На прошлой неделе стало известно, что бразильские правоохранительные органы арестовали четырех подозреваемых во взломе 1000 учетных записей Telegram. В числе пострадавших от этих атак были высокопоставленные правительственные чиновники, включая президента страны Жаира Болсонару, а также министра юстиции Сержиу Мору и министра экономики Пауло Гуэдеса. Другие политики более низкого ранга, такие как конгрессмен Джойс Хассельманн, тоже утверждали, что подвергались атакам.
Техника взлома учетных записей Telegram была подробно объяснена в судебном документе, связанном с арестом четырех хакеров. Впервые этот метод атак был описан еще в 2017 году исследователем Раном Бар-Зиком (Ran Bar-Zik).
Суть метода заключается в том, что большинство мессенджеров позволяют пользователям получать одноразовые коды доступа по SMS, а также в виде голосовых сообщений. И пользователи мессенджеров, у которых активна функция голосовой почты, подвергаются риску, если они не меняли пароль для голосовой почты по умолчанию, так как в большинстве случаев это «0000» или «1234».
Бар-Зик обнаружил, что если номер занят другим вызовом, или если пользователь не отвечает на вызов три раза подряд, одноразовый код подтверждения в конечном итоге перенаправляется на учетную запись голосовой почты пользователя. Откуда его весьма просто извлечь, если жертва не меняла пароль.
По информации бразильских властей, четверо хакеров установили на свои устройства приложения Telegram, но указали не свои номера телефонов, а номера известных политиков. Затем они запрашивали аутентификацию посредством голосового сообщения, и в это время принимались звонить на телефоны получателей, чтобы одноразовый код доступа точно был направлен в голосовую почту. После подозреваемые имитировали телефонные номера целей (с помощью VoIP), использовали пароль по умолчанию для доступа к учетной записи голосовой почты, получали одноразовый код и привязали учетную запись Telegram жертвы к своему устройству, то есть получали полный доступ к аккаунту и всей истории его сообщений.
Резонансный взлом учетных записей бразильских политиков не оставили без внимания и сами разработчики Telegram. Издание ZDNet сообщило, что в минувшие выходные мессенджер получил обновление, которое призвано предотвратить подобные атаки в будущем.
Разработчики пояснили, что с недавнего времени запросить код подтверждения по телефону можно лишь в том случае, если учетная запись пользователя защищена двухэтапной верификацией. Разумеется, это исправление доступно не только бразильским пользователям, но всем юзерам Telegram.
Однако стоит помнить о том, что компрометация учетной записи через голосовую почту работает не только для Telegram. Впервые такая атака была продемонстрирована на примере WhatsApp, а затем было доказано, что метод работает и для Facebook, Google, Twitter, WordPress, eBay, PayPal и множества других сервисов. Так как их разработчики не предпринимали никаких дополнительных защитных мер, пользователям крайне рекомендуется изменить пароль по умолчанию для голосовой почты.