В своем исследовании эксперты Talos отмечают, что об этих приложениях сложилось мнение как о безопасных и даже «устойчивых против хакерских атак». Пользователи доверяют этим утверждениям, не учитывая того, что при некоторых вариантах настроек личные данные юзеров могут быть защищены отнюдь не настолько хорошо, насколько те рассчитывают. Telegram, Signal и WhatsApp уязвимы перед перехватом сеанса на десктопах. Т.е. если злоумышленнику удалось заранее взломать компьютер жертвы, а та использует его для коммуникаций с помощью мессенджеров, то у хакера есть возможность перехватывать токены сеансов и читать теперь уже не очень защищенную переписку. В случае Telegram, когда злоумышленник использует украденную информацию о сеансе, устанавливается дополнительное соединение; у пользователя есть возможность проверить количество сеансов, но как это сделать, знает далеко не каждый юзер, вдобавок никаких специальных уведомлений о новых сеансах в Telegram не выводится. В Signal ситуация обстоит несколько иначе: если злоумышленник перехватил данные о сеансе и использует их в своем клиентском приложении, сеансы легитимного пользователя и злоумышленника будут «пихаться локтями», так что на десктопе начнут выскакивать ошибки. Но к этому моменту у злоумышленника в распоряжении уже все контактные данные и содержание неудаленных переписок. Вдобавок в мобильной версии никаких ошибок и предупреждений выводиться не будет. В WhatsApp в случае дублирования сеансов выводится соответствующее предупреждение, так что если злоумышленник пытается подключиться, используя данные об украденном сеансе, жертва об этом узнает... но скорее всего, к этому моменту злоумышленник уже успеет стянуть все интересующие его данные или что-нибудь написать от имени жертвы. Плюс существует вредоносное Android-приложение, которое может создавать «теневой» сеанс без участия пользователя; ему достаточно будет получить привилегии на чтение SMS и закрытие фоновых процессов. Такие привилегии не считаются угрозой, и приложения, их требующие, легко могут пройти проверку в Google Play.