Что реально уходит по ту сторону

Многие думают, что бот получает только цифры номера. На деле в пакете, который уходит боту, лежит больше.

По документации, вместе с номером боту передаётся набор полей: сам телефон, ваш Telegram user_id, имя и фамилия из профиля. То есть номер сразу привязан к вашему аккаунту — не абстрактные цифры, а «вот этот человек с таким именем и таким ID имеет такой номер».

Это и есть тихая деанонимизация. Если раньше вы сидели под ником, а номер прятали в настройках приватности — одно нажатие связывает ваш публичный ник с реальным номером.

Разборы того, как из таких мелочей собирается цифровой профиль, лежат в нашем канале — большая база по цифровой безопасности.

А дальше начинается зона без правил

Всё, что происходит с номером после, Telegram уже не контролирует. Данные попали на сервер того, кто этого бота написал.

И тут никаких гарантий нет вообще. Честный разработчик обработает запрос и не будет ничего хранить. Нечестный — сложит ваш номер, ID и имя в базу, а потом продаст рекламщикам, добавит в спам-рассылку или сопоставит с данными из других сливов. Вы не знаете, какой из двух перед вами. Кнопка выглядит одинаково в обоих случаях.

Проще говоря: системная кнопка гарантирует, что данные аккуратно доставлены. Она ничего не гарантирует про то, что с ними сделают на том конце.

Что с этим делать

Не отказываться от ботов вовсе — некоторым номер правда нужен по делу, тому же боту доставки для связи с курьером. А включить голову перед нажатием.

Спросите себя: этому боту номер нужен по функции? Боту-курьеру — логично. Боту-развлекалочке с гаданием или «проверь, кто тебя удалил» — с чего бы? Если связи между задачей и телефоном нет, это сбор данных, а не необходимость.

Посмотрите, кто автор. Официальный бот знакомой компании и поделка от безымянного разработчика — разный уровень доверия. Репутацию, увы, подделывают, но её полное отсутствие уже сигнал.

Заведите отдельный номер для регистраций и ботов. Виртуальный или вторая сим-карта. Тогда даже утечка не тянет за собой ваш основной номер, к которому привязаны банки и госуслуги.

И держите в голове главное правило: нажатие необратимо. Отправленный номер нельзя «отозвать» — он уже на чужом сервере. Решать нужно до клика, а не после.

Если тема цифрового следа вам близка, у нас в канале собрана целая база материалов по OSINT и защите данных — заходите, там разбираем такие механики подробно.

А вы жмёте «Поделиться контактом» не глядя или проверяете, кому отдаёте номер? Расскажите в комментариях, каким ботам давали номер и не пожалели ли.

И тут вступает неприятная арифметика. Я прикинул: вероятность, что ваш редкий ник независимо выбрал другой человек, — примерно один к миллиону. А что совпало у двух разных людей сразу на трёх сайтах — это уже один к триллиону. Проще говоря: нашли один и тот же необычный ник в трёх местах — это один человек. Не совпадение.

Как это собирается на практике

Есть открытые инструменты, работают они тупо и эффективно: берут ваш ник и по очереди стучатся на сотни сайтов, проверяя, занят ли он там.

Одна такая программа проверяет около 400 площадок. Другая — за 700. За минуту. Не хакерство, а перебор адресов: если на сайте есть профиль `site.com/имя`, скрипт просто смотрит, отвечает страница или нет.

И вот что вылезает у обычного человека. Игровой форум из юности — там ваш город, вам 14, вы пишете про свою школу. Дальше тот же ник на бирже фриланса — уже настоящее имя и специализация. Потом на маркетплейсе отзывов — что покупали. На спортивном трекере — где бегаете по утрам, буквально с картой маршрута от подъезда.

Каждый профиль сам по себе — ерунда. Но ник сшивает их в одну нитку. И школьник с форума, и фрилансер с именем, и бегун с маршрутом — оказывается, один человек. Вы.

Что с этим делать

Не паниковать. Вычислить себя — не то же самое, что вам навредить. Но подчистить стоит.

Разные ники для разных зон жизни. Одно для игр и развлечений, другое — где светится имя и деньги. Чтобы нитка рвалась.

