Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Telegram
Filtración de datos de Telegram
En 2016, los atacantes explotaron la API de importación de contactos de Telegram para extraer los números de teléfono e IDs de usuario de millones de usuarios, un incidente que afectó de manera desproporcionada a los usuarios en Irán. Por separado, en junio de 2024, un conjunto masivo de datos de credenciales compuesto por 361 millones de direcciones de correo electrónico, recopilado de canales de cibercrimen en Telegram donde se comercian rutinariamente credenciales robadas, se agregó al servicio de notificación de filtraciones Have I Been Pwned (HIBP).
Este segundo conjunto de datos no provino en absoluto de la infraestructura de Telegram; Telegram fue el canal de distribución de credenciales robadas en filtraciones de otros sitios, no la fuente de la filtración. Juntos, estos incidentes ilustran dos amenazas muy distintas: el abuso de API que expone metadatos de la plataforma, y el uso de aplicaciones de mensajería cifrada como mercados para el robo de credenciales.
Filtración de datos de Telegram explicada: ¿qué pasó?
El incidente de scraping de la API de 2016 ocurrió principalmente ese año, con los primeros reportes surgiendo en agosto de 2016, afectando particularmente a usuarios en Irán. El conjunto de datos completo de ese incidente se difundió más tarde en foros de la dark web, y una parte fue filtrada por el grupo hacktivista Handala Hack en 2020.
Por separado y sin relación alguna, en junio de 2024 —no julio de 2020—, el servicio Have I Been Pwned agregó un conjunto de datos de 361 millones de registros de direcciones de correo electrónico y contraseñas. Este conjunto se extrajo de canales de cibercrimen en Telegram, donde los actores de amenazas comparten credenciales robadas como "combolists". Los datos de este conjunto se originaron en ataques de credential-stuffing, filtraciones de datos de otros servicios y malware ladrón de contraseñas, no de ninguna vulnerabilidad de la API de Telegram.
¿Cuándo ocurrió la filtración de datos de Telegram?
La recopilación de datos ocurrió en 2016, pero el alcance e impacto total se conoció ampliamente cuando la base de datos de 361 millones de cuentas se agregó al servicio Have I Been Pwned en julio de 2020.
¿Quién hackeó Telegram?
Si bien la extracción inicial de datos en 2016 no se atribuyó a un grupo específico, un grupo hacktivista propalestino conocido como "Handala Hack" se atribuyó más tarde la responsabilidad de filtrar una parte de los datos. Presentaron la filtración como un golpe contra los ciudadanos israelíes que usaban la plataforma. Sin embargo, las identidades detrás de la explotación original de la API siguen sin confirmarse.
¿Cómo ocurrió la filtración de Telegram?
Los atacantes explotaron una vulnerabilidad en la función de importación de contactos de Telegram. Al subir una lista masiva de números de teléfono a la API, podían determinar qué números estaban asociados con cuentas activas de Telegram y obtener los ID de usuario correspondientes. Este proceso, conocido como data scraping, les permitió construir una gran base de datos que conectaba números de teléfono con perfiles de usuario sin romper nunca el cifrado de extremo a extremo de Telegram.
Cronología de la filtración de datos de Telegram
2016 Incidente de scraping de la API
2016: Los atacantes explotan la API de importación de contactos de Telegram para enumerar qué números de teléfono están asociados con cuentas activas, recolectando ID de usuario a gran escala.
Agosto de 2016: Surgen reportes sobre la vulnerabilidad, afectando particularmente a usuarios iraníes. Telegram reconoce el problema, pero caracteriza los datos como ya públicos.
Principios de 2020: Una parte de los datos extraídos aparece a la venta en foros de la dark web.
Junio de 2020: El grupo hacktivista Handala Hack afirma filtrar un subconjunto de registros dirigidos a usuarios israelíes de Telegram.
En curso: Telegram implementa límites de frecuencia en la API para reducir más scraping a gran escala. Conjunto de datos de combolist de HIBP de 2024 (incidente separado y no relacionado)
Junio de 2024: Un investigador de seguridad anónimo comparte 122 GB de credenciales extraídas de miles de canales de cibercrimen en Telegram con Troy Hunt, de Have I Been Pwned. El conjunto de datos contiene 361 millones de direcciones de correo electrónico únicas junto con contraseñas y, en muchos casos, los sitios web a los que pertenecen las credenciales. Hunt agrega los datos a HIBP el 4 de junio de 2024. Estos datos se originan en ataques de credential-stuffing, filtraciones de datos de terceros y malware infostealer, no de ninguna vulnerabilidad en los propios sistemas de Telegram. El papel de Telegram fue el de plataforma de distribución usada por los cibercriminales para compartir los datos robados.
