки, казино, піраміди, розіграші, рефералки, нелегальний дохід, кардинг і т.д.;
Публікувати персональні дані інших людей;
Приниження людей за расовою ознакою, релігією, статтю, віком, національністю та ін.

Користувачі Telegram мають право:

Поскаржитись на порушення, якщо він вважає що його стікери або боти нелегально хтось використовує в Telegram: abuse@telegram.org;
Поскаржитись про порушення авторських прав: dmca@telegram.org;
Поскаржитись на контент, який пропагує дитяче насилля: stopCA@telegram.org;
Поскаржитись на кіберсквоттинг – захоплення юзернейма: https://t.me/username_bot (в разі якщо у вас є акаунти з цим же юзернеймом в Facebook, Instagram, Twitter);
Поскаржитись на спам-повідомлення, фішинг та інші види зловживань та порушень (або навпаки оскаржити їх): https://t.me/spambot;
Поскаржитись на контент терористичного характеру: https://t.me/isiswatch;
Поскаржитись на користувачів, групи, канали, які вводять в оману і займаються шахрайством: https://t.me/notoscam (необхідно надати пояснення, чому ви вважаєте ресурс шахрайським. Скріни, повідомлення, матеріали листування є обов’язковими);
Органи влади в країнах ЄС можуть надсилати запити на видалення контенту, якщо його буде виявлено на публічній платформі Telegram: https://t.me/gdprbot.

Якщо ви є рекламодавцем і використовуєте можливості Telegram Ads, то вам заборонено:

Рекламувати контент сексуального, інтимного, шокового характеру.
Рекламувати контент, який пропагує ненависть, насильство, переслідування.
Рекламувати контент, який порушує права третіх осіб.
Рекламувати контент релігійного та політичного характеру.
Рекламувати азартні ігри, гемблінг.
Рекламувати оманливі або шкідливі фінансові продукти чи послуги.
Рекламувати несертифіковані медичні послуги, ліки, продукти.
Рекламувати наркотики, алкоголь, тютюн, фастфуд.
Рекламувати вогнепальну зброю, вибухові речовини, боєприпаси.
Рекламувати зловмисне програмне забезпечення, хакінг.
Рекламувати будь-яку сумнівну, нелегальну продукцію.

ℹ️ У довідці Telegram сказано, що у деяких випадках облікові записи користувачів можуть бути забанені без причини, якщо ваш мобільний номер має негативну історію в Телеграм, наприклад через дії попередніх власників (при покупці SIM-картки дивіться, щоб вона була чистою). Особливо це стосується віртуальних номерів, котрі можна придбати в онлайн-маркетплейсах.

Ліміти і обмеження в Telegram

Ліміти для облікового запису користувача:

Довжина @username – від 5 до 32 символів.
Опис користувача (розділ Bio) – 70 символів.
Максимальна кількість акаунтів у клієнті Telegram – 3 (у Telegram X – 65536).
Максимальна кількість каналів та груп, на які можна підписатися – 500.
Максимальна кількість публічних каналів та груп, які можна створити на один обліковий запис — 10.
Максимальна кількість папок в Telegram – 10.
Кількість закріплених чатів – до 5.
Кількість закріплених чатів в Архіві – необмежена.
Кількість закріплених чатів у Папці – 100.
Термін самознищення облікового запису за відсутності активності: від 1 до 12 місяців.
Спам-блокування облікового запису – від 3 днів і вище.

Ліміти для особистих чатів та груп:

Максимальна кількість учасників групи – 200 000 (ліміт може бути збільшений).
Максимальна кількість учасників голосового чату – 5000.
Довжина @username для групи – від 5 до 32 символів.
Кількість символів у назві та описі групи – до 255.
Довжина одного повідомлення в особистих чатах, групах та каналах – до 4096 символів.
Опис до медіафайлів у особистих чатах, групах та каналах – до 1024 символів.
Максимальний обсяг файлів, що передаються – 2 ГБ.
Максимальна довжина відеоповідомлення – 1 хвилина.
Максимальна кількість фотографій в одному повідомленні (альбомі) – 10 штук.
Можливість редагування повідомлення в особистих чатах – до 48 годин після надсилання.
Самознищення фото чи відео в особистих чатах – від 1 до 60 секунд.
Ліміт на запрошення користувачів до групи (інвайт) – 200 осіб.
Кількість адмінів у групі – до 50.
Кількість підключених ботів у групі – до 20
Пересилання повідомлень за 1 раз – до 100.
Радіус пошуку людей поблизу «Люди поряд» – 100 метрів.
Радіус пошуку геочатів “Групи поруч” – 12 км.
Максимальна кількість геочатів, створених з одного облікового запису – до 5.
Статистика груп доступна у спільнотах від 100 осіб.
Прив’язати стікери до групи можуть спільноти від 200 учасників.

Ліміти для каналів:

Довжина @username для каналу – від 5 до 32 символів.
Довжина назви та опису каналу – 255 символів.
Кількість читачів каналу – необмежена.
Кількість учасників, яких може бачити творець каналу – 200 осіб.
Можливість редагування повідомлення в каналах без обмеження (починаючи з версії 6.1).
Кількість адмінів у каналі – до 50.
Кількість підключених ботів у каналі – до 20
Творець може бачити всі дії на каналі (учасники, що вступили, відписалися і т.д., публікація/видалення посту) за останні 2 дні.
Якщо на публічному каналі понад 1000 передплатників, видалити такий канал можна лише через техпідтримку Telegram.
Статистка доступна лише для каналів чисельністю від 50 осіб.

Ліміти для ботів:

Максимальна кількість ботів на один обліковий запис, створених через @BotFather – 20 штук.
Довжина @username для робота – від 5 до 32 символів.
Максимальна довжина інформації про бот (/setabouttext) – 120 символів.
Максимальна довжина опису бота (/description) – 512 символів.
Макс. кількість повідомлень від бота в секунду – 30.

Ліміти для стікерів:

Ліміт на кількість доданих стікерпаків – 200 штук.
Кількість вибраних стікерів – 5 штук.
Кількість стікерів в одному наборі – від 1 до 120.

Ліміти для Telegraph:

Максимальна кількість знаків у тексті – 34 087.

Посилання:

⏩ Telegram F.A.Q.:Spam

Що робити якщо Telegram акаунт взламали?

