Телеграм‑бот «Глаз бога» и «Магнит». Как милиционеры пробивают телефонные номера, почты и адреса беларусов
Чтобы узнать, что у вас есть «безопасная» почта, вычислить адрес, куда вам привозят доставку еды (на квартиру, о которой никто не знает?) или в каких городах вы были, когда оплачивали сервисы в интернете — можно не отбирать ваш телефон или карту. Милиционеры пользуются ботами, которые уже собрали всю эту информацию — например, «Глаз бога». «Медиазона» вместе с «Киберпартизанами» рассказывает, как устроен бот.
Что это за телеграм-бот «Глаз бога»? Для чего предназначен?
«Глаз бога» — российский бот, который пробивает информацию по фото, номеру телефона, адресу, аккаунтам во «Вконтакте», «Одноклассниках», в телеграме и другим параметрам.
Бот собирает информацию по открытым источникам (открытые страницы в соцсетях, аккаунты в мессенджерах). В нем содержится часть того, что человек оставил о себе за годы в интернете. Плюс в нем есть информация из распространенных утечек с крупных сайтов: «Яндекс доставка», «Мамба.ру», «Вконтакте», last.fm и т.д. Например, если вы когда-нибудь заказывали еду и оставляли свой адрес в «Яндекс доставке», бот может знать этот адрес. Он свяжет его с номером телефона, с которого вы обращались в службу доставки.
Какую информацию может вытягивать бот «Глаз бога»?
Всё то, что вы написали о себе в социальных сетях. Например, в профиле во «ВКонтакте» вы оставили ссылки на свои профили в фэйсбуке и инстаграме. Там же был указан и номер телефона, который использовался для регистрации в телеграме и не был скрыт. В таком случае по ID аккаунта можно будет узнать ваши профили во «ВКонтакте», фэйсбуке и инстаграме.
Кроме того, «Глаз бога» собирает информацию о группах в телеграм, в которых засветился пользователь, например, если он написал комментарий под новостью или просто вступил в чат. «Глаз бога» не выдает информацию о том, на какие каналы подписан пользователь.
«Киберпартизаны» не рекомендуют пробивать себя в этом боте. Если вы все-таки решите сделать это, для безопасности вам лучше воспользоваться анонимным аккаунтом на виртуальном номере. Помните, что любой бот может собрать информацию о вас — как минимум, получить ID вашего телеграм-аккаунта.
В случае с ботом «Глаз бога», при первом запуске бота вы передаете ему свой номер, который, по всей видимости, вносится в базу бота. Телефонный номер будет виден в поиске, если пользователь не оплатил подписку на бот. Кроме того, если вы оплатите бот, он сохранит указанную вами электронную почту. Также бот собирает информацию о примерном местоположении пользователей, которые запускают бот.
Разработчик бота «Глаз бога» не скрывает, что дает бесплатный доступ к боту российским силовикам. Не исключено, что с ним сотрудничают и беларуские.
Силовики еще используют бот «Магнит». Что это такое?
Представительница «Киберпартизан» Юлиана Шеметовец рассказывала, что бот «Магнит» выполняет одну функцию — определение ID пользователя. ID — уникальный код, который присваивается каждому новому пользователю телеграма. Его невозможно изменить — только завести новый аккаунт, у которого будет другой ID.
— Это не секретная информация. ID можно насти самостоятельно. Этот уникальный ID потом используется, чтобы проверить, участвовал ли человек в каких-то протестных чатах или группах, — говорила Шеметовец.
По мнению специалистов, ничего уникального в боте силовиков «Магнит» нет.
— Через бот «Магнит» можно получить никнейм и ID пользователя. Эти сведения можно было получить и без бота, но бот упрощает сбор информации. Возможно также, что потом бот может начать собирать и другие данные, — объясняют специалисты из CyberBeaver.
То есть бот «Магнит» собирает ту же информацию, что и остальные боты. Единственное, что запускают бот на вашем телефоне силовики, а не ждут, когда вы перейдете, к примеру, по фейковому боту плана «Перамога», который сохранит ваш уникальный ID.
