У Telegram існує давня проблема, яка дозволяє за певних обставин визначити точне розташування користувача. Розробники Telegram знають про неї, але вважають це не багом чи вразливістю, а фічею. На GitHub наводиться докладний опис проблеми, викладено програми для її експлуатації, а також розміщено відеоролик, в якому наочно показано, як за допомогою досить простих маніпуляцій можна побачити положення конкретних людей на карті.
Вразливість існує вже близько року, як і інструменти її експлуатації. Необхідні умови:
- Зловмиснику відомо, в якому місті проживає жертва, яку слід вистежити
- У жертви включено функцію People Nearby («Люди поряд»), що дозволяє бачити, хто поблизу використовує Telegram
- Жертва дозволила додати себе до списку People Nearby
Якщо ці умови дотримуються, зловмисник може за допомогою підміни GPS-координат переміститися в місто, де живе відстежуваний, і за допомогою спеціального скрипта змінити свої координати кілька разів, щоб методом тріангуляції визначити приблизне положення жертви.
Проблема ускладнюється тим, що Telegram показує людину з точністю до метра, тому тріангуляція дозволяє дуже точно визначити, де вона знаходиться. Координати в системі GPS визначається досить точно, хоч і допускається похибка 50 метрів. Якби Telegram округляв відстань до користувачів до кілометра, точно визначити місце розташування жертви було б неможливо.
Функції, схожі з People Nearby в Telegram, були Tinder і Line, але ці послуги відмовилися від них, коли ІБ-дослідники показали, як і їх допомогою можна обчислити, де знаходиться конкретна людина. People Nearby використовується в Telegram як неофіційний сервіс знайомств, і месенджер не збирається позбавлятися цієї фічі або вносити зміни в її роботу.
Автор стверджує, що ця вразливість активно експлуатується, але не для стеження людей, а шахраями. Вони запускають ботів з красивими дівчатами на аватарах, а потім розводять тих, хто намагається познайомитися з ними. Жертви бачать, ніби дівчина перебуває поряд, пропонують зустрітися, а робот виманює у них гроші.