Перш за все, потрібно звернутися в технічну підтримку Telegram і повідомити про інцидент. Також ви можете надіслати електронний лист на recover@telegram.org зі своїм номером телефону та коротким описом ситуації. Модератори зможуть розглянути справу та, якщо можливо, відновлять обліковий запис. Окрім цього, у Телеграм є спеціальний обліковий запис в Twitter – @SmsTelegram, який може допомогти вирішити проблеми з входом. Далі потрібно обов’язково зв’язатися з оператором мобільного зв’язку, щоб він заблокував вашу стару SIM-карту і видав нову з тим самим номером. Коли у вас буде нова SIM-картка на руках, увійдіть у Telegram (оберіть активація по SMS або дзвінок), перейдіть в налаштування і завершіть всі сесії Telegram на інших пристроях. Увімкніть двофакторну верифікацію – таким чином одного номера телефону буде недостатньо для входу в ваш обліковий запис. Ви також можете через деякий час змінити свій номер телефону в Telegram на новий.

Як видалити cвій акаунт Telegram?

На щастя, процес видалення Telegram-акаунта забирає не так багато часу, однак візьміть до уваги, що ваші дані не зникнуть з серверів безслідно. Вони можуть зберігатися там певний період часу – до 12 місяців. Причому, ваші контакти зможуть спілкуватися в групах, які ви створили, і вони матимуть свою копію ваших повідомлень, але замість вашого ім’я з’явиться надпис “Deleted Account”. Щоб подати запит на видалення з Telegram необхідно перейти на веб-сторінку: https://my.telegram.org/auth?to=delete Далі ввести свій номер телефону, зв’язаний з акаунтом Telegram і код, який система надішле вам в додаток (не SMS).

Припинення дії облікового запису Telegram є безповоротним. Якщо ви зареєструєтесь знову, то ви відобразитесь як новий користувач і не зможете відновити свою історію, контакти чи групи. Порада: Перед видаленням акаунта рекомендуємо видалити історію ваших повідомлень у чатах і діалоги з усіма вашими співрозмовниками з обох сторін.

Вразливості Telegram

ℹ️ За всю історію в Telegram, станом на Червень 2023-го, знайдено 32 офіційних вразливостей. Більшість з них виправлені. Хоча є й такі, які перебувають у стані диспуту або розгляду.

Пропонуємо ознайомитись з повним списком:

