В Telegram Passport найдена лазейка для удачной брутфорс-атаки

В Telegram Passport найдена лазейка для удачной брутфорс-атаки

В Telegram Passport найдена лазейка для удачной брутфорс-атаки

Не успел Telegram анонсировать нововведение под названием Passport, как пользователи начали находить в нем проблемы безопасности. Об одной из таких уязвимостей сообщил пользователь Habr, известный под псевдонимом Scratch.

Согласно сообщению Scratch, в Telegram Passport есть бреши, которые потенциально могут помочь злоумышленникам похитить персональные данные.

Исследователь утверждает, что вся проблема кроется в алгоритмах шифрования, которые используются в новом сервисе от популярного мессенджера.

Похоже, что компания просто перемудрила, так как разработчики не используют сквозное шифрование в прямом смысле, а задействуют собственную разработку. Таким образом, схема выглядит приблизительно так: в облако передаются зашифрованные личные данные, случайный криптографический ключ и хеш этих данных, смешанный со случайными байтами.

Эксперт уверяет, что всего вышеозначенного достаточно для успешного проведения атаки вида брутфорс, которая позволит киберпреступникам завладеть информацией пользователя.

«Это далеко не “случайный шум”, тут есть всё необходимое, включая ключ шифрования, защищенный паролем. И это позволяет добраться до данных пользователей гораздо, гораздо быстрее, чем перебирать все возможные комбинации ключей AES (2^256). Также большому сомнению подвергаются такие изобретённые авторами Telegram механизмы, как проверка ключа на валидность с помощью суммы байт, участия самих данных в формировании ключа их же шифрования и хэша от данных вместо HMAC», — пишет Scratch.

В качестве одного из методов защиты эксперты предлагает использовать длинные пароли (не менее 8 символов), в этом случае преступникам будет куда сложнее подобрать необходимые для доступа данные.

Напомним, что Telegram Passport на днях также подвергся критике со стороны Антона Розенберга, бывшего партнера Павла Дурова. Господин Розенберг считает, что новый сервис непрозрачен и небезопасен.

Купоны на топливо оказались приманкой: мошенники собирают данные водителей

Топливная тема снова стала приманкой для мошенников. Эксперты «Лаборатории Касперского» зафиксировали новую волну почтовых рассылок, в которых пользователям обещают купоны на топливо и участие в программах лояльности АЗС.

Только с 30 июня по 1 июля 2026 года специалисты обнаружили более 3 тыс. таких писем.

Пользователю приходит письмо с предложением зарегистрировать купон на топливо. Для этого нужно перейти на сайт и заполнить анкету. На фейковом ресурсе обещают бесплатное оформление, доступ к топливу на АЗС по всей России и быструю подачу заявки. Конечно, всё срочно, выгодно и только сегодня.

Но вместо купона пользователь отдаёт мошенникам свои данные. Причём теперь злоумышленников интересуют не только имя и номер телефона. В анкетах также просят указать марку и модель автомобиля, госномер, предпочитаемый тип топлива и регион использования машины.

По мнению экспертов, такие данные могут использоваться как заготовка для более убедительной атаки. Например, после заполнения анкеты мошенники могут позвонить жертве уже от имени программы лояльности или представителя АЗС. Дальше сценарий может быть любым: эксклюзивная топливная карта, предоплата за бронирование топлива, заправка вне очереди или другая красивая легенда, которая в итоге ведёт к хищению денег.

Для убедительности фейковые сайты копируют элементы настоящих сервисов: фирменное оформление, карты АЗС, личный кабинет, горячую линию и описание преимуществ программы. Всё это бутафория. Дополнительно давят на срочность: количество купонов якобы ограничено, а топливо нужного класса вот-вот закончится.

В «Лаборатории Касперского» напоминают: если за купон, ваучер или льготу просят ввести личные данные, данные машины или заранее перевести деньги — это красный флаг. Проверять нужно адрес сайта, источник письма и не переходить по сомнительным ссылкам.

Ранее специалисты уже фиксировали похожие топливные схемы: фейковые ваучеры на 100 литров топлива и вредоносные Android-приложения под видом сервисов поиска топлива.

Кроме того, на днях Минэнерго заявило о риске сбора данных на сайтах и в сервисах, которые показывают наличие топлива на заправках.

RSS: Новости на портале Anti-Malware.ru