Еще одно подтверждение что охотиться за данными можно не имея доступа к платформе.

Речь пойдет о ханипоте swiftgram.

Данное приложение сливает все ip и другие метаданные в связке со всеми вашими аккаунтами и большую часть ваших диалогов (id собеседников), чуть позже расскажу, как, а пока что покажу влияние этого приложения:

Сейчас swiftgram единственное приложение telegram с интересным функционалом которым приятно пользоваться, дает очень крутые фишки, в нем удобно видеть айди, дц, весь функционал описан на их ресурсах, да и код открыт.
А на упрек в сборе данных разработчики ответили здесь:

https://t.me/adurovleaks/650?comment=23347

Вкратце, сказали, мол, зачем выбрали нас, есть куда более очевидные клиенты собирающие данные. И я объясню, почему в случае swiftgram это хуже.

Пользователями swiftgram являются не дурачки, которые зайдут на первую попавшуюся фишинговую ссылку и которые сразу установят себе файл который им скинут, а люди, которые разбираются выше среднего в telegram, и на них, а также их круг знакомых нацелен данный «honeypot».

Множество раз видел как в «серой» тематике используют именно этот клиент, эти люди очень часто имеют iphone (это клиент только под ios кстати), не будут ставить фрипремиумграм+, так как же собрать с них данные?

Можно преподать им красивый клиент лаконично сочетающий в себе дополнительную функциональность (безлимитные аккаунты те же - подумайте, каким людям это нужно, зачем), который будет к тому же opensource. Учитывая как люди требующие безопасность ведутся на pinephone и прочий шлак, не удивительно, что этот действительно удобный и функциональный клиент имеет аудиторию.

Теперь факты:
- разработчик заявил о 400к mau
- при каждой авторизации (а вроде бы и чаще) приложение открывает miniapp и сливает туда ваш useragent и ip в связке с аккаунтом (в общем, все что сливает миниапп телеграм при открытии).
- при каждом открытии профиля, приложение с сервера запрашивает дату регистрации для id, сливая ему таким образом связку вас и пользователя, а также даты самого открытия (дата отправки запроса) (кэшируется, и можно отключить, но очевидно почти никто этого делать не будет)

Возможно для вас это совершенно некритично, но подумайте, сколько людей сами того не думая «сдеанонили» эти люди? К в десяткам раз большему числу людей можно «подобраться» через пользователей только этого приложения.

Конечно, разработчики могут заявить что ничего они не собирают, логи не ведут. Но тот же exteragram сделал загрузку списка платных подписчиков через отдельный канал, таким образом отправляя запросы только к telegram не деанонимизиуруя пользователя при этом.

🤦‍♂️🤦‍♂️🤦‍♂️