Как деанонимизируют оппозиционеров и наркоторговцев в Telegram

В 2019 году в Гонконге вспыхнули массовые протесты, вызванные законом об экстрадиции, дающим правительству Гонконга право передавать своих граждан по запросам стран, с которыми не подписано соглашение об экстрадиции. Как бы это странно ни звучало, но такого соглашения нет, в частности, с материковым Китаем.

Жители Гонконга увидели в принимаемом законе угрозу автономии региона и нарушение прав граждан, что послужило поводом к серии массовых протестов. Интернет полон эпичных видеороликов и фотографий, запечатлевших описываемые события. Спустя некоторое время протестующие расширили список своих требований, и на начало 2020 года протесты продолжали бушевать.

Для координации действий использовался мессенджер Telegram. Выбор был сделан из-за позиционируемого упора на приватность данных, а также из-за возможности создавать большие чаты и группы. Именно в этих чатах и группах планировались акции и обсуждались противоправные, с точки зрения властей, действия.

Однако нас интересуют не сами протесты, не их причина, а заявления протестующих о возможности властей независимо от настроек конфиденциальности получать данные о мобильном номере, привязанном к аккаунту Telegram. Я уже писал в рамках курса об уязвимости, позволяющей, добавляя все подряд телефонные номера, получать в результате логины пользователей, связанные с ними.

Пока Павел Дуров критиковал безопасность WhatsApp, базы пользователей Telegram, включающие номера и логины, оказались не только у силовиков, но и в даркнете. Пробив мобильного номера по username стал рутинной и даже не очень дорогой задачей, приведя к большим проблемам у пользователей.

Безусловно, не все привязывают личную сим-карту к Telegram. Предположим, диссидент, которого хотят вычислить, купил сим-карту в переходе и никогда не оформлял ее на себя. Как можно установить его личность?

Первый путь – установить, где происходила активация сим-карты и с какого устройства. У каждого мобильного устройства есть IMEI – уникальный идентификатор, и при активации сим-карты он передается оператору. По IMEI можно узнать, какие еще сим-карты вставлялись в устройство. Немногие, даже самые рьяные, поборники анонимности сразу после активации отправляют телефон в мусорное ведро.

Даже если жертва вставляла сим-карту не у себя дома, будет проверено, какие мобильные устройства были поблизости в момент активации. Если в это время в кармане лежал включенный личный мобильный телефон или он был выключен в том же месте незадолго до активации анонимной сим-карты, это провал.

Второй путь – биллинг, а именно изучить, каким образом пополнялась купленная сим-карта, какие СМС приходили на нее. Возможно, она пополнялась через уличный терминал, размещенный под камерами, и в этот момент у пополнявшего был включен личный мобильный телефон, либо она пополнялась с личного электронного кошелька, что еще лучше для установления личности.

Если речь идет об арендуемом виртуальном номере, то предоставляющие их сервисы, вопреки заблуждениям, весьма охотно выдают всю информацию. Последние годы на них оказывается серьезное давление, вплоть до угроз выведения из строя инфраструктуры. Мне доводилось общаться с одним из владельцев. В стоимость номера он не закладывает работу с жалобами, иначе цена возросла бы в десятки раз, а потому сервис выдает все имеющиеся данные по запросу правоохранительных органов любой страны.

Они зарабатывают, предлагая сэкономить на международных звонках, а аренда номера для разового приема СМС – это, можно сказать, работа в убыток. Хотя, если у вас есть надежный сервис, куда вы зайдете через Tor, укажете одноразовую почту и где рассчитаетесь биткоинами, ‒ это хороший вариант.

Но вернемся к протестам и Telegram. Когда тема деанонимизации пользователей получила общественный резонанс, руководство Telegram добавило новую настройку конфиденциальности «Кто может найти меня по номеру», где одним из пунктов был предложен вариант «Никто».

Опция «Никто», или Один большой обман

Руководство Telegram ответило новой возможностью указать «Никто» в опции «Кто видит мой номер телефона». Гениальное решение, способное решить все проблемы пробива мобильных номеров, но не тут-то было...

Опция «Никто» в ее первой реализации – это обман пользователей со стороны Telegram. Она по-прежнему позволяла получать данные об аккаунте Telegram всем, у кого привязанный к этому аккаунту номер телефона добавлен в список контактов. Да, вы все правильно прочитали: это была просто пыль в глаза. Доказательства можете изучить по этой ссылке, я бы не стал обманывать вас.

Многих в тот момент шокировала эта новость. Указанный в Telegram номер по-прежнему могли получить без проблем и спецслужбы, и злоумышленники.

Чуть позже Telegram ужесточил настройки, позволив находить по номеру телефона только тех, кто добавлен на целевом устройстве в список контактов. У меня есть достаточно достоверная информация, что это серьезно осложнило работу пробива актуального номера. Подавляющее количество сервисов, предлагавших такого рода услуги, работают с базами, собранными в начале осени 2019 года.

Что точно не работает

Хочу обратить ваше внимание: недостаточно сменить номер мобильного и username или даже совсем его не использовать. Каждый аккаунт Telegram имеет постоянный User ID, сменить который пользователь не имеет возможности. Многие базы данных уже содержат User ID, что позволяет получить историю мобильных номеров, привязывавшихся к аккаунту ранее, и использованных ранее username.

Потому у спецслужб всегда будет возможность получить данные о прежних номерах телефона, привязанных к конкретному User ID, и проверить каждый из них. User ID меняется только при полной смене аккаунта. Рекомендую удалить текущий аккаунт и зарегистрировать новый, если вам важна максимальная анонимность.

Вот еще один важный момент: некоторые пользователи не сразу после регистрации аккаунта активируют настройки приватности. Уже спустя час после регистрации аккаунта ваши данные могут оказаться в подобных базах и дальнейшие меры будут малоэффективны. Потому настроить безопасность спустя время после регистрации лучше, чем не настроить совсем, но недостаточно, если вы серьезно заботитесь о своей анонимности.

Дальше интереснее: на сингапурских форумах активно обсуждается тема засланного казачка в команду поддержки Telegram, который может по запросу доставать правительству нужные данные. К сожалению, даже при отсутствии весомых доказательств исключать такое нельзя. И в этом случае не поможет даже смена аккаунта, необходимо менять телефон вместе с аккаунтом.

Что стоит сделать

Первым делом запретите Telegram доступ к контактам, это можно сделать в настройках вашего устройства. Например, в iOS это выглядит так.

В настройках управления данными удалите импортированные контакты и отключите синхронизацию контактов. Вы, наверное, слышали этот совет миллион раз.

В настройках конфиденциальности > номер телефона запретите кому-либо видеть ваш номер телефона, а искать по номеру телефона разрешите только тем, кто добавлен у вас в контакты.

Я рекомендую также отказаться от использования username и запретить пересылать ваши сообщения. Тут главное – не впадать в крайность и воспользоваться данным советом, только если описываемые опции вам не нужны.

Ну а если базовых рекомендаций вам мало, покупайте новое устройство, регистрируйте новый аккаунт в магазине приложений Google/Apple. Затем ищите сервис аренды виртуальных номеров, где будет возможно оплатить при помощи биткоинов и зарегистрироваться с Tor, арендуйте там виртуальный номер, на который зарегистрируйте новый аккаунт Telegram.