🔴 CVE-2014-8688 – у Telegram Messenger 2.6 для iOS і 1.8.2 для Android виявлено, що повідомлення секретних чатів були доступними у вигляді тексту в пам’яті процесів Telegram та файлі .db. Отже, зловмисник який отримав доступ до пристрою міг прочитати секретні чати. Опис вразливості опублікований дослідником Джоном Патерсоном у блозі компанії ZIMPERIUM. Команда Telegram ніяк не прореагувала на повідомлення дослідника, однак в наступних версіях вразливість вже була відсутня.
🔴 CVE-2017-17715 – зафіксований збій та витік даних у Telegram Messenger для Android до 2017-12-08. Докладний опис вразливості розміщено в баг-трекері Chromium.
🔴 CVE-2018-3986 – у функціоналі «Секретні чати» для Telegram Android 4.9.0 зафіксована вразливість розкриття інформації. Функція «Секретні чати» дозволяла користувачеві видалити усі сліди чату за допомогою тригера часу або прямого запиту. У цій функції була помилка, яка зберігала на пристрої фото, зроблені та надіслані в секретних чатах, навіть після їх видалення. Фото були доступні для всіх додатків, встановлених на пристрої. Про вразливість повідомив Vitor Ventura у блозі CISCO Talos.
🔴 CVE-2018-15542 – виявлено проблему в додатку org.telegram.messenger 4.8.11 для Android. Функція пароля дозволяла обходити автентифікацію за допомогою різних маніпуляцій. Вразливість виявили дослідники Boonpoj Thongakaraniroj, Prathan Phongthiproek та вказали на GitHub. Представники Telegram відповіли, що ця вразливість не представляє інтересу, адже можлива лише на Android-пристроях з root правами.
🔴 CVE-2018-15543 – виявлено проблему в додатку org.telegram.messenger 4.8.11 для Android. Зловмисник міг автентифікуватися за підробленим відбитком пальця. Вразливість виявили дослідники Boonpoj Thongakaraniroj, Prathan Phongthiproek та вказали на GitHub. Представники Telegram знову відповіли, що ця вразливість не представляє для них інтересу, адже можлива лише на Android-пристроях з root правами.
🔴 CVE-2018-17231– Telegram Desktop (tdesktop) 1.3.14 дозволяв зловмисникам спричинити відмову в обслуговуванні (збій та самовільний вихід із програми) з допомогою функції «Редагувати палітру кольорів». Проблема досі оскаржується і не визнана Telegram.
🔴 CVE-2018-17613 – Telegram Desktop (tdesktop) 1.3.16 Alpha, коли увімкнено опцію «Використовувати проксі», надсилав облікові дані та дані додатків через звичайне URL-посилання у незашифрованому вигляді по протоколу SOCKS5. Про вразливість прозвітував дослідник Dhiraj Mishra.
🔴 CVE-2018-17780 – Telegram Desktop 1.3.14 (tdesktop) і Telegram 3.3.0.0 WP8.1 для Windows здійснював витік загальнодоступних та приватних IP-адрес кінцевого користувача під час аудіовиклику – P2P-з’єднання були активовані по замовчуванню. Пізніше цю проблему в Telegram було вирішено, додавши можливість відключити режим “Use peer to peer”. Про баг відзвітував дослідник Dhiraj Mishra.
🔴 CVE-2018-20436 – функціонал “Секретні чати” в Telegram 4.9.1 для Android та Telegram Web 0.7.0 мала “прихований канал”, через який сервери Telegram надсилали GET-запити до різних URL-адрес. Подібну вразливість можна інтерпретувати як атаку SSRF. На неї вказав дослідник Capitan Alfa у своєму блозі. Telegram відхилив баг та повідомив, що проблему спричинила неправильна конфігурація параметра «Секретні чати > Попередній перегляд посилань».
🔴 CVE-2019-10044 – Telegram Desktop <1.5.12 у Windows і Telegram для Android, iOS і Linux були вразливими до омографічної атаки IDN під час відображення повідомлень, що містили URL-адреси. Сценарій атаки описали представники компанії Blaze Labs в GitHub.
🔴 CVE-2019-15514 – опція «Конфіденційність > Номер телефону» в Telegram 5.10 для Android та iOS надавала неправильну індикацію режиму доступу «Ніхто», оскільки зловмисники все одно могли бачити і вивантажувати номери користувачів в публічних групах. Помилка призвела до витоку персональних даних, незалежно від налаштувань конфіденційності. Цю вразливість виявили дослідники безпеки з Гонконгу. За їх словами, її використали спонсоровані урядом зловмисники для нападу на протестувальників в Гонконзі.
🔴 CVE-2019-16248 – проблема конфіденційності в Telegram <5.11 на Android, функція «Delete for» не видаляла спільні медіафайли з каталогу зображень Telegram. Існувала потенційно оманлива вказівка інтерфейсу, що відправник може видалити копію одержувача раніше надісланого зображення. Про баг прозвітував дослідник Dhiraj Mishra. Баг було виправлено, команда Telegram виплатила йому 2500 євро.
🔴 CVE-2020-10570 – в Telegram <5.12 для Android зафіксований баг конфіденційності, який дозволяв зловмиснику, який заволодів пристроєм, без введення пароля, при включеній опції “Показати спливаюче вікно”, читати повідомлення користувача і відповідати на них. Про вразливість повідомив дослідник безпеки Vijay Tikudave у своєму GitHub.
🔴 CVE-2020-12474 – Telegram Desktop <2.0.1, Telegram <6.0.1 для Android і Telegram <6.0.1 для iOS дозволяли атакувати IDN Homograph через Punycode у загальнодоступній URL-адресі або URL-адресі запрошення до групового чату. Про знайдену вразливість повідомив дослідник безпеки Vijay Tikudave у своєму GitHub.
🔴 CVE-2020-17448 – Telegram Desktop <2.1.13 дозволяв обійти захист від виконання небезпечного типу файлу. Щоб успішно проексплуатувати баг, зловмиснику достатньо було надіслати жертві шкідливі файли без розширення у вікні чату. Про знайдену вразливість відзвітував Vijay Tikudave у своєму GitHub.
🔴 CVE-2020-25824 – Telegram Desktop <2.4.3 не вимагає введення пароля після натискання клавіші “Export” у майстрі експорту даних. Модель загрози — жертва, яка добровільно відкрила експорт даних, але потім відволіклася. Відповідно зловмисник може скористатися цим, щоб таємно експортувати історію чатів. Про баг відзвітував Soheil Samanabadi у своєму GitHub.
🔴 CVE-2021-27204, CVE-2021-27205 – логічна помилка, помічена в Telegram <7.4 (212543) Stable для MacOS. Зберігає локальну копію отриманого повідомлення (аудіо/відео) на пристрої користувача навіть після того, як ці повідомлення було видалено або вони автоматично зникли з секретного чату. Окрім того, вищенаведена версія зберігала локальний пароль у вигляді незашифрованого тексту. Про баги повідомив дослідник Dhiraj Mishra. Обидві вразливості було виправлено у Telegram Stable 7.4 (212543), автора нагороджено 3000 євро.
🔴 CVE-2021-27351 – функція завершення сесій в Telegram <7.2.1 для Android і <2.4.7 для Windows та UNIX працювала некоректно — користувач не міг завершити інший активний сеанс. Про вразливість повідомив Vijay Tikudave.
🔴 CVE-2021-30496 – Telegram 7.6.2 для iOS дозволяла віддаленим автентифікованим користувачам викликати відмову в обслуговуванні (збій DOS), якщо жертва вставляє надане зловмисником повідомлення (наприклад, перською мовою) у будь-який публічний Telegram-канал або групу. На вразливість вказав дослідник безпеки Ramin Farajpour Camiу своєму GitHub. Telegram відхилив баг.
🔴 CVE-2021-31323, CVE-2021-31322, CVE-2021-31321, CVE-2021-31320, CVE-2021-31319, CVE-2021-31318, CVE-2021-31317, CVE-2021-31315 – в Telegram Android <7.1.0 (2090), Telegram iOS <7.1 і Telegram macOS <7.1 зафіксовані різноманітні баги у вихідному коді. Зловмисник віддалено міг отримати доступ поза межами пам’яті на пристрої-жертві за допомогою анімованої наклейки (стікера). Також він міг перезаписати стекову пам’ять Telegram на пристрої-жертви за допомогою того ж стікера. На вразливості вказав дослідник безпеки polict у блозі Shielder.com. Атаки були презентовані на конференції Hack the Box 2021.
🔴 CVE-2021-36769 – проблема зі зміною порядку існувала в Telegram <7.8.1 для Android, Telegram <7.8.3 для iOS і Telegram Desktop <2.8.8. Зловмисник міг змусити сервер отримувати повідомлення в іншому порядку, ніж вони були надіслані відправником. Про вразливість повідомили автори блогу https://mtpsym.github.io/.
🔴 CVE-2021-37596 – Telegram Web K Alpha 0.6.1 дозволяв використовувати XSS через назву документа. На вразливість вказав Едуард Кузьменко у своєму GitHub.
🔴 CVE-2021-40532 – Telegram Web K Alpha <0.7.2 неправильно обробляє символи в розширенні документа. На вразливість вказав Едуард Кузьменко у GitHub.
🔴 CVE-2021-41861 – Telegram 7.5.0–7.8.0 для Android хибно реалізував самознищення зображень. Приблизно після двох-чотирьох застосувань функції самознищення по таймеру в інтерфейсі користувача з’являється оманлива вказівка на те, що зображення видалено, хоча вони були присутні в каталозі /Storage/Emulated/0/Telegram/Telegram Image/. Баг відкрито і повідомлено користувачем під ніком ne555, однак свою виплату в 1000 євро він так і не отримав через заборону Telegram розголошувати інформацію. Як зазначають деякі ентузіасти, Telegram ніби-то свідомо відмовлялися фіксити цей баг, залишаючи діру для силовиків, які продовжували видобувати дані підозрюваних з кешу. Інакше просто складно пояснити, чому ця вразливість “кочує” від однієї версії до іншої.
🔴 CVE-2022-43363 – Telegram Web 15.3.1 дозволяв проведення XSS-атаки через корисне навантаження, отримане з веб-сайту Target Corporation. Щоправда, не всі змогли відтворити цей баг, тому він досі знаходиться в статусі DISPUTED.
🔴 CVE-2023-26818 – баг дозволяє зловмисникам активувати камеру та мікрофон в додатку Telegram Desktop на ноутбуках з MacOS. Виявив та дослідив інженер з безпеки Ден Рева. Вразливість була додана та прийнята в різні пошукові бази (NIST, Tenable). Цікаво, що Павло Дуров заперечив факт вразливості і спростував її. Також на цей момент жодному іншому досліднику не вдалося, поки що, відтворити баг.

