Thread by @apyus

Para se logar no Telegram Desktop, você digita o número, recebe via SMS com um código, digita o código e entra.

Mas há a opção de envio deste mesmo código por mensagem de voz.

E se o telefone estiver ocupado? A mensagem é gravada no correio de voz.
oantagonista.com/brasil/como-se…

Com VOIP, os caras conseguem se fazer passar pelo número invadido.

O texto da PF não deixa isso claro, mas leva a crer que é assim que acessam o correio de voz, onde ouvem o código e acessam o Telegram Desktop.
oantagonista.com/brasil/vulnera…

Alguns hackeados comentam que receberam, além do SMS, uma ligação de um número de Silverado, na Califórnia.

Era o número que o Telegram usa para enviar a mensagem de voz com o código.

Chegaram a desconfiar de ação estrangeira porque o horário da invasão era impróprio. Mas é mais fácil aplicar esse golpe na madrugada, quando o celular está no silencioso e o dono dele está dormindo.

Como evitar isso: insira a autenticação em dois fatores no Telegram, ele pedirá ao hacker a senha que você digitar, o hacker não terá.

Mas sugiro também desinstalar o correio de voz. Ninguém usa isso no Brasil. Em tempos de WhatsApp, serve para nada. Ou pior, serve aos hackers.

Há uma diferença entre Telegram Web (navegador) e Telegram Desktop (aplicativo para computador).

Para baixar uma cópia dos arquivos, só é possível pelo Telegram Desktop.

Isso também mataria a charada do que faz as mensagens vazadas terem o segundo do envio, mas o aplicativo mostrar apenas hora e minuto: o backup vem com hora, minuto e segundo.

Conclusões: em sendo isso mesmo, não houve invasão de aparelho telefônico ou computador, mas de um serviço fornecido por operadoras de celular.

(Republiquei a thread porque a original estava um tanto confusa e com algumas informações conflitantes.)

E finalizando: o hacker confessou.
oantagonista.com/brasil/exclusi…

Eu não quis jogar essa informação na thread porque não veio da PF. Mas, enquanto pesquisava sobre o que descrevi mais acima, notei esse risco: há operadoras que ativam o “voicemail” com uma senha padrão.

https://twitter.com/aramosorg/status/1154111340476338176?s=21

Ora... Se é um serviço que ninguém usa, é um serviço que continuará com a senha padrão.

Logo, seria possível qualquer pessoa acessá-lo arriscando a senha padrão.

Essa matéria da Folha confirma o que joguei nessa thread.
www1.folha.uol.com.br/poder/2019/07/…

Há um perfil espalhando que O Telegram Web/Desktop não oferece acesso por mensagem de voz.

Mas oferece, sim.

Contudo, isso rola num terceiro momento...

O Telegram Web ou Desktop primeiro manda o código de acesso ao aplicativo do seu celular. E inicia uma contagem regressiva de dois minutos.

Após dois minutos, libera a possibilidade de esse código ser remetido por SMS. E inicia mais uma contagem regressiva...

Após mais dois minutos, caso o código ainda não tenha sido usado, libera o link para que o mesmo código seja remetido por um telefonema ao seu aparelho. É clicar e receber a ligação.