Таким образом, основная задача «Магнита» — получать ID пользователя. Дальше этот ID используется для поиска по разным базам. Например, по базам пользователей закрытых чатов или для поиска через бот «Глаз бога». То есть задача Магнита предоставить силовикам ID пользователя, а «Глаза бога» — найти информацию о человеке по этому ID. Поэтому, вероятно, эти боты используются в паре.
Как только вы запустили любой бот, он получил данные о вас. Удалить их нельзя
После нажатия кнопки Start любой бот может сразу же получить доступ к ID пользователя, его имени и фамилии, никнейму, разделу профиля «о себе» и языку, установленному в приложении.
Бот автоматически получит доступ к фото профиля пользователя, если в настройках конфиденциальности его разрешено видеть всем. Бот не имеет автоматического доступа к номеру телефона пользователя, но может его запросить. Если тот разрешит отправку, бот получит номер телефона.
Ко всем этим данным бот получает доступ сразу после того, как пользователь запустил его. Разработчик бота может решить, будет ли бот сохранять данные. Если бот сохранит ID пользователя, он сможет получить доступ к этим данным позже, даже если пользователь заблокирует его. Правда, после блокировки, скорее всего, бот не сможет узнать актуальные данные. Например, если после блокировки пользователь сменит свой никнейм, то бот будет видеть его старую версию.
Любые сообщения, отправленные в бот, могут быть им сохранены. Даже если пользователь их удалит.
Как узнать номер телефона в Телеграмме по нику
Как узнать номер телефона в Телеграмме по нику, если вы хотите связаться с пользователем не через мессенджер, а по сотовому телефону? Мессенджер однако устроен так, чтобы открывать эту инфу только тем собеседникам, кто и так знает либо с согласия пользователя. Однако эти правила можно попытаться обойти.
Как посмотреть номер телефона в Телеграмме
Чтобы узнать заветную комбинацию цифр потребуется:
- Открыть чат с пользователем, при этом беседу начинать не обязательно.
- Тапнуть по нику в верхней части чата.
- Посмотреть в открывшемся окне, однако нужной информации может не оказаться в окне.
Информацию контакте могут увидеть другие люди, если:
- Ваша телефонная книга содержит контактные данные пользователя.
- В случае, когда вы в чате на телефоне отправляете специальную команду.
Телеграмм: как узнать номер, если его нет в меню контакта
- Попросить эту информацию у собеседника в чате.
- В чате с собеседником нажать «Отправить свой телефон» и дождаться, когда он в ответ пришлет любое сообщение. С этого момента в приложении станет видно его телефон, если только собеседник не занесет пользователя в черный список.
Есть еще один способ – брутфорс. На форумах можно найти предложения специально написанных для брутфорса платных программ – парсеров, однако отзывов о продукте пока еще слишком мало. Пользователь, задавшись целью и набравшись терпением, может сделать это вручную:
- Неплохо, если можно узнать часть цифр – соцсети и интернет в помощь. Например, можно запустить восстановление пароля (электронная почта нередко совпадает с коротким адресом для соцсети) и сократить себе поиск на две последние цифры. Главное – не доводить процедуру до конца, чтобы человек не узнал о манипуляциях с его аккаунтом.
- Заполнить телефонную книгу, перебирая цифры насколько хватает сил или возможностей устройства.
- Зайти в приложение и посмотреть, нет ли среди новых номеров тех, кто пользуется Телеграмм, и не появилась ли в меню пользователя заветная комбинация цифр.
- Процедуру повторить.
В мессенджере есть лимиты:
- Разовый брутфорс – 5000;
- Общее количество контактов – 10000.
Способ через чат и знакомую Девушку/Парня
- Если есть ник, то добавляем пользователя в чат или приглашаем в чат.
- Просим аккуратно девушку или парня пофлиртовать и выпросить.
Через Telegram можно узнать реальный адрес человека. И для этого не нужно быть хакером
Telegram позволяет за несколько минут вычислить точные координаты своих пользователей, использующих встроенный сервис «Люди рядом». Алгоритм обнаружения прост, что дает возможность следить за нужным человеком даже тем, у кого нет никаких навыков хакинга. Аналогичная брешь была обнаружена в японском мессенджере Line несколько лет назад, но разработчики очень оперативно устранили ее.
