У найпопулярнішому в Україні месенджері звичайні чати не захищені наскрізним шифруванням. Воно працює лише в окремому режимі секретних чатів, які треба запускати вручну, і доступне лише для розмов двох людей. Групи й канали не підтримують його взагалі. Це не чутка, а офіційно зафіксована характеристика, і саме на ній базувалося рішення державних органів щодо службових пристроїв.

Що таке наскрізне шифрування

Суть у тому, хто має ключ. При наскрізному шифруванні повідомлення шифрується на вашому пристрої й розшифровується лише на пристрої співрозмовника. Ключі зберігаються в учасників розмови, тобто сервіс, через який ідуть дані, прочитати їх не може навіть теоретично. Шифрування на сервері працює інакше. Дані теж зашифровані, але ключ є в самого сервісу, тобто він технічно здатен отримати доступ до вмісту. Різниця між цими двома підходами є головною в усій темі, і саме її маскують формулювання на кшталт того, що всі дані надійно зашифровані.

Як це влаштовано в трьох основних месенджерах

Signal застосовує наскрізне шифрування за замовчуванням до всіх особистих і групових чатів, а також до голосових і відеодзвінків, причому без жодних перемикачів. Для реєстрації він збирає мінімум даних, фактично лише номер телефона й дату останньої активності. Код відкритий, а сам протокол проходив незалежні перевірки й ліг в основу шифрування в інших сервісах. У 2025 році до нього додали механізм стійкості до майбутніх квантових атак. WhatsApp використовує той самий протокол, і наскрізне шифрування там теж працює за замовчуванням для всіх чатів і дзвінків. Головна відмінність полягає в метаданих, оскільки компанія-власник збирає відомості про те, з ким і як часто ви спілкуєтеся, навіть не маючи доступу до змісту. Telegram застосовує наскрізне шифрування лише в секретних чатах. Звичайні чати зберігаються на серверах компанії, і хоча вони зашифровані при зберіганні, ключі перебувають на боці сервісу. Групи й канали наскрізного шифрування не мають узагалі, і це важливо, оскільки саме в групах відбувається значна частина робочого й побутового спілкування.

Офіційна позиція в Україні

У вересні 2024 року Національний координаційний центр кібербезпеки ухвалив рішення про обмеження встановлення та використання цього месенджера на службових пристроях працівників державних органів, військовослужбовців і працівників об'єктів критичної інфраструктури. Підставою були саме особливості зберігання даних. За повідомленнями, на початку 2026 року відповідні органи рекомендували державним службовцям і військовим користуватися Signal або WhatsApp для службової комунікації. При цьому для звичайних громадян на особистих пристроях жодних обмежень немає, тобто йдеться про службове використання, а не про заборону.

Чого шифрування не робить

Ось розділ, якого немає в більшості матеріалів, хоча він найважливіший. Наскрізне шифрування захищає зміст повідомлення в дорозі, і цим його можливості вичерпуються. Воно не приховує метадані, тобто факт спілкування, час, частоту й учасників. Для аналізу зв'язків між людьми цього часто достатньо, навіть без доступу до змісту. Воно не захищає, якщо скомпрометовано сам пристрій. Якщо на вашому телефоні працює шкідлива програма, вона бачить повідомлення вже розшифрованими на екрані, тобто шифрування каналу тут не допомагає взагалі. Воно не заважає співрозмовнику зробити знімок екрана або переслати вашу розмову далі. Воно не рятує від крадіжки облікового запису, тобто якщо хтось отримав доступ до вашого акаунта, шифрування працює вже для нього. І воно не захищає резервні копії. Якщо ваші чати вивантажуються у хмару без окремого шифрування, цей обхідний шлях існує незалежно від того, наскільки добре захищений сам канал.

Що загрожує звичайному користувачеві

Для переважної більшості людей перехоплення зашифрованого трафіку є теоретичним ризиком, а реальні проблеми лежать в іншому. Крадіжка облікового запису через фішинг, тобто коли людина сама вводить код підтвердження на підробленій сторінці або диктує його шахраю. Соціальна інженерія, тобто повідомлення нібито від знайомого з проханням про гроші, і ця схема працює однаково в будь-якому месенджері. Доступ до розблокованого телефона, оскільки найпростіший спосіб прочитати чужі повідомлення не вимагає жодних технологій. Шкідливі програми, встановлені самим користувачем. Через це перехід на захищений месенджер не замінює базових речей, тобто двофакторної автентифікації, коду блокування екрана й уважності до посилань. Про це я докладно писав у матеріалах про безпеку акаунтів і про розпізнавання шахрайства.

Практичний підхід замість міграції

Найпоширеніша порада полягає в тому, щоб перейти на найзахищеніший месенджер. На практиці це рідко спрацьовує, оскільки спілкування залежить не від вас, а від того, де є ваші співрозмовники. Робочий підхід полягає не в міграції, а в сегментації, тобто у свідомому розподілі того, що саме де писати. Для новин, публічних каналів і побутового спілкування звичайний месенджер цілком прийнятний, оскільки там немає нічого, що ви приховували б. Для робочих переговорів, документів, фінансових питань і будь-якої чутливої інформації варто використовувати месенджер із шифруванням за замовчуванням. Для справді чутливих тем варто додатково вмикати автоматичне видалення повідомлень, оскільки найнадійніше захищене те, чого вже не існує. Такий підхід не вимагає від вас переконувати всіх знайомих переходити кудись і при цьому закриває реальні ризики.

Що налаштувати прямо зараз

Незалежно від обраного месенджера, кілька речей варто зробити одразу. Увімкніть двофакторну автентифікацію, тобто додатковий пароль на вхід. Це головний захист від крадіжки облікового запису. Перевірте список активних сеансів і завершіть усі, яких не впізнаєте. Обмежте, хто може додавати вас у групи й бачити ваш номер телефона. Вимкніть показ вмісту повідомлень на заблокованому екрані. Увімкніть шифрування резервних копій, якщо ваш месенджер зберігає їх у хмарі. Налаштуйте автоматичне видалення повідомлень для чатів із чутливим вмістом. Ніколи й нікому не повідомляйте код підтвердження, оскільки саме цей код і є головною метою більшості атак на облікові записи.


Джерела

Рішення Національного координаційного центру кібербезпеки від 19 вересня 2024 року, матеріали Київської міської влади щодо ризиків використання месенджера, публікації Speka, Детектор медіа, дослідження KR Labs щодо захищених месенджерів