ℹ️ Варто додати, що окрім офіційно зареєстрованих та задокументованих вразливостей Telegram, існує ряд неофіційних, які ніхто ніде не реєстрував і не звітував, або які були повідомлені в службу підтримки Telegram анонімно. До слова, чимало баг-хантерів нарікають на політику Telegram щодо виявлення вразливостей. Адже компанія не дозволяє публічно розголошувати будь-які дані, пов’язані з вразливостями, публікувати імена дослідників. Винагорода за виявлені баги також не є адекватною і не дотягує до виплат на платформах Bug Bounty. Так, у червні 2023-го дослідник з ніком Slonser виявив досить стару (існувала приблизно з 2021 року) і серйозну XSS-вразливість в веб-версії Telegram, яка давала змогу не тільки читати й надсилати повідомлення від імені користувача, а й повністю захопити доступ до акаунта. Команда Telegram отримала звернення від користувача і нічого не відповіла, після чого просто виправили баг. Лише після повторних запитів йому виплатили 500$ винагороди.

Хочемо зауважити, що подібна поведінка компанії Telegram веде до того, що майбутні баги будуть експлуатуватися хакерами таємно і нікому не повідомлятися. Відповідно команда Telegram не зможе вчасно виявляти та виправляти їх, а користувачі будуть наражатися на небезпеку. Це призведе до великої кількості інцидентів та катастрофічних наслідків.

👉 Додаткові посилання для дослідників безпеки:

⏩ Telegram on CVE Details
⏩ Telegram Bug Bounty
⏩ Telegram Bugs
⏩ Telegram Desktop: Changelog
⏩ Telegram Desktop: Releases on GitHub
⏩ Telegram Desktop: Issues on GitHub
⏩ HackerOne Telegram
⏩ Forbes.ua. Баг у Telegram дозволяє віддалено активувати камеру та мікрофон на macOS. Засновник платформи Дуров все спростовує (Оновлено)
⏩ 0day.today. Telegram
⏩ Exploit Telegram Desktop 2.9.2 Denial of Service PoC
⏩ breaking-telegram PoC
⏩ Chaining Telegram bugs to steal session-related files
⏩ Telegram ClickJacking Vulnerability Analysing by @Seekurity
⏩ Telegram ClickJacking Vulnerability Analysing #2
⏩ HABR. Уязвимость в Telegram позволяет обойти пароль local code любой длины

Події, інциденти, скандали з Telegram

У квітні 2016 року були зламані Telegram-акаунти двох російських опозиціонерів і активістів — Георгія Албурова і Олега Козловського. Троянським конем у цьому інциденті виступив оператор мобільного зв’язку — МТС. За словами одного з активістів, пізно вночі відділ технологічної безпеки МТС повністю відключив їм на телефонах приймання SMS та інтернет, а також повідомлення про підключені та відключені послуги. Після чого невідомі зловмисники (ймовірно ФСБ) через TOR направили запит на вхід до Telegram-акаунтів потерпілих. У відповідь месенджер відправив SMS з кодом авторизації на номери Козловського та Албурова. Але оскільки SMS-сервіс було відключено, ці коди вони не отримали — їх отримали зловмисники з продубльованими SIM-картками активістів. У результаті вони успішно увійшли в їх Telegram і завантажили звідти історію листування. На ранок МТС, як ні в чому не бувало, відновив усі відключені сервіси. Пізніше власник Telegram Павло Дуров підтвердив, що за зламом стояли спецслужби.

Через деякий час після цього випадку у мережі з’явився матеріал, де фахівці з кібербезпеки демонструють злам Telegram через вразливість SS7 – технологія, яка використовується в мережах мобільного зв’язку. Вони пояснили, що цю вразливість може проексплуатувати практично кожен хакер-початківець. Спеціалістам вдалося дізнатися IMSI-код SIM-картки жертви і перехопити SMS-повідомлення з кодом активації Telegram. Таким чином вони взяли під контроль акаунт. Щоправда, таке можливо лише за відсутності активної двофакторної авторизації, а також наявності у зловмисників спеціальних пристроїв та програмного забезпечення.

У січні 2017 року порталом BuzzFeed.News було розсекречено документ, створений офіцером британської розвідки, який містить збірку різноманітних записів. У ньому в основному йдеться про втручання російських хакерів і спецслужб у вибори в США, а також непомітно згадується Telegram. Невідомий автор заявляє, що ФСБ вдалося зламати додаток і тепер він не є безпечним до використання. Повідомлення датується 26 червня 2015 року. Документ було розміщено у вільному доступі на Document Cloud.

Того ж 2017 року в ЗМІ просочилася інформація про те, що Антон Розенберг, який стояв біля витоків “Вконтакте”, подав в суд на братів Дурових за своє неправомірне звільнення. Він опублікував довгий лонгрід на платформі Medium, де розповідає про всю “підноготну” Вконтакте й Telegram. За словами Розенберга, його звільнили через особистий конфлікт з Миколою Дуровим — братом Павла. Останній відзначився, на думку автора, особливою непорядністю. Історія закінчилася мировою: Розенбергу виплатили 1,5 мільйона рублів та зробили запис у трудовій книжці про звільнення за власним бажанням. Для себе з цієї історії можемо взяти наступне: Телеграмом керує не одна персона, а брати. І кожен з них має власні погляди, інтереси та ініціативи. Наприклад, компанія Telegraph Inc., яка числиться серед нинішніх груп-власників Telegram і зареєстрована на Британських Віргінських Островах, володіє ще однією ООО “Telegraph” в Росії, з якої усе починалось. Таким чином з допомогою різних юридичних схем, власники ймовірно приховують свої зв’язки з Росією.

Схема володіння LLC Telegraph. Джерело.

Як повідомляють інсайдерські джерела, інвесторами компанії Telegram були російські підсанкційні особи та арабські фонди, які здійснювали інвестиції в російські бізнес та економіку.

