Вышло большое расследование по теме Telega, российского клиента для Telegram. Жутких подробностей много.

Если просто, то Telega включили схему, где трафик идёт не напрямую в Telegram, а через их собственные сервера. Для этого подменяются адреса дата-центров и добавляется свой ключ шифрования, которого в оригинальном клиенте нет.

Чтобы это заработало, пользователей аккуратно выкидывают из аккаунта и просят зайти заново. После этого сессия уже строится через их инфраструктуру.

Самое неприятное:

• Можно читать переписки
• Смотреть историю
• Подменять сообщения
• Действовать от имени аккаунта

Отдельно отключена защита Perfect Forward Secrecy и фактически убиты секретные чаты. Главный нюанс: если ваш собеседник сидит в таком клиенте, то ваша переписка тоже под ударом.