Штатные инструменты Telegram позволяют следить за действиями его пользователей. При этом российские спецслужбы могут иметь доступ даже к закрытым чатам, говорится в расследовании Wired об уязвимостях проекта Павла Дурова.
Так, получить информацию о пользователях можно с помощью API мессенджера — инструмента, через который разработчики приложений и исследователи могут подключаться к платформе и извлекать из нее данные для своих проектов.
API применяется для создания чат-ботов и позволяет проводить полный бэкап доступной им информации в мессенджере. В случае с Telegram речь идет о контенте и метаданных из любого общедоступного группового чата или канала, а также записях о том, когда пользователи в последний раз были в сети. Помимо этого, зная телефон человека, можно получить все сообщения, которые он отправлял в любой открытый паблик.
Исследователь из Института стратегического диалога (ISD) Джордан Уайлдон обнаружил, что API-инструменты позволяют определять местонахождение пользователей с точностью до 600 ярдов (550 метров). По его словам, «при наличии силы воли, приличных серверов и достаточном количестве API-ключей можно заархивировать почти весь Telegram» — каждый из текстов, аудиофайлов и изображений, размещенных на платформе публично. При этом ключи доступны любому пользователю, который их запрашивает.
Например, у популярного в России аналитического сервиса TGStat есть бот, который взаимодействует с API мессенджера и тысячами каналов одновременно. Таким образом у TGStag могут храниться данные обо всех пользователях пабликов и контент из них. Такая информация позволяет составить подробный потрет человека.
В своей политике конфиденциальности TGStat указывает, что по закону компания обязана передавать данные «государственным органам Российской Федерации». Поскольку сервис годами архивирует общедоступную информацию, этим могут воспользоваться спецслужбы.
Основатель TGStat Юрий Кижикин написал в ответ на обращение Wired, что «ситуация в России и мире не влияет на деятельность компании». Он подтвердил, что данные могут быть переданы российским властям, но сказал, что TGStat не получал никаких запросов ни от них, ни от правоохранительных органов.
Не все прозрачно и с «секретными чатами». На то, что их могут читать спецслужбы, указывает ряд случаев с российскими оппозиционными активистами. Одна из них, Анна Курбатова рассказала, что в начале мая все отправляемые ею сообщения, включая зашифрованные, помечались как «прочитанные», хотя она точно знала, что получатель их не читал. Она также говорила, что при выходе из секретного чата сессия по-прежнему помечалась как открытая и сообщения все еще можно было прочитать. Та же проблема возникла у активиста Ивана Асташина.
В апреле похожей историей поделилась кандидат в депутаты Заксобрания Петербурга Рина Мацапулина. Она рассказала, что силовики прямо перед обыском читали все ее сообщения друзьям в реальном времени. Со слов Мацапулиной, об этом ей сообщил сам следователь. Однако каким образом силовикам удалось взломать секретные чаты, специалистам пока неизвестно.
Сам Павел Дуров отказался разговаривать с Wired. Однако его соратник Георгий Лобушкин заявил, что хотя российский рынок «очень важен» для предпринимателя, Дуров «никогда не будет сотрудничать с российскими властями» и скорее свернет деятельность в стране, чем пойдет на подобное. При этом Лобушкин затруднился сказать, почему Telegram был разблокирован в 2020 году. Он считает, что Кремль сделал это, поскольку «российская пропагандистская машина научилась эффективно и результативно использовать» мессенджер в своих целях.
