Статья Как не потерять доступ к Telegram и защититься от взлома

[vaspvort]

Мне регулярно пишут в моего бота для обратной связи что то вроде «Антон, пожалуйста, помоги! Я перешёл(а) по ссылке — и у меня украли аккаунт».




Основная беда Telegram с точки зрения безопасности — любой, кто владеет аккаунтом больше суток, может разрывать все сессии, включая сессию хозяина аккаунта. Дальше уже тщетные попытки вернуть аккаунт спотыкаются о скорость мошенника, который выкидывает хозяина из сессии.



Ошибка с просьбой подождать из-за количества попыток входа
Какое-то время мой способ действительно работал, и я помогал всем, кто обращался. Механика была простая — войти в аккаунт пользователя и начать спамить во все стороны, чтобы добиться выкидывания из всех сессий, включая сессию мошенника. Дальше уже хозяин аккаунта входил в телегу и оставался её хозяином.

Вскоре Telegram обновил политику безопасности — и этот способ перестал действовать. Возможно, разработчики решили, что “мошенники тоже люди и пусть тоже зарабатывают свой хлеб”. В итоге пришли к тому, что мошенник может спокойно хозяйничать в аккаунте, а вернуть его можно, только опираясь на веру в чудо.

Если вы читаете после того, как вас взломали — всё равно дочитайте его до конца.

• Во-первых, чтобы знать, как не попасть в подобную ситуацию в будущем и оградить от этого риска ваших близких;
• Во-вторых, в конце я расскажу про метод, который может сработать даже сейчас.

Как защитить свой Telegram​

Я решил собрать тут все аспекты безопасности, которые знаю. Они могут показаться очевидными тем, кто их соблюдает на регулярных основаниях. Если они все для вас очевидны, то поздравляю — у вас вряд ли угоняли когда-либо аккаунт.

Если вы выполните все пункты, можете спать спокойно — аккаунт никто не угонит (на момент написания этой статьи).

1. Доступ к SIM-карте​

Казалось бы, очевидно: номер телефона — это ключ к вашему аккаунту. И странно предполагать, что у вас к нему нет доступа. Но около трети всех обращений в мой бот были связаны с утратой доступа к SIM-карте. Причины потери доступа разные:

• купили “левую” SIM-карту в переходе и она перестала работать;
• симку покупали в поездке и она уже не активна;
• переехали в другую страну, а телеграм остался на старом, уже не рабочем, номере.

Проблема в том, что Telegram отправляет коды только на тот номер, к которому изначально был привязан аккаунт. Ни по почте, ни другим способом войти не получится. И когда разрывает сессию на всех устройствах, то код можно отправить только в смс. То есть, при смерти симки, умирает и ваш телеграм-аккаунт.



Что делать:

• Проверьте, есть ли у вас стабильный доступ к номеру. Что его не заблокировал оператор, что на нем есть баланс и номер оформлен на ваши паспортные данные;
• Если SIM-карта сомнительная или утеряна — привяжите аккаунт к настоящему, доступному номеру. Это стоит сделать прямо сейчас, отложив все дела.

Телеграм иногда любезно спрашивает — есть ли еще доступ к номеру телефона, к которому привязан аккаунт. Примерно раз в месяц и делает он это не очень очевидно.

2. Облачный пароль (two-step verification)​

Много лет назад в телеге появился функционал облачного пароля. После ввода кода авторизации надо ввести облачный пароль. Это спасает от ситуации, когда доступ к смскам на телефоне получил левый человек или оператор химичит и читает другие смски.

Без облачного пароля, в таких ситуациях, мошенник завладеет аккаунтом, поставит свой облачный пароль и вернуть аккаунт будет практически невозможно.



Что делать:

• Обязательно включите двухэтапную авторизацию.
• Пароль может быть простым: хотя бы 6 символов, заглавная и строчная буква. Необязательно придумывать жесткий хардкор, который вы будете потом полчаса вводить руками.
• Главное — сохраните его в надёжном месте, иначе вы сами не сможете восстановить доступ. Подойдет keepass или любые другие приложения для хранения паролей.

