Прошло уже два года с момента, как я выложил ролик и пост о том, как вернул Telegram своей подруге с помощью javascript. С тех пор мне удалось помочь более чем сотне человек вернуть доступ к своим аккаунтам. Мне регулярно пишут в моего бота для обратной связи что то вроде «Антон, пожалуйста, помоги! Я перешёл(а) по ссылке — и у меня украли аккаунт».

Основная беда Telegram с точки зрения безопасности — любой, кто владеет аккаунтом больше суток, может разрывать все сессии, включая сессию хозяина аккаунта. Дальше уже тщетные попытки вернуть аккаунт спотыкаются о скорость мошенника, который выкидывает хозяина из сессии.

Какое-то время мой способ действительно работал, и я помогал всем, кто обращался. Механика была простая — войти в аккаунт пользователя и начать спамить во все стороны, чтобы добиться выкидывания из всех сессий, включая сессию мошенника. Дальше уже хозяин аккаунта входил в телегу и оставался её хозяином.

Вскоре Telegram обновил политику безопасности — и этот способ перестал действовать. Возможно, разработчики решили, что “мошенники тоже люди и пусть тоже зарабатывают свой хлеб”. В итоге пришли к тому, что мошенник может спокойно хозяйничать в аккаунте, а вернуть его можно, только опираясь на веру в чудо. На тему моего разочарования в телеге в этом плане писал длинный пост в своем канале со всеми-ссылками, подтверждающими мое негодование.

Предвижу, что после этой статьи мне снова начнут писать в разную личку с просьбами вернуть доступ к аккаунту. Пишу для таких людей — не надо мне писать. Увы, но я помочь не смогу. Мой способ не работает уже достаточно давно и помочь я вам не смогу. Смотрите только пункт 8 этой публикации.

Если вы читаете после того, как вас взломали — всё равно дочитайте его до конца.

• Во-первых, чтобы знать, как не попасть в подобную ситуацию в будущем и оградить от этого риска ваших близких;

• Во-вторых, в конце я расскажу про метод, который может сработать даже сейчас.

🔐 Как защитить свой Telegram

Я решил собрать тут все аспекты безопасности, которые знаю. Они могут показаться очевидными тем, кто их соблюдает на регулярных основаниях. Если они все для вас очевидны, то поздравляю — у вас вряд ли угоняли когда-либо аккаунт.

Если вы выполните все пункты, можете спать спокойно — аккаунт никто не угонит (на момент написания этой статьи).

У данной публикации есть также видео-версия (🎥 YouTube | VK | Rutube | Dzen | PL 🎥).

1. Доступ к SIM-карте

Казалось бы, очевидно: номер телефона — это ключ к вашему аккаунту. И странно предполагать, что у вас к нему нет доступа. Но около трети всех обращений в мой бот были связаны с утратой доступа к SIM-карте. Причины потери доступа разные:

• купили “левую” SIM-карту в переходе и она перестала работать;

• симку покупали в поездке и она уже не активна;

• переехали в другую страну, а телеграм остался на старом, уже не рабочем, номере.

Проблема в том, что Telegram отправляет коды только на тот номер, к которому изначально был привязан аккаунт. Ни по почте, ни другим способом войти не получится. И когда разрывает сессию на всех устройствах, то код можно отправить только в смс. То есть, при смерти симки, умирает и ваш телеграм-аккаунт.

Что делать:

• Проверьте, есть ли у вас стабильный доступ к номеру. Что его не заблокировал оператор, что на нем есть баланс и номер оформлен на ваши паспортные данные;

• Если SIM-карта сомнительная или утеряна — привяжите аккаунт к настоящему, доступному номеру. Это стоит сделать прямо сейчас, отложив все дела.

Телеграм иногда любезно спрашивает — есть ли еще доступ к номеру телефона, к которому привязан аккаунт. Примерно раз в месяц и делает он это не очень очевидно.

2. Облачный пароль (two-step verification)

Много лет назад в телеге появился функционал облачного пароля. После ввода кода авторизации надо ввести облачный пароль. Это спасает от ситуации, когда доступ к смскам на телефоне получил левый человек или оператор химичит и читает другие смски.

Без облачного пароля, в таких ситуациях, мошенник завладеет аккаунтом, поставит свой облачный пароль и вернуть аккаунт будет практически невозможно.