1 липня 2017 року в РФ усіх телеком-провайдерів зобов’язали зберігати записи телефонних дзвінків і повідомлень та інтернет-трафік протягом пів року, а інтернет-месенджери – зберігати ключі розшифровування онлайн-листування та надавати ФСБ по запиту. Telegram відмовились надавати ключі шифрування, обґрунтувавши це тим, що їх архітектура не передбачає подібного втручання (лист-відповідь “Роскомнагляду”). Паралельно вони заручились підтримкою юристів міжнародної правозахисної групи «Агора» й звернулася до суду з вимогою визнати незаконною вимогу силовиків. Судову справу вони програли, що стало першим етапом їхнього блокування в Росії. У 2018 році “Роскомнагляд” почав банити IP-адреси Telegram, що привело до блокування цілого ряду ресурсів: Google, Viber, Twitter, Facebook та інших. Проте сам Telegram залишався доступним. Одна з причин: використання різних механізмів моментальної зміни IPv4-адрес на хостингах Amazon, Google, DigitalOcean, а також використання адрес IPv6, які “Роскомнагляд” не міг технічно заблокувати. Окрім того, вбудована підтримка проксі SOCKS5 і MTProto давала користувачам змогу обходити ці блокування. У висновку, “Роскомнагляд” зрозумів, що таким чином він заблокує увесь Рунет, але не Telegram. Через якийсь час все затихло, про «блокування» Telegram стали говорити дедалі менше, а різні російські чиновники заявляли, що в них вже все працює, і що «заблокований» не значить «заборонений». 18 червня 2020 року “Роскомнагляд” на своєму сайті оголосив:

“Позитивно оцінюємо висловлену засновником Telegram готовність протидіяти тероризму та екстремізму. За погодженням з Генеральною прокуратурою РФ Роскомнагляд знімає вимоги щодо обмеження доступу до месенджера Телеграм…”.

Ось так гучна справа блокування Телеграм в Росії дивовижним чином зам’ялася. Це породило масу чуток в ЗМІ про можливе співробітництво Telegram і ФСБ, зв’язки Дурова з Кремлем і таке інше. Правда це чи вигадки – питання досі відкрите. Хотілось би, щоб цим кейсом зайнялись провідні детективи світу, наприклад Христо Грозєв з “Bellingcat”.

У 2020-2021 роках силовики Білорусі широко застосовували функції Telegram для ідентифікації протестувальників. Зокрема, визначали Telegram ID, пробивали номери телефонів, парсили публічні чати, щоби дізнатися, які саме повідомлення публікував той чи інший користувач. І навіть відновлювали видалений користувачами контент через доступ до кешу, який накопичувався на їх пристроях. Більш детально про це у документі.

Уривок з методички, яку використовують силовики Білорусі і РФ в роботі з Telegram. Джерело.

У 2019 році в Гонконгу спалахнули масові протести, викликані законом про екстрадицію, що дало уряду право передавати своїх громадян на запити країн, з якими не підписано угоду про екстрадицію. Жителі Гонконгу побачили в цьому загрозу автономії регіону й порушення прав громадян, що стало приводом до масових протестів. Через деякий час протестувальники розширили список своїх вимог, і на початок 2020-го протести продовжували вирувати. Для координації дій використовувався Telegram. На думку активістів, Telegram був кращим вибором через приватність даних, а також можливість створювати великі чати і групи. Саме в цих чатах та групах планувалися акції та обговорювалися протиправні, з погляду влади, дії. Дуже швидко всіх активістів вичислили і притягнули до відповідальності. Викриття відбулося, за деякими оцінками, через баг в Telegram.

У березні 2022 року уряд Бразилії виставив Telegram ультиматум – платформі дається 24 години на виконання рішень суду, інакше її блокують. Telegram дотримався умов, вибачився і зобов’язався:

Вести щоденний ручний моніторинг 100 найпопулярніших каналів Бразилії;
Вести щоденний ручний моніторинг усіх основних бразильських ЗМІ;
Позначати конкретні пости в каналах як неточні;
Обмежувати публікації користувачів, яких заблоковано за поширення дезінформації;
Просувати в Telegram перевірену інформацію.

Ось вам і “…право на конфіденційність та таємницю особистого листування залишаються фундаментальним принципом Telegram у всіх країнах”.

На початку повномасштабного військового вторгнення росії в Україну, ФСБ з допомогою Telegram визначало проукраїнських активістів та журналістів на окупованих територіях. Одним з них став Ігор Бондаренко. Чоловік вів листування з допомогою Telegram зі своїми побратимами. Коли його затримали, виявилося що військові мають доступ до всіх чатів активіста. Про цю історію детально розповів The Washington Post. Потім її детально розібрав американський експерт з безпеки Метт Тейт.

24 листопада 2022 року за рішенням Вищого суду Індії в Делі Telegram зобов’язали розкрити імена адміністраторів, номери телефонів та IP-адреси каналів, звинувачених у несанкціонованому обміні навчальними матеріалами для національних іспитів. Telegram стверджував, що його регіональні сервери розташовані в Сінгапурі, а тому жодні дані не можуть бути розкриті, оскільки місцеве законодавство забороняє це. Врешті-решт, Telegram оприлюднив всі дані, зберігши таким чином присутність в Індії, яка є їх найбільшим ринком – понад 700 мільйонів користувачів. Як кажуть, “бабло перемагає зло”.

У червні 2022-го в німецькому виданні Spiegel з’явилася стаття про те як Telegram співпрацює з правоохоронними органами Німеччини. За твердженням авторів, зафіксовані активні і постійні відносини Дурова з Управлінням кримінальної поліції Німеччини (Bundeskriminalamt або BKA) та Федеральним міністерством юстиції. Додається, що це відбулось внаслідок постійного тиску збоку німецького уряду. Telegram оштрафували на 55 мільйонів доларів згідно німецького Закону про захист мереж (Network Enforcement Act). У висновку, Telegram і уряд Німеччини домовилися про створення прямої лінії зв’язку.

У 2023 році губернатор штату Монтана Ґреґ Джанфорте ввів заборону на використання Telegram на державних пристроях. Чиновник обґрунтував це своїм занепокоєнням щодо безпеки та конфіденційності даних, припустивши, що Телеграм можна використовувати для моніторингу користувачів і доступу до особистої інформації.

