Анимированный котик взломал ваш Telegram — а спросят всё равно с вас

Исследователь нашёл способ взломать Telegram через анимированные стикеры без участия пользователя, как сообщает Хабр.

Исследователь показал: анимированный стикер запускает вредоносный код в Telegram без единого клика — прислали картинку, и аккаунт уже не ваш. Суть проста: дыра находится не в человеке, а в формате, который этот человек считает безобидной забавной мелочью.

Устройство системы предельно честное: безопасность переписки держится на энтузиасте, который нашёл дыру раньше скупщика уязвимостей. Ему — строчка в резюме и, если повезёт, выплата, платформе — бесплатный аудит, вам — ощущение, что гифка с котом имеет над вашей жизнью больше власти, чем закон. Баг-баунти — это когда корпорация экономит на инженерах, а разницу доплачивает любопытством случайный человек с форума.

В стране, где мессенджер стал де-факто стандартом связи, новость обсуждают как стихийное бедствие, а не как вопрос к архитектуре: почему картинка вообще имеет право исполнять код. Паника удобна — она не требует менять привычки, достаточно переслать предупреждение тем же самым мессенджером.

В рабочем чате я видел, как анимированные коты заменили половину переписки: люди пересылают стикер вместо ответа, и никто уже не помнит, что именно он подписал. Уязвимость — это не когда вас взламывают, а когда вы даже не заметили, что вас уже переслали.