Раскрытие номера телефона и геолокации через уязвимость в Телеграме

Последнее время в Telegram все чаще обсуждаются темы пробива людей и утечек персональных данных. Мне стало интересно, а насколько сама экосистема Telegram устойчива к подобным утечкам. Под катом история о том, как я нашел баг в Telegram. Баг позволяет ввести в заблуждение пользователя, и подтолкнуть его неосознанно поделиться своими данными — геолокацией и номером телефона. Вот как это работает: Сложность системы всегда была врагом безопасности. Telegram вырос, уже перестал быть просто мессенджером, и дорос до большой медиа платформы с богатым функционалом. Отдельным особняком стоит Telegram Bot API, позволяющее выстраивать целые приложения внутри мессенджера — так называемых ботов. Скорее всего каждый, кто пробовал создать своего бота, уже знает, что пользователю можно отправить запрос его номера телефона с помощью специальной кнопки. Текст на этой кнопке можно задать любой. Причём такие же кнопки бот может использовать и для других взаимодействий: После нажатия на кнопку, пользователю конечно же будет показано предупреждение что сейчас его контакт будет отправлен боту: Это сообщение довольно однозначно говорит о риске деанонимизации, и предостерегает вдумчивого пользователя от опасных для него действий. Перебирая обновления API, я вспомнил, что в какой-то момент Telegram дал пользователям возможность делать собственные локализации мессенджера. Были примеры, когда локализацию использовали для шуточных переделок интерфейса. В тот момент мне пришла в голову та же мысль, что и возможно вам сейчас: А что, если попробовать “шуточно перевести” диалоговое окно, предупреждающее пользователя о передаче номера телефона боту, заменив его текст?

Вначале я думал, что заставить пользователя установить в приложение посторонний xml файл-локализацию будет намного сложнее, чем просто убедить кликнуть на Share contact. Ведь именно так, с помощью xml файла, Telegram предлагал распространять свои локализации среди собеседников. Так я думал, пока не наткнулся в исходных кодах android приложения на обработчик ссылок setlanguage. То что нужно! Оказалось, что в Telegram уже давно сделали платформу переводов, translations.telegram.org, доступную для всех пользователей Telegram, и теперь не нужно передавать никаких xml файлов. Достаточно кликнуть по ссылке t.me/setlanguage/%lang%, после чего пользователь увидит диалоговое окно с запросом установки нового языка. И это окно значительно менее отпугивающее, чем сообщение о запросе номера телефона:

Как это работает?

Регистрируемся на translations.telegram.org. Добавляем свой язык, переводим нужные нам элементы интерфейса и еще парочку других. В локализации можно писать все что угодно. Мы напишем безобидный текст вместо ужасного предупреждения о расшаривании геолокации и номера телефона. Проделываем тоже самое для остальных платформ. Наш ядовитый язык готов. Осталось подсунуть его пользователю. Мне так и не удалось найти способ узнать установил ли пользователь предложенную ему локализацию. Не нашлось ни статистики языка на translations.telegram.org, ни изменений в профиле пользователя. Bot api позволяет узнать язык пользователя через параметр language_code, но его значение берется из системных настроек. Смена языка в приложении на параметр никак не влияет. Что ж, тогда просто добавляем небольшую задержку после сообщения с ссылкой на язык. После выбора языка предлагаем пользователю ознакомиться с меню бота. При нажатии Ок в данном диалоговом окне, номер утекает к боту сообщением, а бот это сообщение тут же удаляет. Если бот будет использовать webhook для получения обновлений, то сообщение удаляется быстрее и пользователь возможно и не поймет что он только что отправил свой контакт. Кстати, аналогично запросу контакта бот может попросить пользователя расшарить его геолокацию. Да, и это диалоговое окно тоже можно “перевести”.