👉 Посилання на інші кейси, матеріали, розслідування пов’язані з Телеграмом і Дуровим:

⏩ Hong Kong protesters warn of Telegram feature that can disclose their identities
⏩ As Hong Kong protesters embrace Telegram, when will the messaging app fix one of its biggest security flaws?
⏩ Dear Hong Kong Activists, Please Stop Telling Everyone Telegram is Secure
⏩ HABR. МВД отжало у меня телеграмм, или о дыре в защите
⏩ HABR. Почему я больше не нажимаю кнопку «Add contact» в Telegram
⏩ TJournal. Из-за бага в Telegram москвичка получила возможность незаметно читать переписку редакции «Дождя»
⏩ Telegram Bug ‘Exploited’ By Chinese Agencies, Hong Kong Activists Claim
⏩ Mediazona.by. «Web‑капкан» и «Т‑Поиск». Как следователей учат искать пользователей телеграма с помощью OSINT
⏩ Dailystorm.ru. Как белорусские силовики «угоняют» Telegram-каналы и внедряются в чаты протестующих
⏩ Dailystorm.ru.«От Родины не должно быть секретов. Их у вас, собственно, нет»: как силовики, детективы и пробивщики деанонимизируют пользователей Telegram
⏩ «Надеюсь, что нас готовят не к реальной войне». Экс-топ-менеджер «ВКонтакте» Антон Розенберг о цифровых итогах 2019 года
⏩ The Washington Post. Stealthy Kherson resistance fighters undermined Russian occupying forces
⏩ Russia is spying on Telegram chats in occupied Ukrainian regions. Here’s how.
⏩ WIRED. The Kremlin Has Entered The Chat
⏩ WIRED. How Telegram Became the Anti-Facebook
⏩ Medium. Yaroslav Azhnyuk. What’s off with Telegram’s response to the piece about their potential ties to the Kremlin.
⏩ Telegram: Azhnyuk-Claims. Why Telegram is Safe for Users in Ukraine.
⏩ Ярослав Ажнюк. Чому варто видалити Телеграм зі свого мобільного.
⏩ Yahoo.com. Yaroslav Azhnyuk: Why doesn’t Ukraine restrict use of the Russian Telegram app?
⏩ Youtube. Радіо НВ. Інтерв’ю з журналістом, переписку якого в Телеграмі читало фсб.
⏩ Russian Oligarch, Ex-Cabinet Minister Invested in Telegram’s ICO, Court Filing Says
⏩ IT-бізнесмен із США Талан: Дуров віддав Telegram Кремлю з усіма даними всіх користувачів
⏩ Bloomberg. Is Pavel Durov, Russia’s Zuckerberg, a Kremlin Target?
⏩ Hromadske.radio.«Кремль приєднався до чату»: що може ховатись у Telegram?
⏩ Операція Telegram: 7 причин для обмеження російського додатку в Україні
⏩ Liga.net. Як влаштована анонімна імперія Павла Дурова?
⏩ AIN.UA. Wired: Telegram може співпрацювати з Кремлем. Ось аргументи
⏩ Костянтин Корсун. Смертельно небезпечний Телеграм
⏩ ЕКОНОМІЧНА ПРАВДА. Микита Книш. Як “зламують” Telegram з двофакторною авторизацією
⏩ Detector Media. Небезпечний телеграм: підводні камені найпопулярнішого в Україні месенджера
⏩ Detector Media.Розслідування FT: Telegram перетворився на новий даркнет для кіберзлочинців
⏩ Detector Media. Як Телеграм сприяє дезінформації та маніпуляціям?
⏩ Detector Media. Дослідження телеграм-каналів, які наслідують інші та поширюють російську пропаганду
⏩ Чи є безпечним активне використання Телеграм в Україні?
⏩ Youtube. Ярема Дух. Ризики Telegram.
⏩ DOU.UA. Чи варто довіряти Telegram?
⏩ Ukrainer. Що не так з Telegram?
⏩ Українська Правда. Анастасія Романюк. Ілюзія безпеки: Telegram
⏩ NO NAME PODCAST. Про Телеграм з Ярославом Ажнюком
⏩ Bitcoin.com. Pavel Durov Closes UK-Based Company Telegram Messenger LLP
⏩ HABR. Как Telegram сливает вас Ростелекому
⏩ Reuters. Exclusive: Hackers accessed Telegram messaging accounts in Iran – researchers
⏩ VICE. Ексклюзив: співробітник BKA розповів, як державні хакери незаконно зламують Telegram (DE)
⏩ Medium.com. Anton Rosenberg. История создания Telegram. Всё новое — это хорошо забытое старое
⏩ Medium.com. Иван Павлов: Павел ДУРОВ — российский Волан-де-Морт: о связи мессенджера Telegram со спецслужбами и не только
⏩ The Guardian. Telegram founder listed in leaked Pegasus project data
⏩ KREMLINGRAM.ORG
⏩ Telegram company information
⏩ Mubadala Telegram
⏩ Telegram raises $1BN+, including $150M from Mubadala and Abu Dhabi CP via pre-IPO convertible bonds
⏩ Російська «Енігма» ХХІ сторіччя: як Telegram пов’язаний з Кремлем
⏩ Youtube. СТАСЯ. Правда про Telegram.
⏩ Пересадка волос, дети и отношения с Аленой Шишковой. Тайны Павла Дурова

Чи існує альтернатива Telegram?

У першу чергу альтернативою можуть стати захищені месенджери, такі як Signal, Threema, Briar, XMPP Conversations, Wire та інші. Їх ми детально розглянули в окремій статті: ТОП безпечних та захищених месенджерів.

Ще однією альтернативою може слугувати добре знайомий нам Viber, який володіє широким функціоналом – канали, групи, чати, боти. Підтримує E2EE-шифрування в приватних і групових чатах. Є API-інтерфейс. Має достатньо непогану документацію. За останні роки Viber здійснив певний прогрес, додавши різноманітні функції приватності, однак він є централізованим і використовує ADINT (Ads Intelligence) – це система рекламної розвідки, яка збирає знеособлені дані користувачів та націлює на них таргетовану рекламу. З допомогою ADINT можна відстежувати особу та здійснити деанонімізацію. Щоправда, Viber не є виключенням, подібна система вже давно присутня в усіх продуктах Meta: Facebook, WhatsApp, Instagram. В Telegram, попри заяви Павла Дурова не вводити рекламу, вона теж присутня.

Найбільш схожим до Telegram за архітектурою та функціоналом є Matrix. На ньому зупинимось детальніше.

