Новая функция Telegram раскрывает аккаунты перешедших по ссылке

В конце октября Telegram начал распространять версию 13.1 с функцией, которая связывает переход по специальной ссылке с конкретным аккаунтом. Механизм задумывался как способ бесплатно написать незнакомому пользователю, но фактически превращает ссылку в инструмент скрытой идентификации. Посетителю достаточно одного клика, чтобы его учётная запись попала в список к отправителю, — отправлять сообщение для этого не нужно.

Владелец профиля создаёт приглашение через настройки QR-кода, выбирая опцию Remove message fee. Ссылка содержит токен доступа, а её внешний вид легко изменить так, чтобы адресат думал, что переходит на сайт или в публичный профиль. По умолчанию код действует одну минуту, но ограничение снимается, а сбросить токен можно вручную. Первые тестовые сборки с этой возможностью появились 17 октября в бета-версиях для iOS 13.0.1, macOS 13.0 и Android 13.1.

Как только получатель открывает ссылку, его аккаунт появляется у владельца в списке исключений для платных сообщений. В официальной локализации мессенджера для отправителя предусмотрено уведомление о том, что собеседник воспользовался QR-кодом, а посетитель видит сообщение о предоставленном бесплатном доступе. Авторы исходного сообщения предполагают, что регистрация перешедших может быть не ошибкой, а запланированной частью функции. Публичного подтверждения от разработчиков, что это поведение признано уязвимостью, пока нет.

Деанонимизация угрожает анонимным каналам коммуникации

В российской практике Telegram часто используют для конфиденциальных переговоров и связи внутри закрытых сообществ, в том числе в ИТ- и ИБ-среде. Ссылки на «бесплатное сообщение» можно распространять через личные чаты, корпоративные группы и публичные каналы под видом служебных материалов, вакансий или обезличенных анкет. Переход по такой ссылке раскрывает реальный аккаунт и публичные данные профиля второй стороне, даже если диалог не начался. Это разрушает анонимность и может использоваться для сбора контактов или подготовки точечного фишинга.

Что делать для защиты от скрытых ссылок Telegram

До появления официальных разъяснений стоит проверять фактический адрес перед открытием любой ссылки, ведущей на профиль Telegram с незнакомым параметром. Если в URL есть дополнительные токены или строка выглядит подозрительно, безопаснее найти нужный профиль вручную через поиск мессенджера. Сотрудникам, которые обсуждают чувствительные темы в Telegram, важно понимать принцип работы новой механики, чтобы избегать неосторожных переходов по ссылкам от неизвестных отправителей.