Telegram допускает создание поддельного профиля, маскирующегося под «Избранное», в которое пользователи часто помещают важную информацию, включая фотографии и пароли. Хакеры могут написать пользователю с такого поддельного аккаунта, после чего он начнет хранить эти сведения в поддельном «Избранном», открывая тем самым доступ к ним третьим лицам.
Новая уязвимость Telegram
Пользователи Telegram со всего мира оказались под угрозой потери личных данных – хакеры могут украсть их через подделку «Избранного» (Saved Messages). Это отдельный чат, которым многие пользуются для отправки сообщений самому себе или хранения какой-либо важной информации для быстрого доступа к ней с различных устройств. Это может быть что угодно – логины и пароли, корпоративная документация, персональные данные и т.д.
Воспользоваться уязвимостью может любой, даже с нулевыми познаниями во взломах приложений. Для этого достаточно создать новый профиль в Telegram, назвать его Saved Messages и поставить фотографию в виде иконки закладки.
После этого будет достаточно написать будущей жертве любое сообщение с этого профиля, даже состоящее из одного символа, и сразу удалить его. В итоге поддельный профиль не только отобразится в списке контактов жертвы, но и автоматически будет перемещен в его начало.
Мессенджер Павла Дурова позволял обманывать пользователей с помощью поддельных профилей
Дальше останется лишь ждать, пока пользователь решит отправить сообщение самому себе через «Избранное». Как только он это сделает, злоумышленник получит к нему доступ.
Реакция Telegram
На момент публикации материала официальные представители Telegram не реагировали на появление информации о новой уязвимости в мессенджере. Тем не менее, появились свидетельства о том, что команда разработчиков начала блокировать все аккаунты, создаваемые с именем Saved Messages.
Редакция CNews убедилась в этом, попытавшись создать профиль с именем Saved Messages через Android-приложение Telegram. Регистрация прошла успешно, но менее чем через минуту приложение автоматически вышло из профиля и предложило залогиниться заново. Редакция CNews попыталась зарегистрироваться повторно с использованием того же номера телефона, но он уже попал в список заблокированных.
Лазейка прикрыта
В настоящее время неизвестно, как много профилей Saved Messages было создано до введения автоматической блокировки, и какова их судьба. Другими словами, существует вероятность, что десятки мошеннических аккаунтов, маскирующихся под «Избранное», по-прежнему функционируют.
Сработает не со всеми
К минусам новой уязвимости Telegram можно отнести отсутствие 100-процентной вероятности получения доступа к личной информации жертвы. Пользователь, заинтересовавший хакера, может не использовать «Избранное» для хранения важных данных, и передавать их на другие устройства, к примеру, посредством облака или сменного носителя.
В случае если «атакованный» хакером пользователь все же использует данный метод быстрого доступа к данным, он может применять его на очень нерегулярной основе. В этом случае злоумышленник будет вынужден тратить время на длительное ожидание.
Способы защиты