***

Matrix – це відкритий децентралізований протокол для інтернет-комунікації, який підтримує усі типи обміну повідомленнями: чати, голосові повідомлення, аудіо та відео виклики, обмін файлами, API-інтеграції і інше. Протокол складається з серверної та клієнтської частин. Підтримує E2E-шифрування і федеративну систему. Користувач має змогу розгорнути власний домашній сервер Matrix та під’єднати до нього клієнт. Движки для реалізації Matrix-сервера: Synapse, Dendrite, Construct, Ligase.

Користувачі, які не мають досвіду в адмініструванні VPS-серверів і не хочуть розбиратися з движками, можуть скористатися “коробочними” рішеннями від різних провайдерів, які надають Matrix-сервер і клієнт (програму). Все, що необхідно — це завантажити безкоштовно додаток і створити обліковий запис:

Element (рекомендовано) – один із найпопулярніших та найфункціональніших кросплатформних додатків на базі Matrix. В ролі постачальника сервера виступає материнський Matrix.org. Реєстрація без номера телефону — потрібно вказати лише електронну пошту. Додаток, подібно до Telegram, має різні версії: Web, Desktop, Android, iOS. Серед підтримуваних інтеграцій: боти, віджети, мости. Наскрізне шифрування увімкнуто по замовчуванню. Ключі зберігаються на пристрої користувача. Додаток має також платні версії, які розкривають додатковий функціонал.
FluffyChat – клієнт Matrix, публічний Matrix-сервер можна вказати при реєстрації самостійно (див. список публічних серверів). Має інтуїтивно-зрозумілий інтерфейс. Додаток швидкий, підтримує мультиакаунти.
Syphon – ще один Matrix-клієнт, орієнтований на простоту і приватність. Публічний сервер вказується зі списку.

Федеративний протокол MATRIX дозволяє налагоджувати мости з іншими мережами.

Переваги Matrix:

Open Source протокол;
Відповідає регламенту про захист персональних даних GDPR;
Наскрізне шифрування End to End Ecryption застосовується по замовчуванню;
Підтримка мостів з популярними додатками: IRC, Gitter, Github, Discord, Signal, WhatsApp, Telegram;
Широкий функціонал для адміністрування каналів;
Платформа для онлайн-колаборації між командами;
Контакти на вашому власному мобільному телефоні не передаються автоматично третім особам (без завантаження адресної книги);
Автономність і контроль: можна встановити локально;
Мatrix як канал комунікації застосовують європейські уряди і наукові установи.
Свої Matrix-сервери використовують відомі ІТ-компанії, наприклад Mozilla.

Посилання:

⏩ Matrix vs Telegram
⏩ Matrix vs Telegram: Feature Comparsion
⏩ Wikipedia. Matrix (protocol)

Висновки

Сказати, що Telegram – це страшне зло, доступ до якого в Україні потрібно заблокувати вже завтра, складно. Сама ідея цікава та актуальна – створити кишенькову “хмару”, не вимогливу до пристрою, з допомогою якої можна отримати доступ до своїх мультимедіа у будь-якій точці світу та можливість виконувати найрізноманітніші операції в інтернеті: приватний месенджер, стрічка новин, плеєр, соцмережа, веб-сторінки, браузер, пошук, платежі, обчислення і так далі. Розробники ж, у свою чергу, можуть писати додатки для цієї платформи й таким чином заробляти. Це дійсно захопливо, але на практиці не так все казково, як здається. Захистити подібне непросто. Власне, що ми й бачимо — функціонал Telegram має прогалини, які роблять його “троянським конем”. А тому є привід поставитися з усією серйозністю та відповідальністю щодо техніки безпеки у цьому додатку.

Загалом, усі потенційні вразливості Telegram можна поділити на такі типи:

Вразливості шифрування. Алгоритм шифрування MTProto закритий, тому до нього є чимало питань. Наскрізне шифрування E2E реалізовано лише в секретних чатах. Усі інші чати шифруються по моделі – “клієнт-сервер-клієнт”, що потенційно може привести до перехоплення та розшифрування повідомлень.
Вразливості серверної інфраструктури. Атаки на сервери Telegram, включаючи DDoS атаки або вразливості в програмному забезпеченні серверів. Можуть вплинути на доступність і безпеку платформи.
Вразливості клієнтських додатків. Вразливості в мобільних і десктопних додатках та веб-версії Telegram можуть призвести до зламу акаунта, перехоплення повідомлень або інших видів атак.
Соціальна інженерія. Завдяки великій кількості OSINT-інструментів, що використовують функції API та CLI, Telegram стає ідеальним середовищем для проведення різного роду атак з використанням соціальної інженерії. Вони можуть негативно впливати на користувачів Telegram шляхом різноманітних маніпуляцій, наприклад фішингу, смішингу, сталкінгу, парсингу та інших методів.

Основне, що варто назавжди запам’ятати користувачу:

✅ користуйтесь VPN;
✅ реєструйтесь на SIM-картку оператора ЄС;
✅ відразу вмикайте двофакторну верифікацію (хмарний пароль);
✅ приховуйте свій номер телефону;
✅ не вказуйте особисті дані в профілі;
✅ не задавайте username;
✅ використовуйте лише секретні чати для спілкування в Telegram;
✅ не зберігайте в хмарі Telegram будь-якої конфіденційної інформації;
✅ регулярно очищайте кеш Telegram.

Ну, а якщо ви знаходитесь в зоні підвищеного ризику (військові, журналісти, волонтери, політики), то рекомендуємо взагалі відмовитися від Telegram і використовувати децентралізовані захищені месенджери (див. вище).

З іншого боку, таке творіння П.Дурова як “ВКонтакте”, зі значно слабшим функціоналом та призначенням, на багато років заблоковано на території України. Сьогодні “ВК” практично мертвий і не являє собою жодного інтересу, тим часом як вся російська пропаганда переїхала в Telegram, який став одним з найпопулярніших додатків в Україні.

Статистика найпопулярніших веб-додатків в Україні станом на Червень, 2023 рік. Рейтинг сформовано компанією SimilarWeb.