Agosto de 2024 — Arresto de Pavel Durov (ver sección dedicada más abajo)
Detalles técnicos
El núcleo del ataque fue una forma de abuso de la API. Los atacantes automatizaron el proceso de introducir números de teléfono en el sistema de Telegram para ver cuáles registraban una "coincidencia" con una cuenta activa. Una vez identificada una cuenta, la API devolvía la información pública del usuario, incluido su ID de usuario. Los atacantes no necesitaron descifrar mensajes ni comprometer servidores; simplemente abusaron de una función legítima a una escala masiva para recolectar datos disponibles públicamente.
Indicadores de compromiso (IoC)
Dado que no se trató de un ataque tradicional basado en malware, no hay hashes específicos, direcciones IP maliciosas ni dominios asociados con la filtración en sí. El indicador principal fue la enumeración masiva de cuentas de usuario a través de la API, que se habría manifestado como un alto volumen de solicitudes relacionadas con contactos desde un conjunto limitado de fuentes.
Investigación forense y de incidentes
Las investigaciones revelaron que el cifrado de extremo a extremo de Telegram nunca se vio comprometido. El incidente fue resultado de data scraping, no de un ataque directo a la infraestructura de Telegram. En respuesta, Telegram reconoció el problema, pero argumentó que la información expuesta ya era pública para los usuarios que no habían ajustado su configuración de privacidad. Más tarde implementaron medidas para limitar la frecuencia de las solicitudes a la API y evitar eventos similares de scraping masivo.
¿Qué datos se vieron comprometidos en la filtración de Telegram?
Los dos incidentes expusieron tipos de datos fundamentalmente diferentes y deben describirse por separado.
Incidente de raspado de API de 2016: Los datos expuestos aquí eran específicos de cuentas de Telegram: números de teléfono usados para registrar cuentas de Telegram y los ID de usuario de Telegram correspondientes. Esto conectó identidades reales con perfiles de Telegram. No se expuso contenido de mensajes.
Conjunto de datos combolist de HIBP de junio de 2024: Este conjunto de datos no contenía datos de cuenta específicos de Telegram. Contenía 361 millones de direcciones de correo electrónico únicas, junto con contraseñas y, en muchos casos, el sitio web al que pertenecen los datos. Los datos robados provenían de ataques de credential stuffing, malware para robar contraseñas y filtraciones de datos previas en otros servicios, compartidos y agregados en canales de cibercrimen de Telegram. Las direcciones de correo electrónico y contraseñas de este conjunto pertenecen a cuentas de servicios de terceros, no específicamente a cuentas de Telegram
¿Cuántas personas se vieron afectadas por la filtración de datos de Telegram?
La escala difiere según el incidente. Se estima que el raspado de API de 2016 expuso alrededor de 15 millones de números de teléfono vinculados a usuarios iraníes de Telegram, además de un número desconocido de cuentas a nivel global. También se vio afectado un subconjunto de usuarios de Telegram en otros países.
El combolist de HIBP de junio de 2024 es un asunto completamente distinto. El conjunto de datos estaba compuesto por 1.700 archivos con 2 mil millones de líneas y 361 millones de direcciones de correo electrónico únicas, de las cuales 151 millones nunca se habían visto antes en HIBP. Sin embargo, esta cifra representa credenciales de filtraciones de muchos servicios, agregadas y distribuidas a través de canales de Telegram; no es un conteo de cuentas de Telegram comprometidas.
¿Se expusieron mis datos en la filtración de Telegram?
Puedes verificar si tus datos formaron parte de esta filtración visitando el sitio web HaveIBeenPwned.com e ingresando tu número de teléfono. Este servicio rastrea filtraciones de datos públicamente conocidas y puede indicarte si tu información estaba incluida en el conjunto de datos de Telegram.
Impactos clave de la filtración de Telegram
La filtración tuvo varias consecuencias significativas, a pesar de que no se filtró contenido de mensajes:
Pérdida de anonimato: Para activistas, periodistas y otras personas que dependen de Telegram para la privacidad, la conexión entre su número de teléfono y su cuenta fue un riesgo de seguridad importante.
Ataques dirigidos: Los actores de amenazas podían usar los datos filtrados para lanzar campañas de phishing dirigidas, smishing (phishing por SMS) ataques, o esquemas de ingeniería social.
Daño reputacional: El incidente dañó la reputación de Telegram como mensajero completamente seguro y privado, dejando en claro que los metadatos de los usuarios pueden ser tan sensibles como el contenido de los mensajes.
Mayor riesgo físico: En regímenes autoritarios, vincular el número de teléfono de un disidente con su cuenta de Telegram podría derivar en arresto y persecución.
Respuesta a la filtración de datos de Telegram
Algunos criticaron la respuesta de Telegram por considerarla displicente. La empresa declaró que la posibilidad de encontrar usuarios por número de teléfono era una función, no un error, y que los usuarios podían protegerse mediante la configuración de privacidad. Sin embargo, sí agregaron limitaciones a la API para dificultar el raspado a gran escala. No se envió una notificación masiva a los usuarios afectados; en cambio, la filtración se hizo pública a través de investigadores de seguridad e informes de medios.
