Летом текущего года в Telegram появилась подписка Premium, предоставляющая дополнительную функциональность, а также снимающая многие лимиты и ограничения. Как выяснилось теперь, многие пользователи покупали подписку не через официального бота, а у третьих лиц, с огромными скидками. По данным СМИ, такие «левые» подписки появились за счет уязвимости в Telegram, которую, обнаружили три московских школьника. Теперь такие подписки аннулируют.
Первые сообщения об отключении подписок Premium, полученных обманным путем, начали появляться еще вечером 31 октября, хотя никаких официальных комментариев от команды мессенджера не поступало.
Издание «Код Дурова» провело собственное расследование произошедшего, и рассказало, что минувшим летом трое московских школьников (известны под никами Martov, Munfizy и Филя) обнаружили уязвимость в Telegram, благодаря которой платную подписку можно было получить бесплатно.
Все началось с бага, который обнаружил Martov: в момент покупки подарка на iPhone с джейлбрейком (и установленным твиком из Cydia — LocalIAPStore) он нажал кнопку «Отменить», после чего действие отменилось, но подарочная подписка Premium все равно активировалась.
В итоге друзья решили заработать на обнаруженной уязвимости, а именно перепродавать полученные таким способом Premium подписки. Ведь все, что для этого требовалось: iPhone с джейлбрейком и подарочные карты App Store.
Изначально друзья собирались работать вместе. Каждый должен был купить по три iPhone, которые можно было подвергнуть джейлбрейку, а также по три подарочных карты App Store номиналом 15, 25 и 45 долларов. Этого должно было хватить, чтобы «дарить» подписки на 3, 6 и 12 месяцев соответственно. Как рассказал журналистам Munfizy, это позволяло продавать подписки со скидкой 50% от официального прайса (за 450, 900 или 1400 рублей в зависимости от срока действия). По словам Munfizy, остальное сделало «сарафанное радио», и даже не пришлось покупать рекламу, — продажи и так росли с огромной скоростью.
Однако вскоре друзья поняли, что более не могут работать сообща и разделились на две команды: Munfizy и Филя продолжили работать вместе, а Martov отправился «в свободное плавание». Первое время им удавалось договариваться о единых ценах, но обе команды активно расширялись, нанимая все больше и больше сотрудников (поначалу это были в основном их друзья и знакомые). По данным издания, именно увеличение количество причастных к этой схеме людей и привело к ее краху.
«Одиночные работники могли делать до 200 000 рублей в сутки. Это было сложно, но возможно. Необходимо было обслужить порядка 3000 клиентов за раз. Вся наша сеть могла приносить примерно 5000-6000 тысяч долларов в день, — рассказал «Коду Дурова» Munfizy. — Я считаю, что убытки Telegram могут составлять от 3 до 5 млн долларов. Только нашим двум командам удалось активировать подписок более чем на 150 000 аккаунтов».
Неудивительно, что многие «сотрудники» быстро приходили к выводу, что они и сами справятся ничуть не хуже, и делиться с кем-либо прибылью будет совсем необязательно. В итоге, по словам Munfizy, вскоре на рынке возникло уже более 25 подобных «компаний», предлагающих подписки Premium по сходной цене. Все они эксплуатировали от же баг и работали по схеме, придуманной изначально друзьями. «Кто-то ее купил, а кто-то получил вообще бесплатно — по дружбе», — объяснил Munfizy.
Вскоре новоявленные конкуренты принялись снижать цены, пытаясь привлечь пользователей, и в какой-то момент стоимость Premium подписки на черном рынке упала почти в 10 раз: до 35 рублей за 3 месяца, 70 рублей за 6 месяцев и до 150 рублей за год. То есть дошло до того, что годовая подписка, купленная «с рук», стоила в два раза дешевле, чем официальная подписка Premium на месяц.
Такое положение дел привело к ссоре друзей, в результате которой схема была первый раз продана на сторону за 5000 долларов. Martov сообщил «Коду Дурова», что лично он не продавал информацию о схеме до последнего. По его словам, он сделал это лишь на прошлой неделе — покупателями выступили два пользователя из Китая, заплатившие 500 и 700 долларов.
Интересно, что один из трех первооткрывателей бага на условиях анонимности раскрыл журналистам свой доход от его эксплуатации. Он заявляет, что ему удалось заработать около 80 000 долларов, и издание подтверждает это, так как в редакции видели выписки с его личного счета.
Когда у друзей поинтересовались, не думали ли они сразу сообщить об уязвимости разработчикам мессенджера и, вероятно, получить вознаграждение за обнаружение проблемы, те ответили, что хотели заработать и сомневались, что получат какую-то выплату от Telegram.
Тем не менее, после всех споров, ссор и жесткого демпинга цен, Munfizy принял решение обнародовать информацию о схеме открыто, а также передать данные команде Telegram с пояснением, как исправить баг. Что и произошло 29 октября 2022 года.
В разговоре с «Кодом Дурова» источник, близкий к Telegram, подтвердил, что описанная уязвимость действительно существовала и была закрыта. Более того, по его словам, разработчикам удалось идентифицировать пользователей с такими подписками, после чего им и начали отключать Telegram Premium.
В настоящее время Munfizy пишет в Telegram-канале, что рассматривает возможность возврата средств клиентам, пострадавшим от отмены подписок, в размере 5-10%. При этом в сообщении подчеркивается, что Telegram не заплатил «ни рубля» багоюзерам за раскрытие мошеннической схемы.
