Telegram: upozornění na neoficiální klienty

Telegram upozorní na rizika neoficiálních klientů v chatech

Telegram zavádí upozornění na použití neoficiálního klienta rozhovorovým partnerem. V kódu oficiální iOS aplikace byly nalezeny řetězce zobrazující varování vedle jména uživatele: „[Jméno] používá neoficiální klienta Telegramu — zprávy tomuto uživateli mohou být méně bezpečné“. To zvyšuje povědomí o potenciálních zranitelnostech v korespondenci.

Mechanismus upozornění a jejich dopad

Varování se testuje v oficiálním klientovi pro iOS. Objevuje se v chatech, kde alespoň jeden účastník používá aplikaci třetí strany. Experti oceňují kompromisní přístup: přímé blokování se nepoužívá, ale rizika se zdůrazňují vizuálně. Není jasné, zda funkce ovlivní všechny alternativní klienty nebo jen nespolehlivé. Použití na všechny by mohlo způsobit zbytečný vizuální šum v rozhraní.

Dříve uživatelé hlásili resetování sezení v oficiálních klientech. Je potřeba opakované přihlášení, které blokuje odesílání zpráv. Příčinou je častá změna IP adresy přes VPN nebo neoficiální klienty, což Telegram považuje za podezřelou aktivitu.

Analýza bezpečnosti alternativních klientů

Výzkum RKS Global zahrnoval osm populárních Android klientů Telegramu:

• Telegram Official
• Telegram X
• Plus Messenger
• Nekogram
• Graph Messenger
• Telega
• iMe
• F-Droid (Forkgram, Mercurygram)

Klíčové rizika:

• Telega, Graph Messenger a iMe odesílají data na ruské servery.
• Plus Messenger, Graph Messenger, iMe obsahují Firebase Analytics; Nekogram ho nevypíná. Oficiální klient deaktivuje sběr dat od Google.
• Reklamní SDK zvyšují rizika: Graph Messenger (6 SDK), iMe (15+ SDK), Plus Messenger (1 SDK). Stopy VK Group v Telega (MyTracker, OK.ru) a iMe (ad.mail.ru).
• Telega je nejzranitelnější: 18. března 2026 byla aktivována MITM-útok. MTProto provoz je přesměrován přes proxy Telega do Ruska, čímž se zachytávají všechna data mezi klientem a servery Telegramu.

Anonymní rozbor „Technická analýza MITM-útoku v klientu Telega“ potvrzuje podměnu serverů.

Nový otevřený klient Monogram

V březnu 2026 nadšenci vydali Monogram — neoficiální Android klient napsaný v Kotlinu s Jetpack Compose a Material Design 3. Používá TDLib pro kompatibilitu s protokolem Telegramu. Licence GPLv3, projekt je v aktivní vývoji: očekávejte aktualizace, refaktoring a chyby.

Monogram se zaměřuje na nativní UI a výkon, vyhýbá se reklamním SDK a externím analytikám.

Co je důležité

• Upozornění v Telegramu pro iOS označují uživatele neoficiálních klientů pro snížení rizik korespondence.
• Telega realizuje MITM přes ruské proxy a podměňuje MTProto provoz.
• Tři z osmi Android klientů posílají data do Ruska; většina obsahuje Firebase.
• Resety sezení v oficiálních klientech souvisí s VPN a aplikacemi třetích stran.
• Monogram — otevřená varianta na Jetpack Compose s TDLib, bez trackerů.

Doporučení pro vývojáře

Při vývoji nebo výběru klientů kontrolujte síťový provoz na podměnu serverů. Používejte nástroje jako Wireshark pro analýzu MTProto. Vyhněte se aplikacím s aktivními SDK (Firebase, MyTracker). Pro vlastní řešení se opírejte o TDLib, jako v Monogramu, a zajistěte transparentnost kódu na GitHubu.

— Editorial Team