Громадянам України варто знати:

Telegram – це продукт російської інтелектуальної спільноти. Його заснували громадяни росії, яка визнана світом державою-терористом. Над ним досі працюють розробники з Санкт-Петербурга.
Корпоративна структура, топ-менеджери Telegram можуть бути пов’язані з Кремлем. Московські олігархи могли або можуть бути дотичними до фінансування компанії (і її дотичних груп) на певних стадіях розвитку проєкту.
Telegram дійсно використовувався і використовується російськими силовиками та спецслужбами (і не тільки ними). Єдине, що залишається відкритим так це: чи мають вони бекдор для дешифрування? Кажуть, що мають. У всякому випадку, диму без вогню не буває і сподіваємося на це ще проллють світло міжнародні експерти.
Телеграм став криміногенним середовищем, що нагадує DarkWeb. А також розплідником фейків, пліток, чуток і наративів. Поряд з цим, його використовують українські державні, банківські, інфраструктурні сервіси. Його популяризують журналісти і політики. І в цьому, на нашу думку, й криється основна проблема національної безпеки і безперервні розмови про ризики та наслідки Telegram.

P.S. І на завершення. Безпека та комфорт, безпека і бізнес – часто суперечать один одному. Наприклад, щоби забезпечити наскрізне шифрування в Телеграмі не тільки в секретних чатах, а й на усіх інших рівнях інфраструктури, і при цьому зберегти швидкість, компактність, гнучкість – треба докорінно змінювати архітектуру, відмовлятися від принципів хмарного сховища (відмова від пересилки об’ємних файлів до 4 ГБ), вводити новий функціонал і вкладати у це кошти, а відтак змінювати сам тип і характер додатка. А хіба це їм потрібно? Навіщо Дурову щось змінювати, якщо Телеграм й так успішний. Це ж не захищений месенджер, а соціальна платформа з розвинутим функціоналом, де основна мета – збільшувати аудиторію і заробляти на ній. Слова “безпечно, конфіденційно” – маркетингова обгортка, аби користувач повірив у якусь ідею. Бо проєкт без ідеї – ніщо. Зараз вже можемо сказати чого варті обіцянки буцімто Телеграм ніколи не стане комерційним, ніколи не співпрацюватиме з урядами, вся ця критика вбік WhatsApp… Насправді і Telegram, і WhatsApp – “одного поля ягідки”. А ставлення Telegram до баг-хантерів бажає кращого.

У всякому випадку, хай кожен сам собі вирішує користуватися йому “Тєлєгою” чи ні. Можливо, хтось-колись створить добре захищений український форк чи аналог Telegram. Ми ж черговий раз повторюємо: читайте інструкції, вивчайте специфікації, досліджуйте хронологію і біографії, шукайте джерела і першопричини, зберігайте анонімність та вчасно оновлюйте програмне забезпечення!

Список джерел і посилань

⏩ Telegram F.A.Q.
⏩ Telegram Privacy Policy
⏩ Telegram Ads
⏩ Telegram Info Ukraine
⏩ Telegram API
⏩ Telegram Bots
⏩ Telegram Apps
⏩ Telegram Builds
⏩ Telegram MTProto
⏩ Telegram Database Library
⏩ Telegram Press Info
⏩ Telegram Translations
⏩ Telegram Instant View
⏩ Telegram Blog
⏩ Telegram on Reddit
⏩ Telegram on Twitter
⏩ Wikipedia. Telegram (Software)
⏩ Wikipedia. Pavel Durov
⏩ Wikipedia. Nikolai Durov
⏩ Twitter. Pavel Durov.
⏩ Telegram. Du Rove’s Channel.
⏩ Telegram. Pavel Durov Russia.
⏩ Facebook. Pavel Durov.
⏩ Instagram. Pavel Durov.
⏩ Vimeo. Pavel Durov Backstage Interview on TechCrunch DISRUPT SF 2015
⏩ GitHub. Telegram Desktop.
⏩ History of Telegram in Timeline
⏩ Wikipedia. Government censorship of Telegram Messenger.
⏩ Medium. Link Daniel. A Conversation With Pavel Durov
⏩ Н. Кононов. Код Дурова. Реальная история “ВКонтакте” и ее создателя

ПОДІЛИТИСЬ У СОЦМЕРЕЖАХ:

Konrad Ravenstone

Спеціаліст з кібербезпеки, аудитор, OSINT-аналітик, Penetration Tester в KR. Laboratories. Досліджує інтернет-технології з 2011 року. Впроваджує кіберзахист інформаційних систем та електронних ресурсів на всіх рівнях.

Усі записи

0 1230

ТОП кращих фільмів про хакерів і кібербезпеку

2023-09-022023-11-29

0 1016

Хто такі хакери? Погляд в історію

2023-08-242024-04-11

0 1146

Як захистити свій акаунт в Facebook та зберегти анонімність?

2023-01-032024-04-21

0 1141

Методології у сфері ІТ: ITIL, COBIT, PRINCE2 та інші

2022-10-232023-11-29

2 1651

ТОП книг для читання про кібербезпеку

2022-07-142024-03-08

0 1177

ТОП 20 світових фреймворків з кібербезпеки

2022-05-082023-11-29

IT Блоґ

Шифропанки та їх роль в становленні криптографії і зародженні криптовалюти

244

IT Блоґ

Як провести OSINT аналіз токсичної IP-адреси?

417

IT Блоґ

ТОП сервісів для аудиту безпеки сайтів

446

IT Блоґ

ТОП пошукових систем для пентестера

801

IT Блоґ

Пентест від А до Я: посібник з тестування на проникнення

1098

Варто прочитати:

Як розгорнути власний хостинг на базі HETZNER і Cyberpanel?

Linux Mint: історія, встановлення, налаштування, безпека

Kali Linux: історія, встановлення, налаштування, огляд

Як встановити Adobe Photoshop в Linux?

Безпека і анонімність в Telegram

Архітектура і структура Telegram

Які користувацькі дані збирає і зберігає Telegram?

Налаштування безпеки Telegram-акаунта

Додаткові поради та заходи як захистити акаунт в Telegram

Лайфхаки Telegram

Секретні чати в Telegram

Безпека груп і каналів в Telegram

Поради власникам Telegram-каналів

OSINT в Telegram

Telegram-боти

Telegram API і CLI інструменти

Розширення для Chrome/Firefox

Пошукові системи Telegram

Аналітика Telegram-каналів

Google Dorks Telegram

За що можуть забанити в Telegram

Ліміти і обмеження в Telegram

Що робити якщо Telegram акаунт взламали?

Як видалити cвій акаунт Telegram?

Вразливості Telegram

Події, інциденти, скандали з Telegram

Чи існує альтернатива Telegram?

Висновки

Список джерел і посилань

IT Аутсорсинг

Кібербезпека

Компанія