29 апреля 2016г., ночью, неизвестные получили доступ к аккаунту Олега Козловского и Георгия Албурова. Злоумышленник с Unix-консоли по IP-адресу 162.247.72.27 (это один из серверов анонимайзера Tor) отправил в Telegram запрос на авторизацию нового устройства с номером телефона Олега и в течении получаса получил доступ к его аккаунту. Через несколько минут аналогичным образом взламывается аккаунт Георгия. По словам Олега, нарушители, получившие доступ к учетной записи Telegram, воспользовались продублированной сим-картой. Они получили SMS с кодом доступа к мессенджеру, в то время как самому владельцу аккаунта такое сообщение доставлено не было (https://xenomorph.ru/soft/messengers/14028-telegram-auth.htm...).

Взлом Telegram через SS7 эксплойт

Как и в любом другом мессенджере, аккаунт пользователя связан с телефонным номером, что делает возможным использовать SS7 уязвимость сотовых сетей для взлома Telegram. Таким образом, приложение становится удалённым трекером.

Наиболее универсальный и безопасный метод удалённого взлома Телеграмм – перехват сервисного SMS сообщения, содержащего код верификации. Это необходимо для переноса аккаунта жертвы на новое устройство (виртуальный эмулятор, созданный разработчиками). Для этих целей используется одна из распространённых SS7 уязвимостей сотовых сетей. Максимально автоматизированный алгоритм работы сервиса исключает даже минимальное участие со стороны пользователей. Всё, что необходимо для запуска трекера – указать номер телефона жертвы или имя пользователя. Злоумышленник с помощью номера телефона узнает IMSI (международный идентификатор мобильного абонента), перерегистрирует абонента на свой терминал, получает профиль абонента, инициирует на любом девайсе процедуру подключения к Telegram под аккаунтом жертвы (номер телефона) — и получает заветную SMS с кодом (https://habr.com/ru/company/pt/blog/283052/).

Взлом Telegram может быть произведён с любого современного устройства (телефона, планшета или компьютера). Основные требования к устройству – наличие одной из актуальных версий браузеров (Google Chrome, Safari, Mozilla Firefox, Internet Explorer, Opera) и стабильного подключения к сети. Время, необходимое на взлом Telegram, может варьироваться, в зависимости от степени загруженности сервера. Как правило, полный цикл работы (с момента запуска, до получения архива), занимает не более 20 минут. Пользователь не получит никаких уведомлений во время перехвата сообщения с кодом верификации. Трекер функционирует в фоновом режиме и никак не влияет на нормальную работу устройства, не может быть обнаружен антивирусом или вредоносным сканером. Лишние процессы в диспетчере задач отсутствуют. Заряд батареи расходуется в обычном режиме. Файлы жертвы сформированы в единый архив и отображают: список входящих и исходящих текстовых сообщений (включая секретный чат), координаты текущего GPS местоположения, историю аудио и видео звонков, полный список сохранённых контактов, полученные и отправленные файлы, а также контент, опубликованный внутри закрытых каналов и групп.

Так же есть статья с пошаговым взломом Telegram с использованием всё того же SS7 (https://www.appmsr.net/index.php/vzlom-telegram).

Анонимность и технические характеристики

Об анонимности в мессенджере говорить не приходиться. Узнать номер телефона собеседника проще простого. Все контакты из телефонной книги автоматически добавляются в список, любое их действие отображается на экране. Даже время посещения полностью не скроешь ― останутся небольшие пометки.

Написан Telegram на Java для версий на Android, ПК версия — C++. Ботов для Телеграмма пишут на HTML, JavaScript, Python, PHP.

Сервера клиента находятся в пяти разных точках мира. Именно на них хранится вся переписка, именно туда поступают отправляемые сообщения (https://nashkomp.ru/bezopasnost-anonimnost-zashhita-vzlom-te...).

Сервера Telegram уязвимы к DDoS-атакам

В начале июля 2015 года сервера мессенджера подверглись серии масштабных DDoS-атак, вызвавших кратковременный сбой в работе сервиса по всему миру. Через Twitter разработчики Telegram попросили помощи в нейтрализации атаки у телекоммуникационных компаний PCCW Global и Cable & Wireless Comms.

Как заявил сам Павел Дуров, атака могла быть организована конкурентами мессенджера. Исходя из того, что атака на Telegram началась с азиатского кластера, версия Дурова с нападками со стороны конкурентов кажется весьма правдоподобной (https://www.gazeta.ru/tech/2015/07/10/7633005/telegram_under...).

Telegram передает данные ФСБ

Telegram согласился передавать личные данные пользователей по запросу спецслужб — об этом говорится в обновленной политике конфиденциальности мессенджера. При этом блокировка платформы в России продолжается, а Роскомнадзор советует руководству компании вступить во взаимодействие с ФСБ.

«Если Telegram получит решение суда, которое подтверждает, что вас подозревают в терроризме, мы можем раскрыть ваш IP-адрес и телефонный номер соответствующим ведомствам», — говорится в подпункте 8.3, озаглавленном как «Правоохранительные органы».

«В политике конфиденциальности мы оставили за собой право передавать IP-адрес и номер телефона террористов соответствующим службам по решению суда. Такая мера должна сделать Telegram менее притягательной площадкой для тех, кто занимается здесь рассылкой террористической пропаганды», — заявил Дуров (https://www.gazeta.ru/tech/2018/08/28/11928475/telegram_step...).

Альтернатива Telegram

Threema (https://threema.ch/en) – это популярный в мире безопасный «мессенджер», который защищает ваши данные от хакеров, алчных корпораций и правительственных служб. Приложение Threema можно использовать анонимно, оно позволяет совершать полностью зашифрованные голосовые вызовы и предлагает все функции, ожидаемые от самого современного мессенджера. Веб-версия Threema также позволяет использовать Threema на компьютере.

Мессенджер Signal (https://signal.org/ru) разработан американским стартапом Open Whisper Systems, где, кроме двоих основателей, работает всего несколько человек. Для шифрования сообщений используется созданный специально для него криптографический протокол — Signal Protocol. Он применяется для сквозного (end-to-end) шифрования звонков (голосовых и видео), а также обычных сообщений. Протокол Signal с тех пор стали использовать и другие мессенджеры: WhatsApp, Facebook Messenger, Google Allo.

В Signal шифрование включено по умолчанию. Хоть Signal и централизованный, но код открыт и распространяется по свободной лицензии. У Signal есть поддержка групповых E2EE-чатов, защита социального графа, поддерживаются исчезающие по таймеру сообщения (https://xakep.ru/2018/07/03/messengers/).

Qqlite (http://mesqq.info:8765/qqlite.apk) – особенностью данного мессенджера является использование самых современных криптостойких алгоритмов шифрования.

При регистрации не требуется указывать номер телефона или e-mail, что делает данный мессенджер полностью анонимным.

Данные переписки хранятся в течение 10 дней только на сервере, после чего удаляются. Такая система работы позволяет избежать утечки информации, в случае доступа к устройству со стороны третьих лиц.

Имеющийся функционал позволяет передавать текстовые и голосовые сообщения, изображения. К особенностям можно отнести функцию отложенной отправки сообщений, которая заключается в передаче информации пользователю с учетной записью («ником»), незарегистрированной в приложении. После добавления абонента в программу сообщения будут доставлены автоматически.