В Telegram нашли способ узнать геолокацию пользователя

Новости МирТесен

Функция «Люди рядом», реализованная в Telegram, позволяет приблизительно определить местоположение пользователя с точностью до нескольких десятков метров. Такая возможность предоставляет злоумышленникам потенциальные возможности для неправомерных действий, поэтому крайне важно контролировать использование геолокации в мессенджере для обеспечения собственной безопасности.

Сообщение о найденной уязвимости опубликовалв личном блоге энтузиаст Ахмед Хасан сообщил о том, что эта функция была добавлена Ahmed Hassan, имя может быть вымышленным. Ранее он уже информировал разработчиков мессенджера о подобной проблеме Line. Ему была выплачена премия в размере тысячи долларов, после чего к отображаемому расстоянию между участниками начали добавляться произвольные числа.

Использование этих функций для неправомерных действий сводится к простой триангуляции, которая осуществляется следующим образом. Сначала злоумышленник определяет расстояние до целевого пользователя, отображаемое в приложении. Затем он меняет свое местоположение еще дважды, фиксируя при этом изменения в показанном расстоянии. Для выявления примерного местоположения цели необходимо нанести на карту три круга: центрами этих кругов будут координаты злоумышленника, а радиусами – измеренные расстояния. Целевой пользователь окажется в точке пересечения этих окружностей.

Изменить свое местоположение можно и без необходимости находиться в городе с телефоном в руках. Существует ряд несложных методов, позволяющих изменить данные о геолокации. Необходимые приложения можно найти, например, в Google Play. В демонстрационных целях Хасан выбрал случайную точку на карте мира и определил реальное местонахождение одного из пользователей. По словам Ахмеда, беспечные пользователи подвергаются риску стать жертвами мошеннических действий, преследований и киберпреступлений. Кроме того, в списке «местных» чатов он обнаружил сообщества, которые по масштабу и уровню скрытности превосходят известные площадки теневой сети Silkroad — «дилетантский проект».

Функцию «Люди рядом» (People Nearby) добавили в Telegramпримерно полтора года назад. Она обеспечивает возможность общения с другими пользователями, находящимися в пределах нескольких километров. Кроме того, предусмотрена возможность создания или подключения к групповому чату, привязанному к конкретной географической точке. Для того чтобы его могли найти в этом разделе, пользователь должен активировать опцию «Показывать меня здесь». При включении этой функции приложение информирует пользователя о потенциальном риске привлечения нежелательного внимания, поскольку информация из профиля, включая фотографии, станет доступна окружающим, хотя номер телефона останется конфиденциальным.

В процессе подготовки данного материала автор проверил работоспособность People Nearby. В ходе проверки были установлены дополнительные сведения, которые не были упомянуты Ахмедом. Сразу после открытия меню «Люди рядом» никнейм пользователя отображается в списке, и любой может ему написать. Это происходит даже при условии, что функция «Показывать меня здесь» не активирована. После закрытия раздела имя исчезает из списка через несколько секунд. Постоянное отображение имени в списке невозможно, если в настройках профиля доступ к фотографиям ограничен пользователями из списка контактов. Отключение функции «Показывать меня здесь» возможно в любое время, однако важно не забывать об этом.

Иными словами, описанный Хасаном метод не является полноценной уязвимостью в мессенджере. Когда он сообщил о нем в техническую поддержку Telegram, на что энтузиасту предоставили ответ. Таким образом, пользователям необходимо самостоятельно контролировать активируемые ими функции приложения. Тем не менее, даже в небольшом российском городе с населением 400 тысяч человек список «Люди рядом» включает более сотни имен. Анализ косвенных данных (например, времени последнего посещения) позволяет предположить, что многие из этих пользователей один раз воспользовались данной функцией и забыли ее отключить.