Что делать:

• Обязательно включите двухэтапную авторизацию.

• Пароль может быть простым: хотя бы 6 символов, заглавная и строчная буква. Необязательно придумывать жесткий хардкор, который вы будете потом полчаса вводить руками.

• Главное — сохраните его в надёжном месте, иначе вы сами не сможете восстановить доступ. Подойдет keepass или любые другие приложения для хранения паролей.

3. Привязанная почта

На скрине выше видно, что при установке облачного пароля можно указать электронную почту для восстановление пароля в будущем. Это может быть полезным, если пароль будет забыт. Но это же и создает дополнительную брешь в безопасности — мошеннику теперь достаточно получить доступ к телефону и почте для получения контроля над аккаунтом.

Еще привязанная почта может оказаться полезной для обращения в "поддержку" телеги. Когда угоняют аккаунт можно написать на кучу почтовых ящиков Telegram и надеяться на чудо. По субъективной статистике — если писать с привязанной почты, то сессию мошенникам разрывали с большей вероятностью.

Но тут, увы, никакой доказательной базы под это нет. Я вообще считаю "поддержку" телеги самым настоящим плевком в лицо миллиардной аудитории мессенджера, косящего под супер безопасный и надежный способ общения.

4. Вход через Telegram ≠ передача доступа

Одна из основных механик развода (я бы даже сказал единственная) — развести мамонта человека на переход по ссылке с каким-либо голосованием или вообще чем угодно (например "вам подарили Telegram Premium"). Дальше происходит развод из серии "войдите через Telegram, чтобы подтвердить личность".

Поэтому я решил написать пару абзацев для пояснения разницы между "войти на сайт через телегу" и "любезно передать телегу мошенникам".

При "входе через Telegram" от вас никогда и никто не попросит номер телефона, код из SMS или облачный пароль. Если у вас просят ввести что угодно из этого списка — вас хотят оставить без вашего драгоценного аккаунта. Механика "входа через" или Oauth построена на следующем механизме:

1. Пользователь нажимает "войти через";

2. Переход на сайт telegram (или непосредственно в приложение);

3. Дальше в телеге читает сообщение вида "Вы хотите войти через телеграм на сайт ЛЕГКИЕДЕНЬГИБЕСПЛАТНО?";

4. Пользователь дает добро;

5. Пользователя переводит на страницу сайта с кодом в адресной строке;

6. Сайт делает запрос на сервер телеграм, использую код из адресной строки;

7. Телеграм отдает Telegram User Id для идентификации пользователя;

8. Сайт пускает пользователя на сайт.

Обратите внимание на пункты 2-4. Вся механика с авторизационными данными телеги происходит на сайте или в приложении самой телеги. А мошенники любезно маскируют под телеграм свой сайт и начинают спрашивать телефон и облачный пароль и забирают эту информацию себе.

Запомните:
Настоящий вход через Telegram не требует от вас:
– номера телефона,
– кода из SMS,
– облачного пароля.

Если вы видите сайт, который просит эти данные — это мошенники.

Как работает честный вход:
– Вас перекидывает в Telegram.
– Вы нажимаете "Разрешить доступ".
– Telegram передаёт сайту только ваш Telegram ID — и всё.

5. Кастомные клиенты

Отдельного внимания заслуживают кастомные клиентские приложения Telegram. Ведь у телеги открытое API => кто угодно может сделат "свой телеграм клиент" с разными свистелками и улучшениями. Одним из таких улучшений может быть прекрасная функция "отдай свой аккаунт мошеннику с облачным паролем и смс",

Никакие "особые" Telegram-клиенты, "восстановители переписок" и "волшебные рилсы" в соцсетях не возвращают удалённые сообщения. Это только способ выманить у вас сессию. Используйте только официальные клиенты Telegram, а именно те клиенты, которые можно скачать с сайта telegram.org — дальше уже можно перейти в магазин под конкретную платформу.

Клонов может быть много и они даже могут быть очень похожими на нативный клиент, но лучше перестраховаться.

