Ситуация... ты сидишь в баре, пошел отлить и оставил разлоченным телефон на столе 😗 на 30 секунд. Этого времени хватит, чтобы захакать тебя без всяких троянов и уязвимостей.
Злоумышленник (новый кореш, ревнивая жена, коллега по работе, женщина ханипот) берет твой телефон, заходит в настройки ТГ-Бизнес и привязывает заранее заготовленного бота к твоему аккаунту 😱
Ты возвращаешься, берешь телефон и ничего не подозреваешь. Твои переписки с мамой, начальником и etc 👩🦰 выглядят как обычно, никаких плашек бота нет.
НО! Если тебе напишет новый, специально обученный контакт (или если бот сам инициирует), бот мгновенно перехватит сообщение. Бот живет на серверах ТГ и даже если выключить телефон, вынуть симку и закрыть все активные сессии, то бот продолжит читать и обрабатывать триггеры, потому что у него есть API-токен к акку.
В довесок пытливые умы раскопали еще один шикарный баг с отложенными сообщениями. Хацкер с твоего телефона отправляет самому себе сообщение с параметром (Отправить, когда абонент появится в сети), а затем удаляет этот чат у тебя. В интерфейсе полная чистота. Но когда условие срабатывает, сервер ТГ пушит ивент об отправке. Получается скрытый канал связи 😱
З.ы. Разблокированный смартфон в чужих руках дольше 10 секунд это уже скомпрометированный девайс ⚰️
Не лишним будет зайти в (
Настройки -> Telegram для бизнеса -> Чат-боты) и проверить, не висит ли там какой-нибудь левый бот, который прямо сейчас без палева пересылает данные кому надо 😬Типичный 🥸 Сисадмин