¿Es Telegram realmente seguro para los activistas en ambientes represivos? Imagen por Kevin Rothrock.

El 29 de abril, dos activistas opositores rusos reportaron que sus cuentas de Telegram habían sufrido un ataque remoto. Georgy Alburov, líder de la Fundación anticorrupción, y Oleg Kozlovsky, director del Vision of Tomorrow Center en Moscú, creen que el acceso no autorizado a sus cuentas fue obtenido mediante la manipulación del login SMS de la aplicación. Sospechan que el gobierno ruso pueda haber estado involucrado en el hackeo.

У кого ночью взломали телеграм, тот я. Интересно, как это возможно? СМС с помощью МТС перехватили? pic.twitter.com/K17uMQhIe6

— Георгий Албуров (@alburov) April 29, 2016

¿A quién le hackearon la cuenta de Telegram anoche? A mi. Me pregunto ¿cómo es posible? ¿Secuestrar mensajes de texto con la asistencia de MTS?

Вот как-то так это выглядит. @Telegram, разберитесь там, а? pic.twitter.com/CI6KV6sjiX

— Олег Козловский (@kozlovsky) April 29, 2016

Aquí está como se ve. @Telegram, ¿puedes lidiar con esto?

¿Qué sucedió exactamente?

Los activistas destacaron, que según los mensajes que recibieron, los intentos de acceso no autorizado del 29 de abril se originaron en la misma dirección IP de Nueva York. Alburov también señaló que los hackers usaron una línea de comandos poco conocida de Telegram, TelegramCli, para acceder a sus cuentas.

Aunque a ambos activistas eventualmente les llegaron notificaciones de login sospechosas, no recibieron avisos de solicitud de cambio de contraseña ni pedidos de autenticación, y recién se enteraron de los intentos de acceso cuando Telegram los alertó de que habían accedido a sus cuentas desde un nuevo dispositivo.

Entonces ¿cómo consiguieron los hackers acceder a Telegram?

Alburov y Kozlovsky recurrieron al servicio de asistencia de Telegram, y recibieron una respuesta que decía que habían accedido a sus cuentas mediante autorización basada en texto, que permite a los usuarios conectar nuevos dispositivos a cuentas de Telegram con solo ingresar un código de verificación recibido vía mensaje de texto. Como ni Alburov ni Kozlovsky tenían activada la verificación en dos pasos en sus cuentas, los hackers lograron acceder.

¿Quién está detrás del ataque?

El interrogante permanece: ¿Cómo consiguieron el mensaje de texto los hackers sin que los titulares de las cuentas lo notaran? Kozlovsky sometió a un implacable interrogatorio al equipo de asistencia técnica de MTS, uno de los principales proveedores de telefonía celular de Rusia, y descubrió que el servicio de envío de mensaje de texto para su tarjeta SIM permaneció desactivado durante varias horas la noche en que su cuenta de Telegram fue hackeada. Pese a que un vocero de MTS luego negó que haya existido actividad «intencional» orientada a desactivar servicios, Kozlovsky considera que la empresa proveedora está directamente implicada en el incidente. El activista resumió sus hallazgos en una publicación en Facebook en la que intentó reconstruir los hechos:

События развивались следующим образом:
В 2:25 ночи отдел технологической безопасности МТС отключает мне сервис доставки SMS-сообщений.
Через 15 минут, в 2:40, кто-то с Unix-консоли по IP-адресу 162.247.72.27 (это один из серверов анонимайзера Tor) отправил в Telegram запрос на авторизацию нового устройства с моим номером телефона.
Мне было отправлено SMS с кодом, которое доставлено не было (сервис для меня отключен).
В 3:08 злоумышленник вводит код авторизации и получает доступ к моему аккаунту. Telegram присылает мне автоматическое уведомление об этом (которое я прочитаю только утром).
В 3:12 аналогичным образом с того же IP-адреса (т.е. через ту же сессию Tor) взламывается аккаунт Жоры Албурова.
В 4:55 отдел технологической безопасности МТС вновь включает мне сервис доставки SMS.
Причину отключения и включения сервиса МТС мне назвать отказалось, предложив написать письменный запрос.