Как исправить

Очевидно нельзя давать возможность пользователям переводить абсолютно весь интерфейс без модерации. Модерация переводов кстати включена для например вот этого диалогового окна translations.telegram.org/rutech/ios/unsorted/AuthCode.Alert. О необходимости модерации нам сообщает метка Critical. Выходит что вот такое маленькое упущение как отсутствие метки Critical для диалогов о расшаривании номера и геолокации приводят к утечке. Утечке весьма чувствительных данных, как для мессенджера строящего свой маркетинг вокруг privacy/security. Мессенджер привязаный к вашему личному номеру телефона по определению не может быть приватным. Он может лишь удорожить процесс раскрытия вашей личности. Данная уязвимость попала в программу bug bounty телеграма и была оценена в 100€. P.S. Заходите к нам в Telegram чат @secinfosec. Там мы делимся опытом и обсуждаем всё что касается информационной безопасности: баг баунти, пентесты, бумажную и практическую безопасность, новые угрозы и методы борьбы с ними.

В обновлении 4.4 в Телеграм появилась функция Live Location, позволяющая отправлять геолокацию (или кто-то говорит геопозиция) в Телеграм и включать трансляцию месторасположения в реальном времени. 

Геолокация может пригодиться в ряде ситуаций, когда нужно быстро определить текущие координаты. Очень удобно воспользоваться геопозицией в случае массового мероприятия: вместо долгих объяснений и ответов на вопросы а-ля «ты где?» достаточно чекнуть с помощью Телеграм местоположение и отправить его собеседнику.

Геолокация в Телеграм запускается в 3 клика:

1. Открываем мессенджер и выбираем того, с кем хотим поделиться своими координатами. Прочитай статью, если не получается зайти в Телеграм.
2. Нажимаем на значок скрепки и находим иконку «Геопозиция».
3. Осталось отправить данные о местоположении, которые сформировал Телеграм.

Топ-3 плюшек геолокации в Телеграм

1. Самостоятельный выбор места для отправки

Если же вы передумали, и хотите отправить точную геопозицию кому-либо в Телеграм, вы можете быстро вернуться к своей дислокации. Для этого нажмите на кружок, отмеченный на скриншоте ниже — и красная «иголка» вернется в исходную точку.

2. Транслирование геолокации

Live Location позволяет не только единоразово отправить свою геопозицию, но и при желании включить ее транслирование в заданном временном промежутке — ваш собеседник будет следить за вашим передвижением в течение 15 минут, одного или восьми часов прямо в Telegram. 

Определить этот период можно сразу после нажатия на пункт «Транслировать мою геопозицию».

3. Выбор из готового списка

Если нажать на надпись внизу экрана «Потяните, чтобы выбрать место», откроется список из разнообразных локаций поблизости. Данные подтягиваются из Foursquare.

Настройка и удаление геолокации

Полученные данные о геолокации можно просматривать на карте, со спутника или в гибридном режиме. Чтобы переключить вариацию отображения, нажмите на три точки в верхней правой части экрана.

Кстати, если вы начнете транслировать сразу в несколько чатов, вверху общего перечня диалогов появится об этом уведомление. Тапните на него, чтобы просмотреть чаты, в которые вы отправляете геолокацию в режиме реального времени.

Удаление геопозиции идентично удалению обычного сообщения в Телеграм: тапните на область рядом с отправленное местоположение и выберите пункт «Удалить».

Некоторые функции в Telegram так и не взыскали особой популярности на территории СНГ из-за определенных обстоятельств, хотя на практике зачастую оказываются крайне полезными и удобными.

Сегодня мы рассмотрим именно такой случай, из инструкции вы узнаете, как найти людей рядом в телеграмме используя смартфон на Android и IOS, также мы выясним можно ли сделать это с помощью ПК и рассмотрим руководство по запрету отображения вас в подобных списках.

Что такое Геочаты

Фактически, данная функция позволяет найти любого пользователя или чат на расстоянии в несколько километров.

