Раскрытие номера телефона и геолокации через уязвимость в Телеграме

[bepas]

Данная уязвимость попала в программу bug bounty телеграма и была оценена в 100€.

Потому что пробив по номеру стОит существенно дороже, не говоря уже о том, что номер м.б. оформлен на дядю или вообще быть не российским, где цены на пробив драматически выше.
А какие геоданные отдаст десктопный клиент?

Продолжение банкета

Но все это никак не помешало каналу «шум прибоя» вывалить кучу ПД конкурирующих админов. И лишь единичные админы поржали в ответ, указывая на публичный источник их ПД и их связи с каналом.
Еще больше юмора случилось с деаноном админа, который прямо в описании канала указал свое реальное ФИО и место работы.

Итого: «первая телеграмная война»(с) началась успешными сливами — судя по нервной реакции с обеих сторон, но источниками сливов были явно не описываемые в статье багофичи.
А что там у тебя, Сеня?
www.youtube.com/watch?v=-BuwEvVPU84

И только из-за подлого вируса судьба «футляра», его СИМ-карты, а также снятой суммы в битках, заработанных непосильным трудом, канула в лету… с лёту… Интересно, что же будет к лету?

[alex1478]

Будем честны, это не уязвимость, а социнженерия + недоработка телеграма.

[Tatikoma]

Предлагаю считать, что это комплект из мелкой уязвимости и социнженерии.

[PrinceKorwin]

Вот так легким движением руки говорим не уязвимость, а просто недоработка и можно не платить за найденную уязвимость. Не надо быть таким, фу :)

[AWSVladimir]

Ну не доработка это вообще идентификация клиента.
Ну о какой анонимности может идти речь, если регистрация по номеру телефона, пусть даже и дяди/тети/купленного в переходе.
Если нужна анонимность, то только emeil и желательно анонимный и разовый, только что бы стать клиентом мессенджера.

[Tangeman]

Если нужна анонимность, не нужен даже email — Jami & co передают пламенный привет.

[tmin10]

Утечка данных чаще происходит, когда юзер тыкает кнопку "добавить контакт" которая появляется при чате с новым пользователем. В этом случае он добровольно отдаёт свой номер, что не очевидно. У меня много таких контактов уже. Сам пару раз в начале слуачано тыкал по этому сообщению.

[polRk]

Что мешает в настроить показ своего номера? Просто запретить всем видеть Ваш номер

[Groosha]

Но при этом ведь даже специальная галочка показывается, позволяющая не светить свой номер собеседнику:

[tmin10]

Хм, возможно это позже добавили, я тыкал в самом начале, просто добавляло молча и номер шарило. После я уже не пробовал. Можно попробовать поискать в ченжлоге это.

[sleepes]

Тот случай, когда заголовок громче самой статьи

Выше верно заметили

Утечка данных чаще происходит, когда юзер тыкает кнопку «добавить контакт» которая появляется при чате с новым пользователем. В этом случае он добровольно отдаёт свой номер, что не очевидно. У меня много таких контактов уже. Сам пару раз в начале слуачано тыкал по этому сообщению.

Будем честны, это не уязвимость, а социнженерия + недоработка телеграма.

[Lyinx]

Открыт новый сезон «Телеграм забагован/ненадёжен/сливает инфу/продался, пользуйтесь ICQ и Там-Там»?

[Endeavour]

Мессенджер привязаный к вашему личному номеру телефона по определению не может быть приватным. Он может лишь удорожить процесс раскрытия вашей личности.

Опять путаем анонимность и приватность?

[thanxqap]

Хорошее замечание. Все зависит от модели угроз и дополнительных условий.

Допустим есть некий блогер который общается в Telegram группе и ведет канал от своего настоящего имени. При этом он не хочет чтобы его номер знали посторонние люди. В данном случае номер телефона это конфединциальные данные защищенные настройками Privacy and Security в приложении. Анонимности уже итак нет, а приватность может быть нарушена с помощью рассмотренного сценария атаки.

Другой кейс: в Telegram чате некий пользователь под вымышленным именем не лестно высказался о действующей власти. Этот пользователь зарегистрировался под собственным номером телефона. В данном случае он анонимен и его номер это приватные данные. Его номер также можно раскрыть рассмотренным сценарием, но это всё еще не нарушит его анонимность потому что номер сам по себе почти ничего не сообщает о личности владельца аккаунта, это всего лишь набор чисел.

Выходит что в обоих примерах нарушается именно приватность и только во втором может быть нарушена анонимность. И это лишь в том случае если номер телефона получится сопоставить с личностью найдя например сайт-визитку владельца, где указан его номер, или сопоставив номер с другой утекшой базой данных, или просто позвонив по номеру и сказав «Привет. Ты кто?».

На мой взгляд анонимность впринципе не может быть достигнута техническими решениями, а лишь правильным их использованием.