11月13日、Android版Telegramの脆弱性が報告され、侵害された端末上の他のアプリが重大な危険にさらされる恐れがあるとして、緊急の警告が発表されました。
セキュリティ企業V12が、ボットのメッセージによってスマートフォンの電卓アプリが勝手に起動する様子を示した後、この警告が発表されました。これはリモートコード実行（RCE）の典型的な証拠です。つまり、部外者が本来実行すべきでないコマンドを端末に実行させるということです。
実際に何が起きたのか？
1. 11月9日 — Telegramがウィジェットを公開
Telegramでは、ボットがチャットメッセージ内で「ウィジェット」——小さなアプリ——を送れるようになりました。ゲーム、投票、ミニアプリ、そしてTelegramのセルフカストディ型ウォレットを通じたGramでの支払いが可能です。$TON
2. 11月11日 — 誰もが衝撃を受けたデモ
V12は、ボットのメッセージをきっかけにAndroidの電卓アプリが勝手に開く様子を示す動画を投稿しました。V12は攻撃の仕組みを公表しておらず、現時点で独立した第三者による確認もありません。
報告によると、Telegramのウィジェットエンジンにメモリバグがあり、不正なJavaScript関数によってメモリが破損し、ウィジェットがサンドボックスの外に出られる可能性があるとのことです。
3. 11月11日から13日 — Telegramが修正済みと発表
Telegramは、Telegram for Androidの問題を修正し、すべてのユーザーに修正を適用したと発表しました。修正はTelegram for Android 13.2.2に導入され、ウィジェットのコードは分離された独立プロセスに移されました。
ただし、修正をインストールして初めて保護されます。だからこそ、この警告は緊急性の高いものでした。
これはあなたのセキュリティにどう影響するのか？
多くの人はこう考えます。「Telegramだけの話でしょ。お金は取引所にあるし」
そう単純ではありません。
1. 端末の侵害 = アプリの侵害
攻撃者があなたのスマートフォンでコードを実行できるようになれば、Telegramだけにとどまりません。理論上、次のようなことを試みる可能性があります。
- アプリへのログイン状態を維持するセッショントークンを読み取る。2FAは、すでにログイン済みのセッションを保護しません
- ファイル、写真、クリップボードにアクセスする — 多くの人が今でもシードフレーズを保存しています
- 同じ端末にある他のアプリからデータを盗む
2. 暗号資産ユーザーは格好の標的
暗号資産の活動の場はTelegramです。取引グループ、エアドロップボット、P2Pの売り手、「サポート」ボットなどがあります。攻撃者は、暗号資産ユーザーがボットの「Start」をタップすることを知っています。V12のデモでは、ユーザーがボットのチャットで「Start」をタップすると、コードが実行されました。
また、Telegram Walletは自己管理型のため、送金を取り消すことはできません。
3. Telegramでは、1か月のうちにAndroid関連の懸念が2度発生
10月29日、セキュリティ企業NebuSecは、Telegramの音声通話とビデオ通話におけるメモリ破損の脆弱性を公表しました。被害者は通話に応答するだけでよかったのです。Telegramは、バージョン12.10.4ですでに修正済みだと発表しました。
異なる2つの機能から得られる教訓は同じです。新機能 = 新たな攻撃対象領域。
論争
11月13日、Telegramの創設者パベル・ドゥーロフは、この脆弱性は説明どおりには「存在しない」と述べ、ハッカーに自分のアカウントをハッキングしてみろと挑発しました。メッセージを受信しただけでは不十分だと主張しました。
重要な補足：
- CVEは割り当てられていません
- 実環境での攻撃は確認されていません
- V12は完全な技術的証拠を公開していません
つまり、これは報告または実演されたものであり、現実世界で悪用されたとまだ証明されてはいません。だからといって、無視してよいわけではありません。
今すぐすべきこと — 5つのステップ
1. Google PlayからTelegram for Androidをバージョン13.2.2以降にアップデートしてください。APKをサイドロードしないでください。
2. 知らないボットを起動しないでください。特に、エアドロップや無料の暗号資産、「ウォレットを認証してください」とうたうボットには注意してください。
3. アップデートが完了するまで、ウィジェットを多用しているチャットを開かないでください。
4. シードフレーズをスマートフォンから移してください。スクリーンショット、メモアプリ、Telegramの保存済みメッセージには保管しないでください。
5. セッションを確認してください。Telegram > 設定 > デバイスを開き、見覚えのないセッションからログアウトします。暗号資産取引所のアプリでも同じことをしてください。
結論
暗号資産の世界では、スマートフォンは銀行そのものです。
銀行、ウォレット、2FAアプリ、チャットアプリがすべて1台の端末に入っている場合、1つのアプリの脆弱性が、それらすべての脆弱性になりかねません。
今すぐアップデートしてください。信頼できないボットの「Start」をタップしないでください。そして、Telegramを鍵の安全な保管場所だと思わないでください。
セキュリティが第一。簡単でしょ。SAFUを心がけて。
いいね、シェア、フォローで応援してください。