Единственное условие – каждый пользователь должен дать разрешение мессенджеру на отслеживание его местоположение, по умолчанию этот доступ для телеграм закрыт. В отличие от США, где приложения с возможностью быстро познакомиться с рядом находящимся человеком нашло множество почитателей, в России на данный момент геочаты остались относительно незамеченными.

Как искать людей или группы рядом

Прежде чем приступить изучению пошагового руководства стоит отметить существенное различие версии мессенджера на разных устройствах. Несмотря на визуальное сходство некоторые элементы располагаются в совершено разных местах. Во избежание путаницы рекомендуем использовать инструкцию именно для устройства с вашей операционной системой.

Android

1. Итак, для начала нам необходимо открыть категорию «Контакты». После запуска приложения необходимо тапнуть на 3 горизонтальные полосы в углу экрана.
2. В появившемся списке выберете пункт «Контакты».
3. Нажимаем на «Найти людей рядом».
4. Мессенджер запросит разрешение на отслеживание вашего местонахождения, даём согласие и переходим в основное окно данной функции. Здесь можно написать людям, находящимся недалеко от вас или присоединиться с таким же сообществам.

Важно отметить, компания не передаёт данные о местонахождении третьим лицам и заботится о сохранности личных данных своих пользователей.

iPhone

1. В отличие от Андроид, на IOS список контактов находится на нижней панели на основном экране. В данном случае переходить в дополнительный раздел нет необходимости, достаточно тапнуть на иконку человека в круге в левом нижнем углу экрана.
2. Здесь потребуется нажать на первую строчку с надписью «Найти людей рядом».
3. После разрешения на отслеживание местоположения появится список рядом находящихся людей. Если спуститься ниже, можно найти групп в пределах нескольких километров. Для вступления в любое сообщество достаточно нажать на его название и выбрать «Присоединиться» или «Подписаться».

На компьютере

К сожалению, реализовать данную возможность на desktop и web версии Telegram компания не смогла или не захотела. Видимо это связано с затрудненной возможностью получить точную геопозицию человека на ПК. Это одно из существенных функциональных ограничений компьютерной версии мессенджера.

Как запретить отображать меня в поиске «Люди рядом»

Наиболее оптимальным способом отключения данной функции будет выключение геоданных на смартфоне. В руководстве ниже показана инструкция для Samsung Galaxy S6, однако она практически идентична и для других устройства.

Основной

1. Переходим в «Люди рядом» и обращаем внимание на кнопку «Показать меня здесь». Если она есть, вас и так не видно в списке.
2. В противном случае там должна располагаться кнопка «Не показывать меня». Нажав на неё, вы отключите ненужную вам функцию.

Альтернативный

1. Сделайте свайп сверху вниз для вызова шторки с дополнительным меню.
2. В появившемся списке один раз нажмите на «Геоданные».

Если вы не нашли данного пункта, перейдите в настройки смартфона и найдите соответствующий пункт меню.

Теперь вы знаете как найти людей рядом в телеграмме. Для активных и общительных пользователей данная функция позволяет расширить круг знакомств и найти новых друзей. Через геопозицию вы можете найти полезные чаты, позволяющие организовать совместный досуг или решить давно надоевшую проблему. При подобном поиске можно найти отдельную группу жильцов дома, что, несомненно, принесет пользу в определенных ситуациях, когда будет необходимо решить общедомовой вопрос.

Telegram-бот «Глаз Бога»</figcaption>

Для отправ­ки команд бот тре­бует под­писать­ся на собс­твен­ный канал, но даже это не гаран­тиру­ет резуль­тата. По телефо­ну «Глаз Бога» выда­ет наз­вание опе­рато­ра и его реги­он (видимо, для тех, кто не уме­ет опре­делять эти дан­ные на глаз), воз­можное имя (я ввел нес­коль­ко телефон­ных номеров — име­на сов­пали).

