Перевірка, виконана компанією Symbolic Software і отримана Important Stories, показала: клієнти Telegram передають повідомлення так, що ідентифікатор під назвою «auth_key_id» виявляється у відкритому вигляді або у формі, яку легко деобфусціювати. Цей ідентифікатор залишається незмінним між сесіями, при зміні IP-адреси, перемиканні мережі та зміні географічного розташування.
Це означає, що інтернет-провайдер, адміністратор мережі, система державного нагляду або будь-який інший суб'єкт з пасивним доступом до трафіку Telegram може збирати такі ідентифікатори, не зламуючи шифрування, не перехоплюючи сертифікати і не втручаючись активно в з'єднання.
За словами експертів, подібний доступ дозволив би спостерігачеві створити базу даних, що пов'язує конкретні пристрої з мережевими локаціями, часовими мітками та характером трафіку. Якщо особа користувача відома з інших джерел, ці ж дані можна використовувати для відстеження пристрою в часі.
Передісторія: розслідування 2025 року
У 2025 році розслідування OCCRP та IStories виявило, що російський мережевий інженер Володимир Веденєєв працював фінансовим директором Telegram, мав довіреність на підписання документів від імені Telegram та його засновника Павла Дурова, а також керував компаніями, пов'язаними з російськими державними та силовими структурами, включно з ФСБ. Сам Веденєєв визнавав наявність куратора з ФСБ і те, що реагував на запити спецслужб, які стосувалися російських інтернет-користувачів. Веденєєв заперечував існування уразливості, описаної журналістами, і заявляв, що не передає дані Telegram ФСБ.
Позиція Telegram
Telegram відкинув останні висновки. У відповіді Important Stories компанія заявила, що параметр «auth_key_id» регулярно змінюється і не розкриває інформацію про користувачів, зміст повідомлень, одержувачів або особисті дані. Telegram також повідомив, що його інфраструктурою керують виключно внутрішні інженерні команди, і заперечив зв'язок Веденєєва або його компанії GNM з ФСБ.
1
