Основатель мессенджера Telegram Павел Дуров предложил взломать его личный аккаунт после появления сообщений о новой уязвимости.
Он заявил, что взлом профиля через простое получение сообщения, о котором писали некоторые СМИ, невозможен. По его словам, для этого нужно было сначала активно запустить сторонний сервис, но даже это уже исправлено на сервере. Он предложил сомневающимся попробовать взломать его аккаунт и приложил ссылку на свой профиль.
«Если вы думаете иначе, попробуйте взломать мой аккаунт», — написал Дуров.
Поводом для заявления стала серия публикаций об уязвимостях в интерактивных виджетах. 11 ноября «этичные хакеры» V12 показали на Android, как виджет запускает посторонний код. В ролике пользователь открывал чат с ботом и нажимал кнопку запуска, после чего виджет открывал калькулятор. Это доказывает, что команды могут выполняться за пределами ограничений, но не означает захват аккаунта без действий пользователя. Именно на этом настаивает Дуров.
Дополнительные вопросы появились после публикации проекта telejam. Его автор описал два способа выполнения кода через виджеты в версии Telegram для Windows. По его словам, специально подготовленные сообщения запускали калькулятор без нажатий, сразу после появления виджета в переписке. Но даже в этом случае злоумышленнику сначала нужно, чтобы виджет появился в чате через бота. Подтвержденных случаев массового взлома через виджеты нет.
Ранее в Telegram нашли уязвимость, с помощью которой можно украсть личные файлы.