Еще он может най­ти поч­товые адре­са (веро­ятнее все­го, по базе адми­нис­тра­торов доменов), стра­ницу «ВКон­такте», акка­унт «Телег­рам», WhatsApp, чис­ло инте­ресо­вав­шихся пер­сонажем до вас. Но эту информа­цию бот пре­дос­тавит за 30 руб­лей. То же самое каса­ется поис­ка по номеру авто­моби­ля: бес­плат­но бот показы­вает толь­ко реги­он (который мож­но опре­делить и так), а за трид­цатку пред­лага­ет ска­чать отчет «Авто­кода». При этом дан­ные об авто­моби­ле по его номеру при желании нет­рудно отыс­кать в этих ваших интерне­тах бес­плат­но.

Ес­ли вы вве­дете адрес элек­трон­ной поч­ты, бот любез­но покажет вам логин (то, что до сим­вола @) и домен (то, что пос­ле @) — это осо­бо цен­ная информа­ция! Так­же вам пред­ложат купить адрес при­вязан­ной к это­му мылу стра­нич­ки «ВКон­такте» и свя­зан­ные с email пароли из какой‑то сли­той базы. По име­ни бот ищет толь­ко номер телефо­на в задан­ном реги­оне, находит неп­равиль­ный и для его прос­мотра пред­лага­ет купить под­писку.

В общем и целом, поль­за от это­го бота показа­лась мне весь­ма сом­нитель­ной: инфу, которую «Глаз Бога» отда­ет бес­плат­но, мож­но при желании нагуг­лить и без него, а плат­ная информа­ция скуд­на и не всег­да дос­товер­на.

AVinfo

Бот ищет по сли­тым базам пароли, соот­ветс­тву­ющие адре­сам элек­трон­ной поч­ты, логинам или номеру телефо­на. Бес­плат­но бот показы­вает толь­ко часть обна­ружен­ных паролей, а за пол­ной вер­сией отправ­ляет на сто­рон­ний сайт, где посети­телю с ходу пред­лага­ют опла­тить под­писку.

Заключение

Мои экспе­римен­ты показа­ли, что боты для поис­ка пер­сональ­ных дан­ных в целом могут быть полез­ны, но с неболь­шими ого­вор­ками:

• боль­шинс­тво из них — плат­ные, и качес­тво поис­ка информа­ции там все рав­но сред­нее, выдачу при­дет­ся верифи­циро­вать и переби­рать вруч­ную;
• есть пара бес­плат­ных вари­антов с огра­ниче­нием на количес­тво зап­росов, но в выдаче при­сутс­тву­ет высокий про­цент шла­ка.

Да­же нес­мотря на то, что боль­шинс­тво ботов исполь­зует одни и те же источни­ки информа­ции, для уточ­нения дан­ных луч­ше при­менять сра­зу нес­коль­ко инс­тру­мен­тов — это повысит релеван­тность поис­ка и качес­тво резуль­татов. Тем не менее для серь­езно­го рас­сле­дова­ния без услуг про­фес­сиональ­ных про­бивал все рав­но не обой­тись: они име­ют дос­туп к акту­аль­ным слу­жеб­ным базам раз­личных государс­твен­ных и ком­мерчес­ких орга­низа­ций, вер­нее, связь с сот­рудни­ками, которые, в свою оче­редь, могут обра­щать­ся к этим базам.

Бо­ты могут под­ска­зать нап­равле­ние поис­ка и рас­ширить набор исходных дан­ных, но в качес­тве пол­ноцен­ного инс­тру­мен­та для пробива пер­сональ­ных дан­ных они вряд ли сго­дят­ся.

Еще по теме: Угон Телеграм и как от этого защититься

ВКонтактеTwitterFacebookOKTelegramWhatsAppViber

Есть множество способов получить данные о человеке: поискать его по социальным сетям, сделать поиск по Google или Яндекс, проанализировать доски объявлений и многое другое. Но если делать это собственными руками, то поиск превратиться в адский труд, потому что это долгая, рутинная и кропотливая работа. И нет никаких гарантий, что она увенчается успехом.