6. Системные уведомления от Telegram

У каждого в телеге есть системный аккаунт Telegram, который пишет уведомления о новых входах с устройств. Каждое сообщение оттуда нужно внимательно читать. Особенно если

Приходит сообщение вида "Антон, кто-то вошёл в твой аккаунт с такого-то устройства, с такого-то IP.". Стоит убедиться, что это действительно мой вход и мое устройство

7. Проверяйте устройства в Telegram.

Этот пункт уже для параноиков вроде меня — регулярно ходить в список активных сессий и мониторить на предмет левых сессий. Если мошенник зашел в ваш аккаунт, то у вас есть сутки, чтобы его оттуда выкинуть. Спустя сутки вас выкинет уже он сам и останется хозяином аккаунта. Я сам проверяю список активных устройств примерно раз в два-три дня.

8. Что делать если аккаунт угнали

Ну и напоследок, если вы дочитали досюда и вдруг у вас всё-таки аккаунт угнали, расскажу про одну теорию. Она пока что работает время от времени.

У телеги есть механизм ограничения конфиденциальности. То есть, если у меня премиум-аккаунт или я из России — а для россиян эта функция доступна бесплатно, потому что в какой-то момент в России начали призывать к терактам, и Павел Дуров сказал: «Окей, пусть для русских это будет бесплатно». Я могу поставить галку, чтобы мне могли писать только люди с премиумом или только те, кто у меня в контактах.

И вот иногда эта система начинает работать против мошенников. Мы не можем вернуть доступ к аккаунту. Как только мы туда заходим, мошенник видит вход и моментально разрывает сессию. Мошенники даже делают ботов, которые разрывают все сессии постоянно. То есть получить доступ обратно практически невозможно.

У вас есть всего пару секунд, пока мошенник не выкинул вас. Иногда он теряет бдительность. В это короткое время вы создаёте чат — любой — и приглашаете в него человека, у которого:

• закрыта личка (вам нельзя писать в личку),

• и стоит ограничение на добавление в группы (его нельзя добавить, только по ссылке).

Вы добавляете его в этот чат (или пытаетесь). Telegram, пытаясь отправить сообщение от вашего имени такому пользователю, сам считает это спамом, помечает вас как спамера и выкидывает из всех сессий — и вас, и мошенника. После этого вы снова входите по SMS и получаете контроль над аккаунтом. Главное — иметь доступ к номеру.

Схема сложная и успеть достаточно тяжело. Но сработала несколько раз, но гарантий никаких нет.

9. Нерабочие способы возврата

Помимо грустных историй о том, как человек потерял аккаунт, мне пользователи пишут еще истории о том, что именно они пробовали сделать для решения проблемы.

Самая частая из них: перевыпуск сим карты. И полностью бесполезная. Telegram — не Сбербанк, который подключен к операторам для мониторинга смены сим-карты. Телеге вообще все равно кто, каким образом и через какую симку получил код из смс. Есть код — есть доступ.

Некоторые еще сбрасывали телефон к исходным настройкам или переустанавливали винду на ПК. Аналогично — абсолютно бесполезное занятие. Это не вернет доступ, но поможет в случае наличия вируса на устройстве, которое передало сессию злоумышленнику.

10. Способы угона вашего аккаунта

За пару лет практики возвратов доступа к аккаунтам в телеге я вычленил следующие причины потери доступа к аккаунту:

• Переход по ссылке, где дальше происходит вход в телегу и передача сессии;

• Кастомные клиенты, обещающие "вернуть удаленные сообщения". Про них писал выше;

• Вредоносное ПО. Кому-то ребенок на комп установил программу для получения денег в какой-то игре. Программа потребовала права администратора и стащила сессию пользователя.

На этом все. Других способов угона, глобально, нет. Мне много раз писали разные истории из серии "я ничего не делал и меня хакерски взломали", а потом выясняется, что он либо ходил голосовал со "входом через телеграм" или телеграм-клиент кастомный стоит. Говоря проще - в подобные истории я не верю и всегда человек сам отдает свою сессию тем или иным образом.

Вместо заключения

Будьте внимательны к вашим аккаунтам и всегда следите куда и что вы вводите.

Предвижу, что после этой статьи мне снова начнут писать в разную личку с просьбами вернуть доступ к аккаунту. Пишу для таких людей — не надо мне писать. Увы, но я помочь не смогу. Мой способ не работает уже достаточно давно и помочь я вам не смогу. Смотрите только пункт 8 этой публикации.