El agujero de anonimato de Telegram: Cómo obtener el número de teléfono de cualquier usuario
Telegram requiere un número de teléfono para comenzar a enviar mensajes, vinculando todos los mensajes a la identidad del usuario. Este mecanismo no solo es obsoleto, sino que también introduce riesgos significativos para la privacidad. Una de estas vulnerabilidades permite a cualquiera obtener el número de teléfono de un usuario en un grupo de Telegram aprovechando la función de sincronización de contactos de la aplicación.
Para demostrarlo, consideremos un chat grupal abierto donde un usuario objetivo, “Sergey Lebedev”, es visible.
Al salir de la aplicación y agregar un nuevo contacto a la libreta de contactos nativa del dispositivo con un número de teléfono supuesto, podemos probar si ese número pertenece a un usuario de Telegram.
A continuación, asegúrese de que la sincronización de contactos esté habilitada en los ajustes de privacidad de Telegram (Ajustes — Privacidad y Seguridad). Esta función agrega automáticamente los contactos del dispositivo a la aplicación si están registrados en Telegram.
Si el número de teléfono supuesto está registrado en Telegram, la aplicación agregará al usuario a su lista de contactos. En este ejemplo, el número supuesto era correcto.
Telegram luego sobrescribirá el nombre mostrado del usuario con el nombre asignado en la libreta de contactos del dispositivo. Al regresar al chat grupal original, “Sergey Lebedev” ahora se muestra como “Testing Phone ID”, confirmando que el número de teléfono supuesto le pertenece.
Aunque adivinar un número de teléfono entre millones parece poco práctico, los atacantes pueden reducir significativamente el rango utilizando ingeniería social para determinar el país y operador del objetivo. Además, una aplicación móvil sencilla podría automatizar la adición de grandes rangos de números de teléfono a la agenda del dispositivo, haciendo factible el descubrimiento por fuerza bruta. Esta vulnerabilidad representa una amenaza grave para la privacidad del usuario, especialmente para figuras públicas, inversores y activistas. Las aplicaciones que exigen el registro con número de teléfono a menudo conllevan compromisos ocultos de privacidad.