Гораздо легче и эффективнее использовать для этого специальные инструменты, которых, надо заметить, сегодня стало очень много. Это и софт, который распространяется на пиратских правах за большие деньги, и бесплатные программы, которые умеют совершать несложные алгоритмы поиска, и форумы, на которых за деньги или бесплатно сливают персональные данные и многое другое.

В данной статье мы рассмотрим, каким образом через бота для Телеграм можно найти информацию о человеке.

Содержание

Глаз Бога — смотрящий бот из Телеграм

Первый бот скромно именуется Глаз Бога и разработчики позиционируют его как самый лучший бот с персональной информацией о людях. Возможно, так и есть, потому что функций у него очень много. И действительно разработчики подошли к своему творению серьёзно и основательно, у них даже есть свой сайт с интересным дизайном и организованна служба поддержки. А на самом сайте есть предупреждение о том, что сервис представляет собой лишь поиск по открытой информации людей и не нарушает законодательства России, что, конечно же, успокаивает. Бот обрабатывает около 40 источников информации и санкционировано получает из них информацию. По заявлению разработчиков, око Божье объединяет в себе функции всех аналогичных инструментов.

Каким образом работать с ботом для поиска информации о человеке:

1. Перейдите в браузере на сайт Глаз Бога https://eyegod.info и нажмите на кнопку «Перейти в бот«. Это можно сделать на любом устройстве, где установлен Telegram — на мобильном или компьютере.
2. Бот откроется в приложении Телеграм. На стартовой странице вы увидите краткое описание функций бота. Нажмите кнопку «Старт«, чтобы начать.
3. Вы увидите более подробную информацию о том, что умеет бот. И всё. Теперь бот работает и им можно пользоваться.

Для того, чтобы узнать информацию о человеке с помощью этого бота, следует просто отправить ему соответствующее сообщение.

Давайте рассмотрим подробнее, по каким данным можно найти здесь человека:

Способы поиска:	Пояснение:
Поиск можно сделать по имени и дате рождения.	Для этого боту следует отправить имеющиеся данные — имя и фамилию, можно дополнить информацию отчеством и датой рождения, тогда поиск будет более точным. Формат сообщения такой: Устимова Ольга Сергеевна 29.03.1983.
Можно поискать человека по государственному или идентификационному (VIN) номеру автомобиля.	Для этого нужно отправить боту номер: М999ММ99 (для России), ВО4561АХ (для Украины) или ХТА21150053965897 (VIN номер). Номер телефона может быть распознан, если вы отправите боту его качественную фотографию.
Поддерживается поиск по номеру телефону (79998887777) электронной почте (name@mail.ru), адресу (Москва, Тверская, д 12, кв 1), идентификатору пользователя в Telegram (id713052, @anton).	В скобках указан формат сообщения, в котором нужно отправить данные боту.
С помощью этого бота можно искать не только людей, но и юридических лиц, в том числе и ИП.	Для этого нужно знать ИНН, и ввести его в таком формате: /inn 7702232171.
Можно отправить боту ссылку на профиль ВКонтакте.	Например, https://vk.com/id1. В результате можно получить данные о владельце профиля — почту и номер телефона.
Бот умеет работать и с IP, для этого нужно отправить ему нужный адрес в формате 8.8.8.8.	В результате вы получите информацию о его географическом положении либо о домене, если он принадлежит сайту.
Можно получить данные о владельце криптокошелька Биткоин.	Для этого нужно отправить адрес, например, 1AmajNxtJyU7JjAuyiFFkqDaaxuYqkNSkF.
Человека в этом Телеграм боте можно найти даже по фото.	Для этого надо отправить портретную фотографию хорошего качества вложенным файлом.
Можно отправить этому боту свою геолокацию.	В результате можно получить список людей, которые присутствуют рядом, и их данные.
Бот умеет также и распознавать текст по голосу.	Поэтому, если нет времени писать, то можно наговорить данные.

