В Telegram появилась возможность регистрировать аккаунты без уведомления контактов, однако новый механизм не гарантирует скрытность. Пользователи, сохранившие номер телефона, по-прежнему могут обнаружить связанный с ним профиль через синхронизацию адресной книги.
Речь идёт о функции, которая позволяет отказаться от привычного сообщения «Контакт теперь в Telegram». Раньше такое оповещение получали пользователи, у которых номер нового участника уже находился в телефонной книге. Теперь отправку уведомления можно отключить при регистрации, но сам механизм сопоставления телефонных номеров с аккаунтами продолжает работать.
Проблема связана с тем, что Telegram разделяет уведомления и список контактов. Даже если сообщение о регистрации не появилось, сохранённый номер может оказаться связанным с новым профилем. Например, пользователь добавляет телефон знакомого в адресную книгу и синхронизирует контакты с мессенджером. После регистрации знакомого без уведомления его аккаунт всё равно может появиться в списке доступных контактов.
Отдельный сценарий касается смены номера уже существующего аккаунта. Согласно описанным проверкам, пользователь может зарегистрироваться на временный номер, установить максимально строгие параметры конфиденциальности, а затем привязать другой телефон. После смены номера профиль обнаруживается у людей, которые заранее сохранили новый телефон в своих контактах. Независимого подтверждения работы такой схемы при всех вариантах настроек пока нет.
Техническая основа механизма описана в документации Telegram. Метод contacts.importContacts позволяет загружать телефонные номера и получать сведения о соответствующих аккаунтах. При успешном сопоставлении сервер возвращает идентификатор пользователя Telegram. При этом документация прямо оговаривает, что результат зависит от настроек конфиденциальности владельца профиля, поэтому обнаружение не гарантировано для любого номера.
Telegram также предусматривает отдельное служебное событие updateContactRegistered, которое сообщает клиенту о регистрации ранее сохранённого контакта. Приложения могут обрабатывать такие события программно, без визуальных уведомлений. Поэтому отсутствие всплывающего сообщения само по себе не доказывает, что сведения о новом аккаунте недоступны через другие механизмы синхронизации.
Возможность подавлять уведомления о регистрации предусмотрена и в официальном методе auth.signUp. Параметр no_joined_notifications существовал в API как минимум в 2024 году, поэтому речь не идёт о совершенно новом механизме защиты. Его описание ограничивается запретом уведомлений пользователям, которые заранее сохранили номер регистрирующегося человека. Полную невидимость аккаунта параметр не обещает.
Путаница возникала и раньше из-за другой настройки, которая отключает уведомления о появлении новых контактов на стороне получателя. Ещё в 2019 году представители Telegram разъясняли, что такой переключатель убирает оповещение, но не препятствует появлению нового чата в общем списке. В июне 2024 года разработчики повторили аналогичное разъяснение в ответ на жалобу пользователя. Однако настройка получателя и отказ отправлять уведомления при регистрации представляют собой разные функции.
Потенциальная опасность заключается в массовом сопоставлении телефонных номеров с идентификаторами Telegram. При наличии большой базы номеров можно попытаться отслеживать появление связанных с ними аккаунтов, используя автоматизированные клиенты и синхронизацию контактов. Такой подход позволяет устанавливать связь между известным телефонным номером и профилем без необходимости получать доступ к переписке пользователя.
В публикациях о проблеме утверждается, что российские силовые структуры могли использовать систему Android-эмуляторов с заранее загруженными телефонными номерами для выявления новых аккаунтов. Однако публичных технических доказательств существования именно такой системы, её масштаба и охвата всех российских номеров нет. Возможность построить подобную инфраструктуру не подтверждает, что конкретные ведомства действительно её развернули.
Уже собранные соответствия между номерами и аккаунтами могут сохранять ценность даже после изменения настроек приватности. Поэтому новая опция не способна отменить сведения, полученные ранее. Вместе с тем утверждение, будто все старые аккаунты Telegram уже скомпрометированы, некорректно. Для установления личности требуется ранее полученная связка номера с профилем либо дополнительные сведения, а сам факт обнаружения аккаунта не означает взлома.
Пользователям, которые хотят ограничить поиск по номеру, следует проверить два отдельных параметра в разделе «Конфиденциальность» Telegram. Настройка «Кто видит мой номер телефона» управляет его отображением, а «Кто может найти меня по номеру» ограничивает обнаружение аккаунта. Дополнительно можно отключить синхронизацию телефонной книги и удалить ранее загруженные контакты, хотя такая мера не удаляет номер из адресных книг других людей.
Главный нерешённый вопрос касается того, насколько последовательно Telegram применяет ограничения поиска при регистрации и последующей смене номера. Официальная документация предусматривает защиту от обнаружения через импорт контактов, но описанные случаи требуют отдельной проверки. Пока отсутствие уведомления о регистрации нельзя считать надёжным подтверждением того, что новый аккаунт остался незаметным для владельцев сохранённого номера.
