Il y a presque un an, le média « Vajnye istorii » (Histoires importantes) publiait une enquête sur les liens entre Telegram et le FSB ; une version anglophone est parue sur le site de l'OCCRP. Les auteurs affirmaient que le service spécial pouvait construire un réseau de liens entre les utilisateurs de la messagerie dans le monde entier. Deux arguments étayaient cette thèse : la présence d'un identifiant d'appareil non chiffré (auth_key_id) dans le trafic, et les liens de Vladimir Vedeneev — propriétaire de la société Global Network Management (GNM), qui, selon l'enquête, gère une part importante de l'infrastructure serveur de Telegram.
Ce que l'expertise a révélé
En 2025, Vedeneev a déposé des plaintes contre le rédacteur en chef de « Vajnye istorii », Roman Anin, en Suisse, et contre l'OCCRP aux États-Unis. Pour étayer sa position, il a commandé une expertise à la société Symbolic Software, réalisée par son fondateur Nadim Kobeissi — chercheur franco-libanais en cryptographie appliquée, critique public du modèle de sécurité de Telegram. Kobeissi a reproduit l'étude technique de l'expert polonais Michał Woźniak, cité par « Vajnye istorii », et en a confirmé les principales conclusions : l'auth_key_id est bien un identifiant d'appareil, visible dans le trafic, conservé lors du redémarrage de l'application et du changement d'adresse IP, et les identifiants changeants peuvent être facilement corrélés en cas d'observation continue. Selon Kobeissi, cela permet de suivre les déplacements des propriétaires d'appareils, même s'ils changent de Wi-Fi ou de carte SIM.
Toutefois, comme l'écrit « Meduza », l'expert a émis des doutes sur d'autres conclusions de l'enquête. Il a indiqué qu'il est pratiquement impossible de reconstituer le graphe social d'un utilisateur — qui correspond avec qui — en raison de l'architecture centralisée de Telegram : le serveur déchiffre le message avec une clé, le chiffre avec une autre et le transmet au destinataire avec d'autres données, ce qui empêche d'identifier le destinataire. Toute conclusion sur des liens fondée sur la seule analyse du trafic sera probabiliste, affirme Kobeissi. L'exception concerne les rencontres hors ligne, où la coïncidence régulière de lieu et de temps permet d'établir un lien.
Critique de la méthodologie
Kobeissi critique également la méthodologie de l'enquête : selon lui, le lien entre le fournisseur d'infrastructure et les services spéciaux russes est établi par des preuves indirectes. Il a qualifié cela de « culpabilité par association » : le raisonnement repose sur le fait que la société de Vedeneev gère une partie de l'infrastructure de Telegram, que GlobalNet, qu'il a fondée, a des clients étatiques, et que, par conséquent, les services spéciaux pourraient avoir accès au trafic. À titre de comparaison, l'expert cite Signal, qui utilise l'infrastructure d'Amazon, laquelle a des contrats avec la CIA et la NSA, sans que cela implique des capacités particulières de surveillance des utilisateurs de Signal.
Kobeissi souligne toutefois que la critique de la présentation géopolitique ne remet pas en cause la réalité de la vulnérabilité : « La vulnérabilité technique est réelle et concerne tous les utilisateurs de Telegram, quels que soient les acteurs malveillants susceptibles de l'exploiter. Les fournisseurs d'infrastructure de tout pays — qu'il s'agisse de la Russie, des États-Unis, de la Chine ou d'autres États — sont potentiellement en mesure d'exploiter cette vulnérabilité s'ils ont accès au réseau. »
Ce que le FSB peut faire et comment se protéger
Selon l'estimation de « Meduza », le FSB pourrait théoriquement suivre les utilisateurs par identifiant, au moins sur le territoire russe, mais l'ampleur d'une surveillance de masse est difficile à évaluer. Une observation ciblée de certains appareils est possible : en vertu de la « loi Yarovaya », les opérateurs de télécommunications sont tenus de conserver le trafic pendant six mois et de le rendre accessible aux agents des services spéciaux. Un VPN remplace l'adresse IP, mais ne masque pas l'auth_key_id lors du transfert entre le serveur VPN et le serveur Telegram. Si le service spécial n'a pas accès aux données des fournisseurs d'infrastructure, le VPN aidera ; s'il y a accès, comme le supposent « Vajnye istorii », non. Kobeissi affirme que seuls les développeurs de Telegram peuvent combler la vulnérabilité.
Les développeurs de Telegram n'ont pas reconnu la vulnérabilité. Dans un message publié quelques semaines avant l'article, ils ont déclaré : « Tout observateur capable de voir votre auth_key_id voit aussi votre adresse IP, les noms des serveurs auxquels vous vous connectez, la nature de votre trafic, les requêtes DNS et bien d'autres choses. Cacher un identifiant qui change souvent, c'est comme fermer une fenêtre dans un bâtiment presque entièrement construit en verre. »
1
