L'audit, réalisé par la société Symbolic Software et obtenu par Important Stories, a montré que les clients Telegram transmettent des messages de telle sorte qu'un identifiant appelé « auth_key_id » apparaît en clair ou sous une forme facile à désobfusquer. Cet identifiant reste inchangé d'une session à l'autre, lors d'un changement d'adresse IP, de réseau ou de localisation géographique.
Cela signifie qu'un fournisseur d'accès Internet, un administrateur réseau, un système de surveillance étatique ou tout autre acteur ayant un accès passif au trafic Telegram peut collecter ces identifiants sans casser le chiffrement, sans intercepter de certificats et sans intervenir activement dans la connexion.
Selon les experts, un tel accès permettrait à un observateur de constituer une base de données reliant des appareils spécifiques à des emplacements réseau, des horodatages et la nature du trafic. Si l'identité de l'utilisateur est connue par d'autres sources, ces mêmes données peuvent servir à suivre l'appareil dans le temps.
Contexte : l'enquête de 2025
En 2025, une enquête de l'OCCRP et d'IStories a révélé que l'ingénieur réseau russe Vladimir Vedeneev occupait le poste de directeur financier de Telegram, disposait d'une procuration pour signer des documents au nom de Telegram et de son fondateur Pavel Durov, et gérait des sociétés liées à des structures étatiques et de sécurité russes, dont le FSB. Vedeneev lui-même a reconnu avoir un superviseur au FSB et réagir aux demandes des services spéciaux concernant les internautes russes. Vedeneev a nié l'existence de la vulnérabilité décrite par les journalistes et affirmé ne pas transmettre de données Telegram au FSB.
La position de Telegram
Telegram a rejeté les dernières conclusions. Dans sa réponse à Important Stories, l'entreprise a déclaré que le paramètre « auth_key_id » change régulièrement et ne révèle pas d'informations sur les utilisateurs, le contenu des messages, les destinataires ou les données personnelles. Telegram a également indiqué que son infrastructure est gérée exclusivement par des équipes d'ingénieurs internes, et a nié tout lien entre Vedeneev ou sa société GNM et le FSB.
1
