Эксперты компании Symantec открыли в популярных мессенджерах уязвимость, которая позволяет манипулировать контентом. Злоумышленники могут сделать так, что отправлялось одно, но пришло совсем другое. Не спасает даже конечное шифрование end-to-end.
Открытая специалистами Symantec уязвимость позволяет манипулировать отправленными фотографиями и аудиофайлами. Например, отправленный друзьями скриншот карты с точкой встречи злоумышленники могут заменить на другое место встречи, где будут ожидать свою жертву. Преступники могут редактировать надписи на документах и реквизиты, заставляя жертву отправлять деньги не тому, кому было нужно.
Особое значение открытая уязвимость имеет из-за того, что мессенджеры хвастались наличием конечного шифрования (end-to-end). Так называется технология, когда сообщения шифруются на смартфоне отправителя, а расшифровать их может только получатель. Также их может расшифровать сам мессенджер, который хранит ключи шифрования на своих серверах, но об этом предпочитают не вспоминать, убеждая пользователей в полной безопасности конечного шифрования.
Возможность манипулировать отправленными в WhatsApp и Telegram файлами заключается в способе, в котором эти приложения хранят контент. По умолчанию WhatsApp контент находится в открытом виде. В Telegram контент хранится в таком виде, если активировать опцию «Сохранить в Галерею».
Исследователи Symantec создали программу, которая меняла отправленные через WhatsApp и Telegram файлы. В своем демонстрационном видео они показали, как можно отправить фото двух друзей, но получателю поступит фото, на котором вместо друзей будет два Николаса Кейджа.
Эксперты говорят, что защититься от дыры можно, если изменить функции работы с медиа. На WhatsApp необходимо выключить функцию «Видимость медиа». В Telegram нужно отключить опцию «Сохранить в Галерею».
