Новая функция Telegram, позволяющая превращать сообщения в интерактивные мини-приложения, вызвала вопросы к безопасности мессенджера. Специалисты по кибербезопасности обнаружили несколько уязвимостей, потенциально позволяющих запускать посторонний код на устройствах пользователей. Несмотря на выпущенные исправления, исследователи продемонстрировали новые способы атаки. В ответ основатель Telegram Павел Дуров* заявил, что опасность устранена, и предложил хакерам попытаться взломать его собственный аккаунт.

Виджеты стали доступны ботам Telegram 9 ноября, а 10 ноября Дуров* рассказал об их возможностях. Новая технология позволяет размещать прямо в сообщениях интерактивные элементы, включая игры, формы заказа товаров и инструменты оплаты через TON. Однако уже 11 ноября команда исследователей V12 показала, как через такой виджет можно запустить системный калькулятор на Android. Подобная демонстрация свидетельствует о возможности выполнения команд за пределами предусмотренных ограничений.

Разработчики Telegram выпустили исправления, но 13 ноября специалисты V12 повторили эксперимент уже на компьютере с Windows. Причём использовалась версия Telegram Desktop 7.4.3, вышедшая после предыдущих обновлений безопасности. Исследователи считают, что проблема связана с самим механизмом исполнения JavaScript внутри сообщений, который увеличивает количество потенциальных точек атаки.

Павел Дуров* отверг утверждение, что злоумышленники могут взломать пользователя простым отправлением сообщения. По его словам, для эксплуатации обнаруженного сценария требовалось предварительно запустить стороннего бота. Основатель Telegram также сообщил, что разработчики полностью устранили проблему на стороне сервера. Тем, кто сомневается в безопасности мессенджера, он предложил проверить свои выводы, попытавшись получить доступ к его аккаунту.

На фоне обсуждения уязвимостей Telegram 13 ноября отключил отправку новых HTML-виджетов для ботов. При этом ранее полученные интерактивные сообщения продолжили работать. Подтверждений массового взлома аккаунтов именно через обнаруженные исследователями уязвимости нет. Специалисты рекомендуют не запускать подозрительные виджеты и своевременно обновлять приложение, пока безопасность новой функции не будет окончательно проверена.