Погуглите свой ник в кавычках. Просто посмотрите, что вылезет — часто это отрезвляет лучше любой статьи.

Старые аккаунты, которыми не пользуетесь, — удалите или переименуйте. Тот самый форум из 14 лет обычно и есть слабое звено: там вы были откровеннее всего.

Разбираем такие техники и как защищаться — в канале, там же большая база материалов по OSINT для самостоятельного изучения.

А у вас всё ещё живёт ник из школьных времён? Признавайтесь в комментариях — только целиком не пишите, вы же теперь понимаете почему.

Имя обезличено, метаданных ноль. Только здание.

И это оказалось интересно. Потому что здание — само по себе документ, если знать, что читать.

Метаданные: ничего

Стандартный результат пересылки через Telegram. Координаты, камера, дата — всё срезано.

Работаем глазами.

Первое: где вообще искать

Смотрю на общее.

Огромный храм, готика, светлый камень тёсаными блоками. Стрельчатые окна с текучим ажурным переплётом — это фламбойант, поздняя французская готика с рисунком «языков пламени».

Но вокруг — тротуар, современные фонари, молодые уличные деревца, пандус с поручнями у бокового входа. То есть здание стоит не в старом европейском квартале, а в городской застройке, приспособленной под нормы доступности.

Значит, это не Франция. Это неоготика — европейский стиль, воспроизведённый где-то ещё.

Второе: деталь, которой быть не должно

Дальше зацепка, которая всё решила.

Крыша — красная керамическая черепица.

Для готики это нонсенс. Настоящие соборы кроют свинцом, медью или сланцем. Черепица такого оттенка на готическом храме — признак американской постройки конца XIX — начала XX века: заказчик хотел европейский собор, а кровлю ставил по местной технологии и из местного материала.

Светлый известняк плюс красная черепица плюс французская готика — сочетание узкое. Дальше можно искать предметно.

Третье: обрубленная башня

Увеличиваю башню вчетверо. Массивная, квадратная, а наверху вместо шпиля — плоская площадка с прорезным парапетом. Ярус звона утоплен вглубь за угловые контрфорсы.

И самое красноречивое: пустые ниши. Пьедесталы под статуи есть, статуй нет.

Это не стилистическое решение. Так выглядит недостроенное здание: деньги кончились, шпили не поставили, скульптуру не заказали.

По углам парапета при этом сидят мелкие фигуры — гротески.

Материалы по GEOINT собраны у меня в канале.

Складываю запрос

Ищу не «готический собор», а сочетание: французская готика, известняк, красная черепичная кровля, недостроенные башни, США.

Совпадение нашлось с первого захода.

Результат

Cathedral Basilica of the Assumption — собор Успения Пресвятой Богородицы, Ковингтон, штат Кентукки.

Сверяю признак за признаком:

- Камень — бедфордский известняк из Индианы. Совпадает с фактурой на фото.

- Кровля — красная черепица «людовичи». Прямо названа в описаниях собора. Это и была моя зацепка.

- Башни — по проекту предполагались высотой около 16 метров, но **их так и не построили**: работы остановились в 1915 году из-за нехватки средств. Отсюда обрубленный верх и пустые ниши.

- Фасад — сделан по образцу Нотр-Дам-де-Пари, отсюда фламбойант. Собор так и зовут: «американский Нотр-Дам».

- Гротески — 58 копий фигур, созданных Виоле-ле-Дюком для парижского Нотр-Дама. Те самые фигурки на парапете.

- Огромное окно в торце на моём кадре — витраж северного трансепта, 24 на 67 футов, один из крупнейших в мире.

Собор строили с 1894 года, освятили в 1901-м, интерьер сделан по образцу аббатства Сен-Дени.

Что запомнить

Главный урок этого выпуска: искать надо не то, что похоже, а то, что выбивается.

Готических соборов в мире тысячи. А готический собор с красной черепичной крышей и недостроенными башнями — единицы.

Похожее сужает поиск медленно. Аномалия сужает мгновенно. Поэтому при разборе кадра полезно спрашивать себя не «что это такое», а «что здесь не на своём месте».

И да, недострой — отличный маркер. Незавершённое здание уникально ровно тем, чего в нём нет.

Разборы кейсов и материалы по GEOINT — в канале!