Слежка при помощи Telegram
В мессенджере Павла Дурова Telegram обнаружена уязвимость, позволяющая определять точное местонахождение любого пользователя. Об этом в начале января 2021 г. сообщил в своем блоге пользователь Ахмед Хасан (Ahmed Hassan), обнаруживший, что можно вычислить очень точные координаты тех, кто пользуется Telegram.
Уязвимость скрывается в сервисе «Люди рядом», встроенном в мессенджер. С его помощью можно находить пользователей Telegram, находящихся поблизости – их место дислокации определяется по GPS-координатам и отслеживается в реальном времени. Сам мессенджер не раскрывает координаты пользователей, а лишь указывает точное расстояние до них, но этого уже достаточно для вычисления их местоположения и даже адреса проживания, если они подключились к Telegram из дома.
Сервис «Люди рядом» был добавлен в Telegram в июне 2019 г. и первоначально носил название «Люди поблизости». В феврале 2020 г. он получил обновление до версии 2.0.
Как работает уязвимость
Для вычисления координат того или иного человека в Telegram, по словам Ахмеда Хасана, нужно использовать метод триангуляции. На первом этапе нужно три раза изменить собственное местоположение, фиксируя при этом расстояние до нужного пользователя и свои же GPS-координаты.
Местоположение пользователя установлено
Затем нужно на карте местности начертить три окружности, центром которых будут собственные координаты, а радиусом – расстояние до объекта слежки, указанное в Telegram. Этих простых действий достаточно, чтобы определить, где он находится – он будет там, где все три окружности пересекутся на карте.
Важный момент: отследить таким способом можно тех людей, кто пользуется в Telegram функцией «Люди рядом». Она требует включенного GPS-модуля, и объектом слежки может оказаться каждый. Для предотвращения всех попыток отследить ваше место дислокации третьими лицами при помощи данной уязвимости нужно прекратить пользоваться сервисом «Люди рядом» и отозвать у Telegram разрешение на доступ к геолокации.
Следить могут за каждым
Отследить местоположение пользователя Telegram можно вне зависимости от того, в какой стране или в каком городе он проживает. Например, спустя несколько дней после публикации статьи Ахмеда Хасана и его тестов, проведенных в Нью-Йорке (США), исследователь Андрей Копелян опубликовал на своем сайте Debug Pro результат использования уязвимости мессенджера в Нур-Султане (Казахстан).
Тест уязвимости в Нур-Султане
Он скачал из Google Play одно из приложений-трекеров, использующих GPS, выбрал в Telegram совершенно случайного пользователя, применил алгоритм с тремя окружностями, и через несколько минут у него на руках был точный адрес этого человека, вплоть до дома.
По словам Андрея Копеляна, Telegram позволяет полностью идентифицировать пользователя при использовании дополнительной информации. Так, человек, которого он выбрал для проверки метода слежки, оставил номер своего телефона в открытом доступе, а также опубликовал свою реальную фотографию. Исследователь отметил, что при использовании поисковых систем, того же Google, можно будет найти дополнительные сведения об этом человеке, например, его страницы в соцсетях.
Дурной пример заразителен
Возможность отследить человека через функцию «Люди рядом» (в английской версии – People Nearby), впервые появилась вовсе не в Telegram – изначально такой «сервис» предоставлял японский мессенджер Line. Аналогичную уязвимость одноименной функции в нем обнаружил все тот же Ахмед Хасан.
Сервисом «Люди рядом» пользуются во всем мире
Хасан связался с разработчиками Line и указал им на обнаруженную проблему. Те оперативно отреагировали на замечание и закрыли брешь в приложении – оно по-прежнему позволяет общаться с людьми поблизости, но теперь к их местоположению прибавляется произвольно взятое число, чтобы отследить их было невозможно.
Создатели Line отблагодарили Ахмеда Хасана премией в размере $1000 и добавили его имя в список тех, кто помог сделать мессенджер лучше. На момент публикации материала не было известно, связались ли с ним разработчики Telegram.