3. Привязанная почта​

На скрине выше видно, что при установке облачного пароля можно указать электронную почту для восстановление пароля в будущем. Это может быть полезным, если пароль будет забыт. Но это же и создает дополнительную брешь в безопасности — мошеннику теперь достаточно получить доступ к телефону и почте для получения контроля над аккаунтом.

Еще привязанная почта может оказаться полезной для обращения в "поддержку" телеги. Когда угоняют аккаунт можно написать на кучу почтовых ящиков Telegram и надеяться на чудо. По субъективной статистике — если писать с привязанной почты, то сессию мошенникам разрывали с большей вероятностью.

Но тут, увы, никакой доказательной базы под это нет. Я вообще считаю "поддержку" телеги самым настоящим плевком в лицо миллиардной аудитории мессенджера, косящего под супер безопасный и надежный способ общения.

4. Вход через Telegram ≠ передача доступа​

Одна из основных механик развода (я бы даже сказал единственная) — развести мамонта человека на переход по ссылке с каким-либо голосованием или вообще чем угодно (например "вам подарили Telegram Premium"). Дальше происходит развод из серии "войдите через Telegram, чтобы подтвердить личность".

Поэтому я решил написать пару абзацев для пояснения разницы между "войти на сайт через телегу" и "любезно передать телегу мошенникам".

При "входе через Telegram" от вас никогда и никто не попросит номер телефона, код из SMS или облачный пароль. Если у вас просят ввести что угодно из этого списка — вас хотят оставить без вашего драгоценного аккаунта. Механика "входа через" или Oauth построена на следующем механизме:

1. Пользователь нажимает "войти через";
2. Переход на сайт telegram (или непосредственно в приложение);
3. Дальше в телеге читает сообщение вида "Вы хотите войти через телеграм на сайт ЛЕГКИЕДЕНЬГИБЕСПЛАТНО?";
4. Пользователь дает добро;
5. Пользователя переводит на страницу сайта с кодом в адресной строке;
6. Сайт делает запрос на сервер телеграм, использую код из адресной строки;
7. Телеграм отдает Telegram User Id для идентификации пользователя;
8. Сайт пускает пользователя на сайт.

Обратите внимание на пункты 2-4. Вся механика с авторизационными данными телеги происходит на сайте или в приложении самой телеги. А мошенники любезно маскируют под телеграм свой сайт и начинают спрашивать телефон и облачный пароль и забирают эту информацию себе.

Запомните:
Настоящий вход через Telegram не требует от вас:
– номера телефона,
– кода из SMS,
– облачного пароля.

Если вы видите сайт, который просит эти данные — это мошенники.

Как работает честный вход:
– Вас перекидывает в Telegram.
– Вы нажимаете "Разрешить доступ".
– Telegram передаёт сайту только ваш Telegram ID — и всё.

5. Кастомные клиенты​

Отдельного внимания заслуживают кастомные клиентские приложения Telegram. Ведь у телеги открытое API => кто угодно может сделат "свой телеграм клиент" с разными свистелками и улучшениями. Одним из таких улучшений может быть прекрасная функция "отдай свой аккаунт мошеннику с облачным паролем и смс",

Никакие "особые" Telegram-клиенты, "восстановители переписок" и "волшебные рилсы" в соцсетях не возвращают удалённые сообщения. Это только способ выманить у вас сессию. Используйте только официальные клиенты Telegram, а именно те клиенты, которые можно скачать с сайта

Для просмотра ссылки необходимо нажать Вход или Регистрация

— дальше уже можно перейти в магазин под конкретную платформу.

Клонов может быть много и они даже могут быть очень похожими на нативный клиент, но лучше перестраховаться.

6. Системные уведомления от Telegram​

У каждого в телеге есть системный аккаунт Telegram, который пишет уведомления о новых входах с устройств. Каждое сообщение оттуда нужно внимательно читать. Особенно если

Приходит сообщение вида "Антон, кто-то вошёл в твой аккаунт с такого-то устройства, с такого-то IP.". Стоит убедиться, что это действительно мой вход и мое устройство



Тут видно, что в городе Раменское был произведен вход с устройства Latitude и B450M. Это я входил и точно понимаю, что это был я.

