Ang Telegram, na ipinagmamalaki ang pagiging isang messaging app na nakatuon sa privacy, ay nasangkot sa kontrobersiya dahil sa kahinaan nito sa paghawak ng ilang partikular na proxy link na maaaring maglantad sa mga IP address ng mga user sa isang click lang. Ipinakita ng ilang mananaliksik sa cybersecurity na ang pagbubukas lamang ng isang minanipulang internal link ay sapat na upang maging sanhi ng pagtatatag ng isang device ng hindi gustong koneksyon sa isang external server.
Ang problema ay hindi lamang nasa teknolohiya ng proxy mismo kundi sa kung paano ito ginagamit. Itinatago ng mga masasamang loob ang mga espesyal na link na uri ng proxy sa ilalim ng tila hindi nakakapinsalang mga t.me domain , para isipin ng user na nagbubukas lang sila ng username o internal link, gayong sa katotohanan ay inilalantad nila ang sensitibong data ng koneksyon na maaaring kolektahin ng mga ikatlong partido.
Paano gumagana ang mga proxy link sa Telegram at bakit ginagamit ang mga ito
Gumagamit ang Telegram ng mga link tulad ng t.me/proxy?… para mabilis na ma-configure ang mga MTProto proxy sa mga opisyal na kliyente ng platform. Ang mga espesyal na URL na ito ay nagbibigay-daan sa mga user na magdagdag ng proxy server sa isang tap lang, nang hindi manu-manong inilalagay ang server address, port, o secret key. Para matuto pa tungkol sa kung paano gumagana ang platform, tingnan ang aming gabay sa Telegram.
Ang sistemang ito ay dinisenyo upang mapadali ang pag-access sa Telegram sa mga konteksto kung saan may mga pagharang sa internet o sensura . Pinapayagan ng mga proxy ang mga gumagamit na malampasan ang mga paghihigpit sa heograpiya at bahagyang itago ang kanilang tunay na lokasyon , isang bagay na lubos na pinahahalagahan ng mga aktibista, mamamahayag, mga grupo sa mga bansang may matinding pagsubaybay, at, sa pangkalahatan, ng mga naghahangad ng mas malawak na pagiging hindi nagpapakilala online.
Kadalasan, ang mga proxy link na ito ay tahasang ibinabahagi, na malinaw na nagsasaad na ang URL ay nilayon upang i-configure ang isang intermediary server. Kapag ang feature ay ginamit nang lehitimo, alam ng user na nagdaragdag sila ng proxy at maaaring magdesisyon kung sulit ba ang pagkonekta sa partikular na server na iyon upang mas maprotektahan ang kanilang komunikasyon.
Gayunpaman, ang parehong tampok na nagpapadali sa paggamit ng mga proxy ay ginagamit na ngayon laban sa gumagamit. Natuklasan ng mga mananaliksik na itinago ng mga kriminal ang mga link na ito bilang mga simpleng username o normal na panloob na link sa Telegram , kaya hindi ito nagdudulot ng hinala at halos awtomatikong nangyayari ang pag-click.
Ayon sa tech website na Bleeping Computer, ang susi sa problema ay nasa katotohanang ang Telegram client sa Android at iOS ay nagsasagawa ng awtomatikong pagsubok na koneksyon kapag binuksan ang isa sa mga proxy link na ito . Ang pagsubok na koneksyon na ito ay inilulunsad bago pa man kumpirmahin ng user kung gusto ba nilang idagdag ang proxy sa kanilang mga setting, na nagbubukas ng pinto sa mga paglabas ng IP address.
Ano ang panganib kung ma-leak ang IP address?
Ang IP address ay isang piraso ng teknikal na datos na, sa unang tingin, ay maaaring mukhang hindi nakakapinsala, ngunit sa maling mga kamay, nagpapakita ito ng napakaraming impormasyon. Sa pamamagitan ng pagpipilit ng direktang koneksyon mula sa isang mobile device patungo sa isang malayong server, maaaring itala ng mga umaatake ang totoong IP address ng gumagamit , kahit na naniniwala ang gumagamit na protektado sila ng iba pang mga layer ng privacy.
Gamit ang IP address na iyon, maaaring tantyahin ng isang malisyosong aktor ang tinatayang lokasyon ng gumagamit , sa maraming pagkakataon nang may sapat na katumpakan upang matukoy ang isang partikular na lungsod o rehiyon. Ito, kasama ng iba pang datos, ay nagbibigay-daan para sa paglikha ng mga profile ng aktibidad, oras ng koneksyon, at mga pattern ng pag-uugali na maaaring samantalahin para sa mga layuning pangkomersyo, pagmamatyag, o maging para sa panliligalig.
