Жительница Республики Беларусь получила доступ к чужому аккаунту в популярном мессенджере Telegram после попытки перевести свою учетную запись на новый номер.
Читательница белорусского новостного портала onliner. by Юлия прислала в его редакцию письмо с описанием неожиданно найденной уязвимости в мессенджере, который считается одним из самых безопасных. Она переехала в Канаду и захотела перевести свой аккаунт на местный номер, одновременно с этим переустановив приложение. Но к тому номеру, который выдал ей оператор уже была привязана учетная запись Telegram: запустив приложение и введя код из СМС, Юлия увидела переписки некоего Хасана.
Таким образом, процедура привязки нового номера оказалась невозможна. Женщина обратилась в техподдержку мессенджера и получила рекомендацию просто удалить учетную запись Хасана, а затем повторить перенос данных своего аккаунта. Вопрос Юлии, как сделать так, чтобы обезопасить себя от подобного казуса остался без ответа. Ее беспокоит, что если она откажется от использования белорусской SIM-карты, оператор может также продать ее номер телефона другим абонентам и те потенциально будут иметь доступ к ее личным данным в Telegram.
Описанная уязвимость характерная для большинства сервисов с аутентификацией по номеру телефона. В случае с Telegram существует опция защиты учетной записи дополнительным паролем. Также, как следует из переписки Юлии с техподдержкой, с точки зрения администрации мессенджера собственник номера телефона является собственником всей информации в Telegram, привязанной к нему. То есть в случае прекращения действия контракта с оператором сотовой связи необходимо в обязательном порядке изменять номер в мессенджере.
Количество доступных номеров в сетях сотовой связи ограничено, поэтому подавляющее большинство операторов после прекращения договора на оказание услуг присваивают номер новому абоненту. На некоторое время такие «бывшие в употреблении» комбинации цифр попадают в так называемый «отстойник», а через 6−12 месяцев снова становятся доступны. Обнаруженная Юлией особенность Telegram обусловлена алгоритмом аутентификации и ее сложно назвать полноценной уязвимостью, тогда как найденная осенью 2018 года лазейка действительно представляет угрозу.
