TENET: Telegram Mini App (in)security

No mundo digital, muitas pessoas dependem de aplicativos de mensagens não apenas para conversar, mas para gerenciar seu dinheiro. Esses aplicativos evoluíram para ecossistemas onde pequenos programas especializados vivem dentro do aplicativo principal, permitindo que os usuários negociem criptomoedas, joguem jogos ou gerenciem investimentos sem jamais sair da interface de chat. Esses programas, conhecidos como Mini Apps, funcionam como minúsculos sites que rodam diretamente dentro do software de mensagens. Embora essa integração ofereça grande conveniência, ela também cria um desafio de segurança complexo. Assim como uma carteira física precisa de um cadeado para manter o dinheiro seguro, as carteiras digitais precisam de uma criptografia forte para proteger os códigos secretos que concedem acesso aos fundos. Se esses códigos forem armazenados de uma forma fácil de ler ou copiar, a segurança de todo o sistema é comprometida. A pergunta que os pesquisadores fazem é se essas ferramentas integradas e convenientes estão realmente mantendo o dinheiro do usuário seguro, ou se estão deixando as chaves do cofre jogadas na varanda da frente.

Uma equipe de pesquisadores da Universidade de Ciência e Tecnologia King Abdullah e uma empresa suíça chamada Artificialy propuseram-se a investigar exatamente este problema dentro da plataforma de mensagens Telegram. O Telegram, que ostenta mais de 450 milhões de usuários ativos diários, tornou-se um grande centro para esses Mini Apps. Os pesquisadores focaram em como esses aplicativos armazenam informações sensíveis no dispositivo de um usuário. Eles estavam particularmente preocupados com dados financeiros, como as frases secretas usadas para recuperar carteiras de criptomoedas e os tokens digitais que mantêm um usuário conectado. Sua investigação revelou um padrão generalizado e perigoso: muitos desses aplicativos estavam salvando segredos de segurança críticos em texto simples, o que significa que os dados eram armazenados exatamente como foram escritos, sem qualquer criptografia protetora. Essa prática deixa a informação vulnerável a qualquer pessoa que possa acessar o dispositivo do usuário, seja por meio de um laptop roubado, um programa de software malicioso ou até mesmo um manuseio temporário do telefone.

Para descobrir a extensão deste problema, os pesquisadores desenvolveram uma ferramenta de auditoria especializada chamada TENET. Esta ferramenta foi projetada para escanear o armazenamento local de um dispositivo, procurando por padrões específicos que indiquem a presença de segredos como senhas, chaves digitais ou tokens de sessão. A ferramenta foi construída com uma compreensão profunda de como esses segredos são estruturados, permitindo que ela distinguisse entre texto inofensivo e dados perigosos. Os pesquisadores usaram o TENET para examinar uma grande amostra de Mini Apps, selecionando-os com base em sua popularidade e seu foco em atividades financeiras. Eles examinaram 61 aplicativos diferentes, variando de jogos a ferramentas financeiras complexas, e analisaram com sucesso 37 deles. Os resultados foram drásticos: 30 dos 37 aplicativos que analisaram continham falhas de segurança significativas.

As falhas dividiram-se em três categorias distintas de gravidade. Os problemas mais críticos envolveram aplicativos que armazenavam frases de recuperação secretas ou chaves privadas em texto simples. Nesses casos, um invasor que ganhasse acesso ao dispositivo poderia simplesmente copiar o arquivo e ter imediatamente controle total sobre os ativos de criptomoeda do usuário. Uma segunda categoria envolveu aplicativos que até usavam criptografia, mas armazenavam as chaves necessárias para desbloquear essa criptografia logo ao lado dos dados trancados. Isso é semelhante a trancar um cofre, mas deixar a combinação escrita na porta; a proteção é uma ilusão porque a chave está prontamente disponível. A terceira categoria envolveu aplicativos que armazenavam tokens de sessão, que são distintivos digitais que provam que um usuário está conectado. Se um invasor roubasse esses tokens, ele poderia se passar pelo usuário e assumir sua conta, mesmo sem saber sua senha.

Talvez a descoberta mais alarmante tenha sido que o próprio aplicativo Wallet oficial do Telegram, usado por mais de 100 milhões de pessoas, foi encontrado armazenando uma frase de recuperação crítica em texto simples. Isso significava que a identidade financeira inteira de um usuário poderia ser comprometida simplesmente acessando os arquivos de armazenamento do seu dispositivo. Os pesquisadores demonstraram que essa vulnerabilidade poderia ser explorada em cenários realistas. Por exemplo, malwares comuns que roubam dados de computadores podem facilmente capturar esses arquivos não criptografados. Eles também mostraram que um documento malicioso, como uma planilha enviada por e-mail, poderia enganar um usuário para executar código que copia silenciosamente a pasta de armazenamento inteira e a envia para um servidor remoto, tudo isso sem que o usuário sequer percebesse.

Os pesquisadores não apenas identificaram os problemas; eles também demonstraram como eles poderiam ser corrigidos. Após relatarem responsavelmente suas descobertas ao Telegram e aos desenvolvedores dos aplicativos afetados, a plataforma respondeu introduzindo duas novas funcionalidades de segurança. Essas novas ferramentas permitem que os desenvolvedores armazenem dados sensíveis de uma forma que seja criptografada pelo próprio sistema operacional, tornando-os inacessíveis a programas não autorizados. Os pesquisadores verificaram que o Wallet oficial do Telegram havia sido atualizado para usar esses novos métodos seguros, e a frase de recuperação não era mais armazenada de uma forma que pudesse ser facilmente lida. Isso confirmou que a vulnerabilidade era real e que uma solução prática existia.

O estudo destaca uma lacuna crítica na segurança dos ecossistemas de mensagens modernos. Embora a própria plataforma de mensagens possa ser segura, os aplicativos que rodam dentro dela frequentemente dependem que os desenvolvedores implementem suas próprias medidas de segurança, e muitos falharam em fazê-lo. Os pesquisadores descobriram que a maioria dos aplicativos vulneráveis testados estava relacionada a criptomoedas, um setor onde a perda financeira é permanente e irreversível. Ao contrário de uma conta bancária, onde um cartão de crédito roubado pode ser cancelado, uma carteira de criptomoeda roubada geralmente significa que os fundos se foram para sempre. O trabalho serve como um aviso claro de que a conveniência não deve vir à custa da segurança, e que as ferramentas usadas para gerenciar riqueza digital devem ser submetidas aos mais altos padrões de proteção. Ao expor essas fraquezas e fornecer um caminho para corrigi-las, os pesquisadores ajudaram a proteger os ativos digitais de milhões de usuários que dependem desses aplicativos integrados todos os dias.