«Дыры» в Telegram
Telegram, считающийся одним из самых безопасных мессенджеров, на самом деле содержит множество уязвимостей. Например, в августе 2019 г. в нем была обнаружена лазейка, позволявщая властям различных стран вычислять номера телефонов тех, кто участвует в тех или иных акциях протеста и числится в соответствующих группах в мессенджере. Проблему обнаружили эксперты из Гонконга, где на тот момент как раз проходили многотысячные протесты.
В августе 2020 г. выяснилось, что Telegram допускал создание поддельного профиля, маскирующегося под «Избранное», в которое пользователи часто помещают важную информацию, включая фотографии и пароли. Хакеры могли написать пользователю с такого поддельного аккаунта, после чего он начал бы хранить эти сведения в поддельном «Избранном», открывая тем самым доступ к ним третьим лицам. Разработчики оперативно устранили эту брешь.
В сентябре 2020 г. CNews рассказывал, что Telegram «сливал» номера телефонов своих пользователей, притом даже и тех, кто в нем не зарегистрирован. Это давало возможность хакерам и просто третьим лицам вытащить всю информацию из их профилей и в дальнейшем использовать ее для создания поддельных аккаунтов с целью мошенничества. Здесь стоит отметить, что аналогичная проблема была обнаружена также в мессенджерах Signal и WhatsApp, известных своей развитой системой безопасности.
Telegram сам добавляет чужие контакты? Это норма
Пользуюсь Telegram не первый год. Всё хорошо, но вот какое-то время назад начала смущать одна странная деталь: время от времени Telegram самостоятельно добавлял в мои контакты неизвестных людей, сопровождая это уведомлением, что они зарегистрировались в Telegram. Вообще Telegram не должен показывать номера телефонов людей, которых нет в вашей телефонной книге, но для таких самопроизвольно появляющихся контактов я видел и номер телефона. Всё выглядело так, будто это контакты из моей телефонной книги. Но их там не было. Тогда я решил, что Telegram автоматически добавляет в мои контакты тех людей, которые добавили мой номер телефона в свою телефонную книгу. Поскольку мой номер телефона несколько лет назад был указан на одном небольшом сайте, я решил, что кто-то из немногочисленных посетителей зачем-то добавил меня в свои телефонные книги, и это какое-то время выглядело правдоподобно.
Но по мере роста популярности Telegram таких непонятных контактов становилось всё больше, в итоге их стало даже больше чем людей, которых я знаю. Я стал сомневаться, что все эти люди могли добавить мой номер в свои телефонные книги, так ни разу и не позвонив. Ещё больше смущали имена пользователей — было похоже, что используется не то имя, которое пользователь указал сам себе, а имя, под каким этот пользователь мог быть записан в телефонной книге у постороннего человека, потому что там присутствовали специфичные пометки и префиксы.
Я связался с одним из таких контактов, и мои опасения оправдались:
Я знал, что когда-то в UNET работал один мой приятель. Но связать его с этими странными контактами получилось не сразу. Потребовалось приложить некоторые усилия, чтобы вспомнить один любопытный момент из прошлого. Где-то год назад мой телефон внезапно перестал видеть сеть оператора связи. Всё остальное работало отлично, поэтому я предположил, что поломка была не в телефоне, а вышла из строя сама SIM-карта, которой было уже больше 10 лет. Как раз в гости заглянул мой приятель, и мы решили проверить работоспособность телефона с использованием его SIM-карты. Телефон включился, нашёл сеть — стало очевидно, что нужно запросить у оператора новую SIM-карту. Ещё минута — и SIM-карта вернулась в телефон своего владельца. На следующий день у меня уже была новая SIM-карта, и я благополучно забыл о том, что это маленькое неудобство имело место быть.
И вот, год спустя выясняется, что на той SIM-карте были контакты, и Telegram умудрился неявно сохранить их на своём сервере в неком скрытом списке, который он использует для автоматического добавления контактов, и который по каким-то причинам никогда не очищается. В этот список попадают все контакты, до которых Telegram смог дотянуться хотя бы один раз в прошлом. Речь идёт не только о контактах в телефонной книге. С равным успехом он запоминает и тех, кто когда-то был добавлен в вашем Skype (и видимо у кого там был указан номер телефона), и даже если вы уже давно удалили этого пользователя в Skype — Telegram всё равно хранит эту информацию у себя, и автоматически добавит данного пользователя в ваши контакты, когда тот присоединится к Telegram.
