最近在极客圈内看到了下面这个危险的网站，貌似是一个专门针对 Telegram 用户隐私数据的在线黑产社工库。
☠️ Telegram 隐私查询社工库
📢 频道主辣评与原理解析： 很多非技术圈的小白认为 Telegram 主打“端到端加密”所以在这上面干嘛都是绝对安全的，其实这是个极大的误区。TG 的确是可以被“社工”的，因为无论它的前端端到端数据传输多么无懈可击，存放在官方服务器后端的账号关系数据库依然有被“脱裤 (拖库)”泄露的潜在可能。
之前圈内知名的“红鼻子”等机器人，可以通过用户名反向查询出某位用户加入了哪些公开群组（这主要靠的是在海量公开群组里提前安插监控机器人爬取沉淀数据）。但这回这个网站竟然能直接查出底层绑定的注册手机号，这就有点离谱了。
目前也不知道是不是 TG 的某个早期的边缘节点分发库真的被脱了，还是黑客团伙单纯使用大量的已知黑产手机号，通过 TG 的添加联系人接口去自动批量化跑字典碰撞匹配出来的。我个人估计只有极少量的早期信息被定向泄露，并没有像隔壁国内某 Q 那种骇人听闻的“祖传 16 亿全量裤子泄露”。经初步验证，目前这些被泄露手机号的数据似乎绝大多数只有俄罗斯地区的用户，其它地区目前暂未发现大规模集中泄露。
💻 接口调用与查询结果解析
该社工库甚至猖狂地开放了非常直白的 API 请求接口供人自动化调用：
-
API 请求格式：
https://cybersec.org/en/tg/?tgid=[这里替换为目标用户全数字ID]
查询结果返回值的 JSON 参数含义解释：
1
2
3
4
5
6
7
8
9
10
11
[
{
"TelegramID": "用户的全数字底座 ID",
"FirstName": "（昵称）姓氏",
"LastName": "（昵称）名",
"Name": "可能是泄漏的真实姓名",
"Nik": "设置的 @ 用户名 (Username)",
"Email": "账号绑定的邮箱 (若有)",
"Phone": "极其致命的注册绑定手机号码"
}
]
🔍 官方展示的下马威示例 (疑似为创始人老板“杜罗夫 (Pavel Durov)”本人的号)：
传入 TelegramID: 36265675，返回结果：
1
[{"TelegramID":"36265675","FirstName":"","LastName":"","Name":"","Nik":"durov7","Email":"","Phone":"447408857600"},{"TelegramID":"36265675","FirstName":"Pavel","LastName":"Durov","Name":"","Nik":"onetimeusername","Email":"","Phone":""},{"TelegramID":"36265675","FirstName":"Pavel","LastName":"","Name":"","Nik":"onetimeusername","Email":"","Phone":""}]
🛡️ 个人防风控自查指南与防社工技巧
频道主确实验证了一下，并没有查到我自己的敏感信息。各位如果不放心，可以拿着自己的纯数字 ID 去这个网站试一下，看看自己的“底裤”还在不在。
如果你不知道自己账号那一串全球唯一的数字 用户 ID 是什么，可以通过向 @userinfobot 或 @username_to_id_bot 发送任意消息，或是使用部分第三方开源客户端（如 Nekogram）的个人资料详情页来直接获取自己的原生数字 ID。
顺带一提的简易反向社工/开盒技巧：
如果某个粗心大意的对方在 TG 隐私与安全设置里开启了 “任何人可以通过手机号找到我” 的默认权限。那么你根本不需要存通讯录，直接在浏览器地址栏通过拼接格式 t.me/+[国家区号][对方的真实手机号]（例如：t.me/+8613800138000），即可直接强制打开对方的 TG 资料主页发起聊天，从而实现单向的“手机号定位到人”的反向社工。
强烈建议各位将隐私设置中的“谁能通过手机号找到我”改为“我的联系人”。
(消息来源灵感：关联安全资讯群落引用)