Bukod pa rito, ang paglalantad ng totoong IP address ay nagbubukas ng pinto sa mga naka-target na pag-atake laban sa device o network ng biktima . Depende sa router at hardware configuration, maaaring subukang i-scan ng isang attacker ang mga port, pagsamantalahan ang mga kahinaan, o maglunsad ng distributed denial-of-service (DDoS) na mga pag-atake laban sa isang partikular na indibidwal.
Itinuturo ng mga mananaliksik na sumuri sa pang-aabusong ito na, sa maraming pagkakataon, inakala ng mga naapektuhan na nakikipag-ugnayan lamang sila sa isang karaniwang link sa Telegram , nang hindi nalalaman na nagti-trigger sila ng koneksyon sa isang panlabas na server na kontrolado ng isang ikatlong partido. Ang kawalang-timbang ng impormasyon na ito ang siyang dahilan kung bakit nakababahala ang natuklasan mula sa pananaw ng privacy.
Ang palihim na paggamit ng mga link na ito ay maaari ding gamitin upang makabuo ng mga detalyadong profile ng mga gumagamit na Europeo o Espanyol na nakikilahok sa mga pampublikong channel, mga grupong may tematiko, o mga sensitibong komunidad. Kung ang isang umaatake ay nagawang linlangin ang mga miyembro ng isang partikular na grupo na mag-click sa isang minanipulang link, maaari silang magkaroon ng isang listahan ng mga IP address na nauugnay sa grupong iyon, na may mga implikasyon na maaaring idulot nito sa mga kontekstong pampulitika o aktibista.
Sino ang nakatuklas sa problema at paano ito napatunayan?
Ang unang pampublikong alerto tungkol sa pang-aabusong ito ay nagmula sa Telegram channel na chekist42 , na nagpakita kung paano posibleng samantalahin ang paraan ng paghawak ng kliyente sa mga proxy link sa mga log IP nang walang tahasang pahintulot. Mula roon, ang natuklasan ay napatunayan ng iba't ibang espesyalista sa cybersecurity , kabilang ang mga mananaliksik na kilala bilang GangExposed R at 0x6rss.
Iniulat at pinalawak ng website na Bleeping Computer ang imbestigasyon, na kinumpirma na ang isyu ay nakaapekto sa parehong bersyon ng Telegram sa Android at iOS . Sa parehong sistema, ang mekanismo ng pagsubok sa koneksyon ng proxy ay gumagana nang magkatulad, na nag-iiwan sa milyun-milyong gumagamit sa Europa at sa buong mundo na mahina.
Ang saklaw ng kahinaang ito ay hindi limitado sa teknikal na larangan; ibinahagi rin ng mga ahensya ng balita at media sa Europa ang balita , na nagbibigay-diin sa potensyal na epekto sa privacy ng gumagamit sa rehiyon. Para sa isang application na napakapopular sa Espanya at iba pang mga bansa sa EU, ang katotohanan na ang mga IP address ay maaaring ma-leak nang walang malinaw na babala ay itinuturing na partikular na nakababahala.
Kaya naman, napunta ang Telegram sa atensyon ng publiko, dahil ang app ay regular na itinataguyod bilang isang ligtas na alternatibo sa iba pang mga platform ng pagmemensahe. Ang pagbubunyag na ang isang simpleng nakatagong link ay maaaring maglantad ng totoong IP address ng isang gumagamit ay salungat sa imahe ng pinahusay na privacy na nilinang ng kumpanya nitong mga nakaraang taon.
Sa kontekstong ito, binigyang-diin ng iba't ibang eksperto sa cybersecurity na hindi ito isang malawakang awtomatikong pag-atake, kundi isang naka-target na pamamaraan na nangangailangan ng pag-click ng user sa isang partikular na idinisenyong link. Gayunpaman, ang potensyal para sa pang-aabuso ay ginagawang lubos na mahalaga ang isyu para sa sinumang gumagamit ng Telegram araw-araw.
Opisyal na tugon ng Telegram at paghahambing sa iba pang mga app
Bilang tugon sa mga katanungan mula sa mga outlet ng media tulad ng Bleeping Computer, kinilala ng Telegram ang problema at nangakong magpapatupad ng mga pagbabago upang mabawasan ang panganib ng pagkakalantad sa IP sa pamamagitan ng mga proxy link na ito. Sinabi ng isang tagapagsalita ng kumpanya na "magsasama sila ng mga babala sa mga proxy link" upang malaman ng mga gumagamit kung ano ang nangyayari kapag nakikipag-ugnayan sila sa mga ito.
Ayon sa anunsyo, ang ideya ay kapag ang isa sa mga link na ito ay na-click, ang application ay magpapakita ng isang mensahe na malinaw na nagpapaalam sa user na susubukan nitong kumonekta sa pamamagitan ng isang proxy at maaaring ipakita ng aksyon na ito ang kanilang IP address sa destination server. Ang karagdagang hakbang na ito ay makakatulong na mapigilan ang pang-aabuso, dahil maaaring kanselahin ng user ang operasyon kung pinaghihinalaan nilang may mali.
