セキュリティ企業NebuSecは、Android版Telegramの欠陥を、ほかの2つの欠陥と組み合わせることで、音声通話を通じてスマートフォンを完全に乗っ取れる可能性があると報告しました。被害者が通話に応答した時点で攻撃が成立するとされ、セキュリティホールとしては非常に厄介な部類です。
ここでいう「コード実行」とは、攻撃者が用意したプログラムを相手の端末の中で勝手に動かせる状態のことです。これが可能になると、メッセージの閲覧や端末内のデータの持ち出しなど、持ち主と同等の操作をされるおそれがあります。
攻撃者に必要なのは、ごく普通のTelegramアカウントだけだったといいます。特別な権限や高度な設備がなくても、知らない相手から電話をかけるだけで試せる点が、危険性を高めています。
Telegramはすでに、バージョン12.10.4で問題を修正しています。Android版Telegramを使っている方は、Google Playで最新版に更新されているか確認してください。あわせて、見知らぬ相手からの着信には応答しない、通話を許可する相手を連絡先に限定する設定にしておく、といった基本的な備えも有効です。
出典: The Hacker News「Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls」