Нещодавно зламали Телеграм-канал Беларускі Гаюн. Бот збирає та аналізує дані про переміщення російських і білоруських військ на території Білорусі від користувачів з різних регіонів країни.

Як передає Детектор медіа, в чатбот зайшли через старе посилання, створене 2 березня 2022 року. На той момент у налаштуваннях чату не була активована функція «приховати повідомлення для нових користувачів». Телеграм-канали, пов’язані з білоруськими силовиками, почали поширювати інформацію про витік даних і погрожувати тим, хто надсилав інформацію “Білоруському Гаюну“.

Цим інцидентом ми хочемо нагадати вам про необхідність комплексного підходу до захисту джерел і даних. Тут не йтиметься про вибір платформи, а про захист того, що вже використовується.

За простими словами “Telegram-бот” зазвичай криється ціла інфраструктура з безліччю ланок, по яких передається чи зберігається чутлива інформація. Наприклад, користувач надсилає повідомлення в Telegram-бот юридичної підтримки, який обробляє його на сервері, може зберігати у базі даних, передавати в CRM-систему, надсилати у внутрішній чат підтримки та відправляти відповідь користувачу. У цьому прикладі вже зберігають повідомлення мінімум 5 окремих систем. Кожна з них має свої вразливості.

Якщо ви дуже хвилюєтесь за захист джерел, ми рекомендуємо задуматись над Data Retention, тобто максимально зменшити термін життя чутливої інформації. Отримали, обробили і якнайшвидше видалили. Чутливими можуть бути:

⋅ Вміст повідомлень та історія переписки
⋅ ПІБ, номер телефону, адреса, пошта
⋅ Telegram-ID, username, IP- адреса, дані геолокації
⋅ Фото, скани документів

Чутлива інформація = токсична інформація. Чим довше зберігаєте інформацію про джерела на ТоТ, повідомлення, ідентифікатори – тим більший ризик “отруїти” життя людей, які довірились вам.

Як оцінити захищеність Telegram-бота

Ділимося із вами списком запитань, які ми задаємо при оцінюванні захищеності Телеграм-ботів. Цей список невичерпний і його можна доповнювати. Запитання насамперед адресовані розробникам, проєктним менеджерам або техпідтримці бота.

Як влаштована інфраструктура бота?
⋅ Яка платформа використовується для хостингу?
⋅ Чи має вона російське походження або юридичний зв’язок із РФ?
⋅ Які сервери, хостинг-платформи чи сторонні сервіси беруть участь у його роботі?
Чи потрапляють повідомлення в групові чати Telegram?
⋅ Якщо бот надсилає повідомлення в Telegram-чат, хто має до нього доступ? Хто адміністратор?
⋅ Чи можуть нові учасники побачити старі повідомлення?
⋅ Як учасники чату захищають свої Telegram-акаунти?

На який обліковий запис зареєстрований бот і як він захищений?
⋅ Хто володіє акаунтом, до якого прив’язаний бот (Owner)?
⋅ Чи ввімкнена двофакторна автентифікація?
⋅ Як зберігається API-ключ бота?

Хто має доступ до керування ботом?
⋅ Як організований контроль доступу до адміністративних панелей бота (логін, пароль, 2FA, сповіщення про вхід)?
⋅ Чи є організація власником всіх необхідних доступів, чи вони повністю\частково у розробників?

Як захищені пристрої, з яких є доступ до інформації з бота?
⋅ Чи використовуються надійні паролі, антивіруси, шифрування даних на пристроях власника/адміністраторів/користувачів?

Як обробляються та зберігаються чутливі дані?
⋅ Чи зберігаються персональні дані користувачів (ім’я, телефон, Telegram-ID, повідомлення)?
⋅ Чи використовуються шифрування та інші методи захисту від витоку інформації на кожній ланці?

Як довго зберігається чутлива інформація?
⋅ Чи є механізм видалення чутливої інформації після певного часу?
⋅ Автоматично чи вручну?
⋅ Якщо бот стане непотрібним, що буде далі

Чи ведеться журнал доступу та змін у боті (логи)?
⋅ Чи можна відстежити, хто і коли мав доступ до даних?
⋅ Чи є логування операцій із чутливою інформацією

Чи є постійна техпідтримка?
⋅ Чи регулярно встановлюються оновлення безпеки для коду бота та інфраструктури?
⋅ Що буде якщо закінчаться гроші, проєкт і не буде за що оплачувати техпідтримку, хостинги та інше?