Telegramの「5拠点」主張に矛盾 — 独自OSINT調査で実質4拠点と判明

「5拠点」という公式説明、実際は？ #

Telegramはドキュメントや API を通じて「世界5カ所にデータセンター(DC)を持つ」と説明してきた。マイアミ(DC1)、アムステルダム(DC2)、マイアミ(DC3)、アムステルダム(DC4)、シンガポール(DC5)という構成だ。この「地理分散」は、同社が掲げる耐障害性・プライバシー保護の根拠のひとつになっている。

だが中国の開発者 Coxxs 氏は、コミュニティで挙がった疑問をきっかけに、この説明を鵜呑みにせず独自に検証した。使ったのはマーケティング資料ではなく、プロトコルそのものだ。

MTProto を直接叩いて確かめる #

手法は3段構え。①MTProtoプロトコルで各DCへ直接ログインを試行、②サードパーティクライアントでプロフィール画像に付与される dc_id フィールドを確認、③ボットで Web CDN 経由のレスポンスを検証、というものだ。マーケティングページを読むのではなく、プロトコルレベルで実際にどのサーバが応答するかを一つずつ潰していく地道な作業になる。

結果、新規ユーザーはもはや DC3 に割り当てられておらず、確認できた既存ユーザーもわずか2名。Coxxs 氏は「DC3のユーザーはDC1へ移行済みの可能性が高い」と結論づけた。さらに、ボットが当初 DC2 を検出できなかった謎も判明した。DC2・DC3 は Web CDN 提供のために DC4・DC1 のドメインを借用しており、見かけ上は別拠点のふりをしていたのだ。加えて電話番号の国番号で自動割当されるため、中国系ユーザーは DC5 に集中し、障害報告も目立つという。

公式発表を鵜呑みにしないという流儀 #

Telegram は分散性やプライバシーへの配慮をアピール材料にしてきたが、実際に機能しているのは事実上4拠点で、うち1つは看板だけの状態だった。ユーザーが「データがどの法域に置かれているか」を判断する材料として拠点数を見ていたなら、その前提はすでに崩れている。

ベンダーの主張を検証もせず信じるのではなく、プロトコルを直接叩いて事実を確かめる——これは脆弱性診断や OSINT 調査の基本姿勢そのものだ。今回の調査に大掛かりなツールは要らない。クライアントの挙動を観察し、地道に潰していく手法は、誰でも再現できる。