He aquí cómo se desarrollaron los hechos:
A las 2:25 am el departamento de seguridad técnica de MTS desactiva el servicio de envío de mensajes de texto para mi número.
15 minutos después, a las 2:40 am, alguien usa una consola Unix con la dirección IP 162.247.72.27 (este es un nodo de salida Tor para navegar en modo anónimo) para enviar a Telegram una solicitud de autorización para que un nuevo dispositivo opere con mi número telefónico.
Luego me envían un mensaje de texto con el código, que nunca recibí (porque el servicio estaba desactivado para mi).
A las 3:08 am el hacker ingresa el nuevo código de autorización y accede a mi cuenta. Telegram me envía una notificación automática (que recién vi la mañana siguiente).
A las 3:12 am la cuenta de Zhora Alburov es hackeada de modo similar desde la misma dirección IP (y desde la misma sesión en Tor).
A las 4:55 am el departamento de seguridad técnica de MTS reactiva el servicio de envío de mensajes de texto para mi número.
MTS se negó a señalar la causa por la que desactivó y reactivó el servicio para mi número, y sugirió que presentara una solicitud de información por escrito.

Lo que aún no queda claro es cómo los hackers lograron interceptar el mensaje de texto que contenía el nuevo código de autorización. Según Vladislav Zdolnikov, experto en tecnología que trabaja en la Fundación anticorrupción, el ataque pudo haber sido orquestado por el Servicio estatal de seguridad ruso (FSB) junto con MTS, con el propósito de acceder a los registros de conversaciones de los activistas. Zdolnikov especula que el mensaje de texto pudo haber sido interceptado usando una tarjeta SIM clonada o directamente en la puerta de acceso SMS perteneciente a MTS, como una colaboración de la empresa con las autoridades a través del sistema SORM.

Нет никаких сомнений, что эта целая спецоперация была организована и частично выполнена именно ФСБ. Ни у какой больше организации нет возможности ночью отключать и включать услугу SMS через отдел технической безопасности федерального оператора связи.

No existen dudas acerca de que toda esta operación especial fue organizada y ejecutada en parte por FSB. Ninguna otra organización tiene la capacidad para desactivar mensajes de texto de noche a través del departamento de seguridad técnica de un operador federal de telecomunicaciones.

El SORM, “Sistema para operaciones de investigación,” es el sistema integral de vigilancia de comunicaciones ruso que funciona desde 1996 para intervenir comunicaciones telefónicas. Con el paso del tiempo ha evolucionado para suministrar mayor acceso a comunicaciones electrónicas, incluyendo la instalación de cajas negras con ISP rusos para obtener acceso al tráfico de Internet.

En abril pasado, numerosos periodistas rusos, incluso Roman Shleynov que trabajó con OCCRP en la investigación de los Panama Papers, y Oleg Kashin, mencionaron haber recibido advertencias de seguridad de Google acerca de posibles intentos aprobados por el estado de hackear sus cuentas de correo electrónico. En setiembre de 2015, un editor y un periodista del periódico Novaya Gazeta reportaron que sus cuentas de correo habían sido hackeadas por personas que obtuvieron duplicados no autorizados de sus tarjetas SIM de las compañías de telefonía móvil.

¿Cómo pueden protegerse los usuarios de Telegram?

En respuesta a la noticia del hackeo, el colaborador de Bellingcat Frederick Jacobs se refirió a casos similares de manipulación del login en SMS para atentar contra cuentas de Telegram ocurridos en Irán a principios de este año, y criticó las cuestiones de seguridad de los logins que usan mensajes de texto.

SMS are trivial to intercept for your telecom provider. And in almost all countries, they are actively cooperating with the state to help intercept text messages and phone calls. […]
If a single SMS enables you to get access to a user’s account and data, you designed your system with a backdoor that any serious adversary can exploit.

Los SMS son fáciles de interceptar para tu proveedor de servicio de comunicaciones. Y en casi todos los países, esas empresas están cooperando activamente con el estado para interceptar mensajes de texto y llamadas telefónicas. […]
Si un solo SMS permite acceder a la cuenta e información de un usuario, diseñaste tu sistema con una puerta de atrás que cualquier adversario serio puede aprovechar.

El fundador de Telegram Pavel Durov reaccionó ante la noticia convocando a los usuarios de la aplicación de «países conflictivos» a activar la verificación en dos pasos como medida de precaución.

Users from troubled countries: make sure you have 2-step verification enabled – in Telegram and other services https://t.co/w81h4PjFv4

— Pavel Durov (@durov) April 29, 2016

Usuarios de países conflictivos: asegúrense de tener activada la verificación en 2 pasos – en Telegram y demás servicios

Jacobs, no obstante, considera que los usuarios en ambientes represivos deben ser incluso más cautos y harían bien en «usar siempre encriptación de punto-a-punto» y «verificación por huellas digitales para comunicaciones importantes», para evitar los peligros de la falsificación de cuentas.