Присылайте кадры в комментарии — общественные места, чужие дворы не берём.

Получилось вот это: «Крупный банк вводит комиссию за входящие переводы с 1 сентября». Домен в адресной строке — `novosti-segodnya24.ru`. Внизу тельце новости со ссылкой на «источник, знакомый с ситуацией».

Файл — 80 килобайт, разрешение 900×600. Выглядит как обычный скрин с телефона. На отрисовку ушло меньше секунды, вся возня — минут пять вместе с подбором цветов.

Отдельно отмечу: я не редактировал чужой скриншот. Я нарисовал новый файл с нуля. Дальше это окажется важно.

Шаг 2. Метаданные

Первый совет из любого гайда — посмотреть EXIF.

Смотрю. Результат:

Пусто. Вообще ничего. Ни камеры, ни даты, ни редактора, ни следов обработки.

И вот тут первая ловушка. Обычно пустой EXIF трактуют так: «метаданные вычистили, значит что-то скрывают». А правда скучнее — их там никогда и не было. Файл создан программой, а не камерой. Скрывать было нечего изначально.

Ровно так же выглядят настоящие скриншоты с вашего телефона. Пустой EXIF не улика ни в одну сторону.

Шаг 3. ELA — тот самый «анализ подделок»

Есть популярный метод: пересохранить картинку и посмотреть на разницу в сжатии. Считается, что вставленные куски «светятся» — у них другая история сжатия.

Прогнал. Зона заголовка дала отклонение 0,39, пустой фон — 0,14. Разница есть. Формально — «текст выделяется на фоне, подозрительно».

Но меня это смутило, и я решил проверить метод на контрольном образце. Взял заведомо подлинную картинку — свою же инфографику, которую сам рисовал и точно не редактировал после — и прогнал по той же схеме.

Результат:

Подлинник дал «сигнал подделки» втрое сильнее, чем реальная подделка.

Объяснение простое: ELA реагирует на резкие границы. Любой текст, любая контрастная линия — это резкая граница, и она всегда даёт отклонение при пересжатии. Метод показывает не монтаж, а наличие чётких контуров.

На скриншотах, которые целиком состоят из текста и линий, он бесполезен. Хуже — он даёт красивую картинку с «подсвеченными» зонами, и её очень легко принять за доказательство.

Что в итоге сработало

Ни одна техническая проверка фейк не вскрыла. Поймало его другое, и заняло это секунд двадцать.

Домен. `novosti-segodnya24.ru` — такого издания нет. Проверяется поиском названия и возрастом домена через whois. Скриншот утверждает, что публикация существует по конкретному адресу, — значит, адрес можно открыть.

Отсутствие публикации. Настоящая новость такого масштаба была бы у десятка изданий. Ищется по заголовку в поиске, а не по картинке.

Формулировка. «Источник, знакомый с ситуацией» без имени и должности — способ сказать «мы это не проверяли».

Обратный поиск. Прогон картинки через Яндекс Картинки или Google Lens покажет, всплывала ли она раньше и с какой подписью.

Оговорюсь честно: обратный поиск мой свежесозданный файл не нашёл бы — его в индексе нет, он существует пять минут. Это важный нюанс. Метод отлично работает против старых картинок с новой подписью и бесполезен против только что сделанных. Пустой результат обратного поиска ничего не доказывает.

Главный вывод эксперимента

Я неделю назад сам писал пост про признаки подделки в интерфейсе — шрифты, локализация, порядок времени. Всё это работает, но только когда фейк делали руками поверх настоящего скрина.

Мой фейк такими методами не ловится в принципе. Он не подделка настоящего файла — он новый файл. Искать в нём следы редактирования бессмысленно, потому что редактирования не было.

Отсюда правило, которое я после этого эксперимента ставлю выше всех остальных:

Скриншот доказывает только то, что кто-то нарисовал картинку. Существование публикации проверяется у источника, а не внутри файла.

Если под виральным скрином нет ссылки — это не «пока не нашли ссылку». Это и есть результат проверки.

Разборы схем, инструменты и статьи по кибербезопасности — у меня в канале, там этого добра накопилось прилично!

А теперь вопрос в комментарии: вы когда-нибудь пересылали дальше скриншот, не открыв первоисточник? Я — да, и не раз.