Lecciones de la filtración de datos de Telegram
Este incidente ofrece algunas lecciones sólidas tanto para usuarios como para desarrolladores. No basta con enfocarse en una sola función de seguridad llamativa y dar el tema por cerrado.
Los metadatos son tan importantes como los datos: Incluso sin el contenido de los mensajes, saber quién habla con quién puede ser increíblemente sensible. Proteger los metadatos es fundamental.
Las API son una superficie de ataque importante: Los desarrolladores deben implementar límites de frecuencia y otros controles para evitar el abuso de funciones legítimas de la API.
La configuración de privacidad predeterminada importa: Los usuarios no deberían tener que ser expertos en seguridad para estar protegidos. La configuración segura por defecto es indispensable.
La Threat Hunting proactiva es clave: Las organizaciones deben buscar actividad inusual, como la extracción masiva de datos, en lugar de esperar a que un servidor sea vulnerado.
¿Es seguro Telegram después de la filtración?
Telegram ha tomado medidas para mitigar la vulnerabilidad específica de la API que provocó esta filtración. El cifrado de extremo a extremo de la plataforma para los "Chats secretos" sigue siendo sólido. Sin embargo, los usuarios deben tener en cuenta que su número de teléfono y otra información de perfil aún pueden exponerse si no configuran correctamente sus ajustes de privacidad. La plataforma es más segura frente a este ataque de raspado específico, pero los usuarios aún deben ser proactivos.
Al margen del historial de raspado de API, el arresto en agosto de 2024 del CEO Pavel Durov y la posterior actualización de políticas de Telegram cambiaron significativamente el cálculo de privacidad para los usuarios. Telegram ahora proporciona direcciones IP y números de teléfono de los usuarios a las autoridades en respuesta a solicitudes legales válidas, una política que no existía antes del arresto de Durov. Los usuarios que antes eligieron Telegram específicamente por su resistencia a las solicitudes de datos gubernamentales deben saber que esta postura ha cambiado de manera sustancial. Para usuarios de alto riesgo, vale la pena considerar seriamente alternativas como Signal (que usa cifrado de extremo a extremo por defecto para todos los mensajes).
Estrategias de mitigación y prevención
Proteger tu organización de incidentes similares de data scraping y otras amenazas requiere un enfoque por capas. No se trata de una herramienta mágica; se trata de defensas inteligentes y superpuestas.
Autenticación multifactor (MFA): Activa siempre la MFA en todas las cuentas. Es una de las formas más efectivas de detener el acceso no autorizado, incluso si tus credenciales se filtran.
Gestión de parches: Mantén todo el software, las aplicaciones y los sistemas actualizados. A los atacantes les encanta explotar vulnerabilidades antiguas y conocidas.
Gestión de información y eventos de seguridad (SIEM): Usa un SIEM para recopilar y analizar registros de toda tu red. Esto te ayuda a detectar patrones extraños, como el abuso de la API, antes de que se conviertan en una filtración completa.
Monitoreo continuo: No puedes proteger lo que no puedes ver. El monitoreo 24/7 de endpoints, servidores y tráfico de red no es negociable para detectar amenazas en el momento.
Security Awareness Training: Enseña a tu equipo a identificar correos de phishing y tácticas de ingeniería social. Un empleado bien capacitado es una línea de defensa poderosa.
Incidentes de brechas de datos relacionados
Violación de datos de MOVEit
Violación de datos de Okta
Violación de datos de MGM
Artículos educativos y videos relacionados
Respuesta a incidentes: Aprende a crear un plan para cuando las cosas salgan mal.
Detección y respuesta gestionadas (MDR): Descubre cómo el monitoreo 24/7 puede detener a los atacantes en seco.
Security Awareness Training: Descubre cómo convertir a tu equipo en un firewall humano.
Preguntas frecuentes sobre la filtración de datos de Telegram
La filtración ocurrió por una falla en la API de Telegram que permitía a los atacantes subir millones de números de teléfono para ver cuáles estaban vinculados a cuentas activas. Esto les permitió extraer identificadores de usuario y números de teléfono a gran escala sin romper nunca el cifrado de la aplicación.
Los datos expuestos incluían los números de teléfono de los usuarios, sus identificadores de Telegram y sus nombres de usuario. El contenido de los mensajes no se vio comprometido, pero la filtración hizo posible vincular números de teléfono reales con cuentas específicas de Telegram.
El ataque original de extracción de datos en 2016 no se atribuyó a ningún grupo en particular. Sin embargo, un grupo hacktivista llamado "Handala Hack" se atribuyó más tarde la responsabilidad de filtrar un subconjunto de los datos en 2020, como parte de una campaña con motivaciones políticas.
Las empresas pueden protegerse de amenazas similares si aplican límites de frecuencia en sus API para evitar la extracción de datos. También es fundamental usar autenticación multifactor, realizar auditorías de seguridad periódicas y monitorear continuamente la actividad de la red en busca de patrones inusuales que puedan indicar un ataque.