Как видите, функций у Глаза Бога очень много, и есть даже дополнительные полезности, вроде распознавания по фото и голосу. Какие данные предоставит бот в результатах поиска? Все, которые у него имеются о найденном человеке: имя, номер телефона, электронная почта, страница во ВК, логин в Viber, Telegram, номер автомобиля и другое.

Это условно-бесплатный инструмент. Бесплатно можно попробовать его, и получить некоторые данные, но самая «вкусная» информация окажется доступной в платном тарифе.

Поиск информации о человеке в Facebook

Следующий бот в Телеграм намного проще и полностью бесплатный. Он умеет искать в базе Facebook по номеру телефона.

• В смартфоне или на компьютере перейдите по этой ссылке https://t.me/GetCont_bot, и бот откроется в вашем приложении Telegram. Нажмите кнопку «Старт».
• И вы увидите инструкцию по работе с ботом: достаточно отправить ему номер телефона в формате +7 000 111 22 33 или +70001112233 и в результате вы получите ссылку на страницу Facebook человека, которому принадлежит данный номер, если он присутствует в базе бота.

И это всё, никаких дополнительных функций здесь нет.

Это вам будет интересно: t.me что за сайт.

Два простых бота для поиска по номеру телефона

Два бота, созданные разными разработчиками, но очень похожие — умеют искать информацию о человеке по его номеру телефона. Работает полностью бесплатно.

Какие основные функции этих ботов для поиска информации о человеке и чем они отличаются от робота Телеграм:

• Первый называется Getcontact, и подключить его к Telegram можно по этой ссылке https://t.me/GetCont_bot. Нажмите на «Старт» после перехода по ссылке, и вы увидите предложение ввести номер телефона для поиска в формате +70001112233. Результат поиска будет через несколько секунд и в нём будут данные об операторе и регионе владельца телефона.
• Второй бот чуть более функциональный, называется ТелПоиск и находится по этой ссылке. Чтобы подключить бота, перейдите по ссылке и нажмите «Старт». И вы увидите информацию о функциональности этого бота. Отправьте ему номер телефона в формате +70001112233, и через несколько мгновений вы получите результат поиска, в котором будут содержаться данные о социальных сетях, мессенджерах, платёжных сервисах, объявлениях на досках, где фигурирует это номер.

Способ найти данные об автомобиле

Этот бот специализируется на данных об автомобилях. Является условно-бесплатным инструментом, в бесплатном тарифе предусмотрено несколько проверок, а затем придётся оплачивать подписку. По отзывам некоторых пользователей, работает достаточно быстро и точно.

Перейдите по https://t.me/avinfobot и нажмите «Старт«. Вы увидите краткое описание бота и познакомитесь с его функциями.

Бот умеет принимать и отображать такие данные:

• фамилию, имя и отчество;
• номер телефона и электронная почта;
• государственный и VIN номера автомобиля;
• ссылка на ВК-профиль;
• IP адрес владельца автомобиля;
• кроме того, есть возможность распознать человека по отправленному боту фото и получить о нём вышеперечисленные данные.

Как было сказано выше — это условно бесплатный сервис.

По некоторым данным, этот робот получает данные из базы объявлений Авито, где торгуют автомобилями. Сведений о санкционированном доступе к этой базе нигде не присутствует.

В видео будет рассмотрено, как работают боты для приложения Телеграм, которые показывают всю информацию о человеке.

Главная»Защита и безопасностьИспользуемые источники:

• https://habr.com/ru/post/495990/
• https://teleggid.com/geolokatsiya-v-telegram/
• https://telegramfag.ru/kak-najti-lyudej-ryadom-v-telegram
• https://spy-soft.net/telegram-bots-for-finding-information/
• https://rusadmin.biz/zashhita-i-bezopasnost/boty-telegram-s-informatsiej-o-cheloveke/