Аккаунты WhatsApp и Telegram можно было взламывать с помощью замаскированных заражённых картинок

Исследователи Check Point рассказали о новой хакерской атаке с использованием изображений и других похожих файлов, направленной на пользователей WhatsApp и Telegram. Компании удалось создать вредоносную картинку, превью-версия которой выглядела абсолютно нормально, но перенаправляла пользователей на вредоносную HTML-страницу. При переходе на неё пользователи, сами того не зная, предоставляли злоумышленникам доступ ко всем локальным данным и, таким образом, позволяли им похитить свои аккаунты.

«Просто отправив невинно выглядящее фото, хакер мог получить контроль над аккаунтом, доступ к истории сообщений, всем фото, которыми когда-либо делился пользователь, а также отправлять сообщения от лица пользователя», — рассказал Одед Вануну (Oded Vanunu), руководитель по исследованию уязвимостей продуктов Check Point.

В случае с WhatsApp пользователь должен был намеренно открыть полученное изображение. Использовать уязвимость в Telegram было сложнее — человеку нужно было открыть видео в отдельной вкладке в Chrome, что, по словам одного из разработчиков мессенджера, происходит очень редко.

Check Point сообщила о наличии уязвимостей обоим сервисам ещё 8 марта, после чего как Telegram, так и WhatsApp внесли все необходимые изменения в свои мессенджеры, чтобы защитить пользователей от похожих атак.

В отличие от ряда почтовых и чат-сервисов, разработчики WhatsApp и Telegram не могут читать сообщения своих пользователей — это условие является ключевой частью сквозного шифрования. Тем не менее, в данном случае это могло быть скорее недостатком, чем преимуществом — так злоумышленникам легче было отправлять вредоносные файлы и оставаться незамеченными.