Сквозное шифрование защищает содержание переписки, но служебные ответы мессенджера могут раскрывать привычки пользователя. Исследователи Венского университета и SBA Research показали это в работе Careless Whisper: подтверждения доставки позволяют делать выводы об активности телефона и подключённых устройств без видимого уведомления получателя.
Поводом для новых обсуждений стало сентябрьское интервью исследователя Макса Гюнтера PCMag. Однако формулировка о точном определении местоположения по одному номеру сильнее доказательств. Первая версия Careless Whisper появилась в ноябре 2024 года, а конференционная публикация вышла в 2025-м. Это развитие уже известного направления исследований, а не впервые раскрытая в октябре 2026 года возможность.
Что выдаёт подтверждение доставки
Подтверждение доставки отличается от уведомления о прочтении: оно возникает, когда сообщение достигает устройства, и не требует открытия человеком. Исследователи изучали время между отправкой и возвратом служебного ответа — RTT. На него влияют сеть, состояние устройства и работа приложения. Поэтому серия наблюдений может показывать поведенческие закономерности, хотя отдельная задержка сама по себе ничего надёжно не доказывает.
Careless Whisper демонстрирует выводы о включённом экране, активности приложения и доступности связанных устройств. Такие сведения относятся к метаданным. Они не означают, что наблюдатель расшифровал сообщения, получил содержимое телефона или установил на него программу. Эти разные последствия нельзя объединять под общим утверждением о взломе мессенджера.
Почему это не поиск любых GPS-координат
Связанное исследование Hope of Delivery, представленное на NDSS 2023, действительно изучало местоположение. После предварительного обучения система различала несколько известных мест; в одном эксперименте она выбирала правильное из трёх мест внутри города с точностью выше 80%. Это классификация между подготовленными вариантами, а не получение произвольного адреса по номеру телефона.
Географическая интерпретация требует контекста: маршрутизация, тип подключения и нагрузка тоже меняют задержки. Даже если наблюдатель различает характерные режимы соединения, это ещё не сообщает название Wi-Fi-сети или координаты владельца. Точность экспериментального результата нельзя переносить на любой город, телефон и момент времени.
Две работы — разные проблемы
Гюнтер также участвовал в Prekey Pogo, опубликованной на USENIX WOOT в августе 2025 года. Эта работа посвящена распределению одноразовых ключей в WhatsApp, связанным рискам для приватности, доступности и гарантий ключевого обмена. Она не является вторым доказательством точной геолокации в WhatsApp и Signal.
Нет оснований и для категоричного вывода, что проблему невозможно исправить. Исследовательские работы обсуждают задержки служебных ответов и изменение обработки сообщений. В Careless Whisper описаны обращения к платформам с сентября 2024 года, но текущую защищённость всех версий приложений из этой истории установить нельзя. Мы не проверяли сборки октября 2026 года экспериментально.
Что можно сделать безопасно
В Signal откройте «Настройки → Конфиденциальность → Номер телефона» и выберите «Никто» в пункте о поиске по номеру. Официальная справка поясняет: новые собеседники не смогут обнаружить ваш аккаунт таким способом; для связи можно передавать имя пользователя. Уже существующие связи при этом сохраняются, поэтому настройка не даёт гарантии против всех способов наблюдения.
Обновляйте мессенджеры, проверяйте список связанных устройств и удаляйте ненужные сеансы. Отключение отметок о прочтении не следует считать отключением подтверждений доставки. Не вводите чужие номера в сторонние «трекеры»: их обещания точной геолокации не подтверждаются этими исследованиями. Полноценное устранение побочных каналов зависит прежде всего от архитектуры и защитных мер самих сервисов.