7. Проверяйте устройства в Telegram.​

Этот пункт уже для параноиков вроде меня — регулярно ходить в список активных сессий и мониторить на предмет левых сессий. Если мошенник зашел в ваш аккаунт, то у вас есть сутки, чтобы его оттуда выкинуть. Спустя сутки вас выкинет уже он сам и останется хозяином аккаунта. Я сам проверяю список активных устройств примерно раз в два-три дня.

8. Что делать если аккаунт угнали​

Ну и напоследок, если вы дочитали досюда и вдруг у вас всё-таки аккаунт угнали, расскажу про одну теорию. Она пока что работает время от времени.

У телеги есть механизм ограничения конфиденциальности. То есть, если у меня премиум-аккаунт или я из России — а для россиян эта функция доступна бесплатно, потому что в какой-то момент в России начали призывать к терактам, и Павел Дуров сказал: «Окей, пусть для русских это будет бесплатно». Я могу поставить галку, чтобы мне могли писать только люди с премиумом или только те, кто у меня в контактах.



И вот иногда эта система начинает работать против мошенников. Мы не можем вернуть доступ к аккаунту. Как только мы туда заходим, мошенник видит вход и моментально разрывает сессию. Мошенники даже делают ботов, которые разрывают все сессии постоянно. То есть получить доступ обратно практически невозможно.

У вас есть всего пару секунд, пока мошенник не выкинул вас. Иногда он теряет бдительность. В это короткое время вы создаёте чат — любой — и приглашаете в него человека, у которого:

• закрыта личка (вам нельзя писать в личку),
• и стоит ограничение на добавление в группы (его нельзя добавить, только по ссылке).

Вы добавляете его в этот чат (или пытаетесь). Telegram, пытаясь отправить сообщение от вашего имени такому пользователю, сам считает это спамом, помечает вас как спамера и выкидывает из всех сессий — и вас, и мошенника. После этого вы снова входите по SMS и получаете контроль над аккаунтом. Главное — иметь доступ к номеру.

Схема сложная и успеть достаточно тяжело. Но сработала несколько раз, но гарантий никаких нет.

9. Нерабочие способы возврата​

Помимо грустных историй о том, как человек потерял аккаунт, мне пользователи пишут еще истории о том, что именно они пробовали сделать для решения проблемы.

Самая частая из них: перевыпуск сим карты. И полностью бесполезная. Telegram — не Сбербанк, который подключен к операторам для мониторинга смены сим-карты. Телеге вообще все равно кто, каким образом и через какую симку получил код из смс. Есть код — есть доступ.

Некоторые еще сбрасывали телефон к исходным настройкам или переустанавливали винду на ПК. Аналогично — абсолютно бесполезное занятие. Это не вернет доступ, но поможет в случае наличия вируса на устройстве, которое передало сессию злоумышленнику.

10. Способы угона вашего аккаунта​

За пару лет практики возвратов доступа к аккаунтам в телеге я вычленил следующие причины потери доступа к аккаунту:

• Переход по ссылке, где дальше происходит вход в телегу и передача сессии;
• Кастомные клиенты, обещающие "вернуть удаленные сообщения". Про них писал выше;
• Вредоносное ПО. Кому-то ребенок на комп установил программу для получения денег в какой-то игре. Программа потребовала права администратора и стащила сессию пользователя.

На этом все. Других способов угона, глобально, нет. Мне много раз писали разные истории из серии "я ничего не делал и меня хакерски взломали", а потом выясняется, что он либо ходил голосовал со "входом через телеграм" или телеграм-клиент кастомный стоит. Говоря проще - в подобные истории я не верю и всегда человек сам отдает свою сессию тем или иным образом.

Вместо заключения​

Будьте внимательны к вашим аккаунтам и всегда следите куда и что вы вводите.

Для просмотра ссылки необходимо нажать Вход или Регистрация