Gayunpaman, hindi pa nagbibigay ang Telegram ng tiyak na petsa para sa pagpapatupad ng mga babalang ito , ni hindi rin nito idinetalye kung magpapakilala ito ng mga karagdagang pagbabago sa kung paano isinasagawa ang mga awtomatikong pagsubok sa koneksyon. Ang kakulangan ng timeline na ito ay nagdulot ng ilang pag-aalala sa mga gumagamit na mas nag-aalala tungkol sa kanilang privacy, lalo na sa Europa, kung saan mas mahigpit ang mga regulasyon sa proteksyon ng data.
Itinuro rin ng kompanya na ang pagkakalantad sa IP kapag kumokonekta sa isang remote server ay hindi lamang problema sa Telegram . Sa pagsasagawa, anumang serbisyo na humihiling sa device na magbukas ng direktang koneksyon sa isang third-party server ay maaaring makita at maitala ang address na iyon; nangyayari ito kahit sa iba pang mga platform ng pagmemensahe tulad ng X Chat.
Bagama't totoo ito, itinuturo ng mga eksperto na, sa kasong ito, ang kakaiba ay nakasalalay sa katotohanan na ang koneksyon ay nangyayari sa background bilang bahagi ng isang awtomatikong pagsubok , at hindi bilang isang malinaw na bunga ng isang sinasadyang aksyon ng gumagamit. Samakatuwid, iginiit nila na mahalagang palakasin ang transparency at bigyan ang mga gumagamit ng higit na kontrol sa kung kailan at paano itinatatag ang mga ganitong uri ng koneksyon.
Paano mapoprotektahan ng mga gumagamit ang kanilang sarili sa Espanya at Europa?
Bagama't inaayos ng Telegram ang kilos nito, maaaring gumawa ang mga gumagamit ng ilang hakbang upang mabawasan ang panganib. Ang una at pinakasimple ay ang labis na pag-iingat kapag nagki-click sa mga link na natanggap sa pamamagitan ng mga chat, channel, o grupo , lalo na kung nagmula ang mga ito sa mga hindi kilalang mapagkukunan o mga account na kakalabas lang sa isang pag-uusap.
Mahalagang maingat na suriin ang istruktura ng URL bago ito buksan. Bagama't maaaring subukang itago ito ng mga umaatake, ang mga lehitimong proxy link ay karaniwang sumusunod sa pattern na t.me/proxy?… na may karagdagang mga parameter . Kung may anumang bagay sa link na tila kakaiba, masyadong mahaba, o nauugnay sa isang user o channel na hindi nakakapagbigay ng kumpiyansa, pinakamahusay na huwag na lang itong isama at, kung may pag-aalinlangan, tanungin ang nagpadala.
Isa pang rekomendasyon para sa mga partikular na nag-aalala tungkol sa privacy, kabilang ang kanilang IP address, ay ang paggamit ng isang mapagkakatiwalaang VPN o kumonekta sa pamamagitan ng isang network na hindi direktang nagpapakita ng kanilang koneksyon sa bahay . Sa ganitong paraan, kahit na magkaroon ng pagsubok na koneksyon sa proxy, ang IP address na makikita ng remote server ay ang sa VPN o intermediary network, hindi sa end user.
Sa konteksto ng Europa, kung saan tumataas ang pagiging sensitibo sa proteksyon ng datos, ipinapayong pana-panahong suriin ang mga setting ng privacy ng Telegram at limitahan ang pagkakalantad ng iba pang personal na datos, tulad ng larawan sa profile o impormasyon ng account, sa mga pinagkakatiwalaang contact lamang.
Para sa mga bihasang gumagamit at mga propesyonal sa cybersecurity, ang pagsubaybay sa trapiko sa network ng device kapag pinaghihinalaan ang isang link ay maaaring makatulong upang mapatunayan kung aling mga address ang aktwal na kinokonekta ng application. Nagbibigay-daan ito para sa pagtuklas ng hindi pangkaraniwang pag-uugali at mas mahusay na dokumentasyon ng mga potensyal na pang-aabuso.
Ang iskandalo ng proxy link sa Telegram ay nagsisilbing paalala na kahit ang mga app na nakatuon sa privacy ay maaaring magkaroon ng mga kahinaan kung ang ilang partikular na feature ay hindi malinaw na naipabatid o labis na awtomatiko. Ang kombinasyon ng independiyenteng pananaliksik, tugon ng kumpanya, at mas mapagmatyag na mga gumagamit ang magiging susi sa pagliit ng epekto ng mga naturang insidente sa pang-araw-araw na digital na buhay.
