Telegram Desktopの重大な脆弱性によりローカルの任意ファイルが窃取される可能性、バージョン7.2.9で修正済み

普段Telegramでチャットをしていて、ウェブリンクをクリックしただけで、パソコン内のファイルがこっそり丸ごと持ち出されるなんて考えたことはありますか？

Telegram Desktopにあったこの重大な脆弱性は、かなり巧妙です。ハッカーは、外部からクライアントを起動したときの解析処理の不備を悪用します。ブラウザーで細工されたリンクをクリックさせるだけで、Telegramの権限を利用してローカルの機密ファイルやSessionキーを盗み、二段階認証まで直接回避できます。

いくつか所感をお話しします。
ソフト間の連携が最大のセキュリティ上の盲点

普段はチャットで送られてくる危険なファイルには警戒していても、ウェブページからシステムプロトコルを通じてデスクトップアプリを直接起動する仕組みは見落としがちです。こうしたソフト間の連携について、厳格なセキュリティ分離を行っていない開発者は少なくありません。

ハッカーにとっては、パソコンを直接乗っ取るより認証情報を盗むほうが手っ取り早い

最近のハッカーはますます現実的です。パソコンの最高権限を奪うのは大変ですが、アカウントの認証情報を直接盗むほうが簡単です。Sessionキーを手に入れれば、いつでもアカウントにログインできるため、気づかれにくく効率的です。

今後は、DiscordやSlackなど、カスタムプロトコルを使って起動するほかのソフトも、ハッカーに狙われて脆弱性を掘り起こされる可能性が高いでしょう。

どうすれば防げる？
▶️すぐにソフトをバージョン7.2.9以降にアップデートする
▶️Telegramの自動ダウンロード機能をオフにする
▶️ブラウザーに「外部アプリを開くことを許可しますか」と表示されたら、自分で操作していない場合は必ず拒否する