Можно было бы подумать, что синхронизация контактов Google могла начудить, но нет. Google ведёт свой список контактов и самовольно не «ворует» их из других источников. Но на всякий случай я проверил, не скопировал ли Google контакты с SIM-карты моего приятеля к себе — нет, там только добавленные лично мной контакты.
Небольшой опрос показал, что с аналогичной проблемой столкнулось и несколько знакомых. Самый частый сценарий — кто-то позволил на своём смартфоне своему товарищу авторизоваться под его учётной записью Google для каких-то целей. После чего, конечно же, эта учётная запись удалялась из смартфона — но Telegram запоминал чужие контакты навсегда, и начинал раздражать поделившегося разок своим смартфоном автоматическим добавлением неизвестных людей в контакты.
Среди моих знакомых есть такие фанаты Telegram, которые защищают любое принятое разработчиками решение, и они в том числе стали защищать подобное неожиданное поведение этого мессенжера. Однако, я с этим в корне не согласен. Этот усердный сбор контактов может привести к весьма неприятным последствиям. Например, может быть вы не хотели бы, чтобы кто-то узнал, что у вас в телефонной книге есть какой-то определённый номер. Или какому-то номеру вы можете указать какое-нибудь экстравагантное имя, которое совсем не для посторонних глаз. На мой взгляд, этот механизм должен быть переработан таким образом, чтобы оповещать и добавлять автоматически в контакты Telegram только тех людей, которые есть в вашей телефонной книге именно на данный момент, без всяких теневых и вечных списков.
Помимо Telegram у меня установлен и Viber, и он тоже оповещает о том, что кто-то из телефонной книги присоединился. Но при этом он не «вспоминает» контакты, которые случайно засветились на этом телефоне год назад. Этот механизм должен работать подобным образом и в Telegram.
TL;DR
Telegram сканирует все ваши контакты на смартфоне для того, чтобы автоматически найти соответствующие им контакты Telegram, и в этом нет ничего неожиданного. Нежелательное поведение заключается в том, что он хранит некий скрытый список всех засветившихся на ваших устройствах номеров телефонов и связанных с ними имён, и никогда не очищает его. Этот список используется для автоматического добавления новоприбывших пользователей Telegram в ваши контакты. Если вы единожды использовали SIM-карту друга, на которой были сохранены какие-то номера телефонов, или же позволили другу временно добавить его учётную запись Google на ваш смартфон — Telegram навсегда запомнит списки контактов ваших друзей и даже через год будет автоматически добавлять новоприбывших незнакомых вам людей.
Предлагаемое решение — использовать механизм автодобавления контактов Telegram исключительно для актуальных номеров телефонов, которые доступны на данный момент на устройствах пользователя с активными сессиями Telegram.
Проголосуйте за решение этой проблемы!
Я не нашёл отдельного багтрекера по Telegram в целом, поэтому я создал тикет в багтрекере десктопной версии Telegram, правда, его закрыли, так как проблема якобы не в десктопном клиенте. Но вы можете напомнить об этой проблеме Павлу Дурову и команде Telegram через Twitter. Также разработчики десктопного клиента рекомендуют сообщать о проблемах через функцию Settings → Support → Ask a question в мобильном приложении. Вашу жалобу прочитает волонтёр, который сможет (если сочтёт её достаточно значимой) отправить эту информацию разработчикам Telegram. Чем больше людей обратит внимание проблему и выскажет недовольство — тем быстрее она будет решена.
Ниже опрос. Рекомендую заглянуть в ваши контакты Telegram (Menu → Contacts, а не список чатов) и проверить, нет ли там неизвестных вам людей. Вполне возможно, что в прошлом вы по неосторожности слили чьи-то чужие контакты в ваш Telegram, и даже не обратили на это внимание. Если вы не пользуетесь Telegram — просто нажмите на кнопку «Воздержаться».