Как защитить аккаунт Telegram от взлома: 4 шага

Взлом аккаунта Telegram почти никогда не похож на кино про хакеров. Чаще всего человек сам называет код из SMS, сканирует чужой QR-код или заходит на «официальную» страницу, которая оказывается копией. Дальше злоумышленник получает переписку, контакты, доступ к каналам и группам, а иногда и возможность писать вашим знакомым от вашего имени. Хорошая новость: основные защитные меры занимают четверть часа и делаются в самом приложении.

Как аккаунты Telegram теряют на самом деле

Код входа отдан сам. Звонок или сообщение «из поддержки», «из банка», «курьер просит код». Код из Telegram нельзя сообщать никому и никогда: он нужен только для входа с вашего номера.
Фишинг. Ссылка на «проверку аккаунта», «голосование» или «выигрыш», которая просит ввести номер и код. Страница выглядит как Telegram, но адрес другой.
Чужой QR-код. Вход по QR работает как приглашение: тот, кто отсканировал код со своего телефона, подключает к своему аккаунту устройство, на котором этот код показан. Если вас просят «отсканировать для подтверждения», это попытка подключить чужое устройство к вашему аккаунту.
Перехват SMS. SIM-карту могут переоформить на злоумышленника или перехватить сообщение. Если у аккаунта нет облачного пароля, код из SMS остаётся единственной защитой.
Забытые сеансы. Когда-то вы входили с чужого компьютера или тестового сервиса и не вышли. Сеанс остаётся активным месяцами.

Шаг 1. Включите облачный пароль

Это самое важное. Откройте Настройки → Конфиденциальность → Облачный пароль (в английском приложении Settings → Privacy and Security → Two-Step Verification) и задайте пароль. Теперь при каждом новом входе Telegram спрашивает не только код, но и этот пароль.

Пароль должен быть уникальным: не тот, что от почты или банка.
Укажите резервную почту. Без неё забытый пароль придётся сбрасывать неделю, а любой, кто получит доступ к вашей почте, сможет начать сброс. Почту для восстановления защитите так же, как сам аккаунт.
Подсказку к паролю не делайте очевидной для посторонних.

Шаг 2. Проверьте список устройств

Откройте Настройки → Устройства. Здесь видны все активные сеансы: приложение, система, город и время последней активности. Незнакомое устройство завершайте сразу кнопкой «Завершить сеанс». Нажав «Завершить все остальные сеансы», вы выйдете со всех устройств, кроме текущего.

Там же настройте автоматическое завершение неактивных сеансов: через 1 неделю, 1 месяц, 3 или 6 месяцев. Тогда забытые входы сами уйдут из списка.

Шаг 3. Закройте лишнее в приватности

В разделе Настройки → Конфиденциальность проверьте:

Номер телефона. Лучше, чтобы его видели только контакты или никто.
Кто может добавлять в группы. Уберите «Все», иначе вас будут втягивать в спам-чаты и мошеннические рассылки.
Код-пароль на приложение. Он защищает переписку, если телефон попал в чужие руки.

Шаг 4. Научитесь узнавать подделки

Служебные сообщения о входе приходят только в официальный чат «Telegram» (с галочкой), а не в обычный диалог с пользователем.
Telegram не просит код по телефону, не пишет первым про «блокировку» и не требует перейти по ссылке, чтобы «подтвердить аккаунт».
Прежде чем вводить номер и код на странице, посмотрите адрес целиком. Заходите в аккаунт только через приложение.
Бот или человек, которому вы по просьбе дали доступ к аккаунту, получает вашу переписку. Проверьте, кому вы доверяете.

Что делать, если аккаунт уже взломан

Войдите заново с номера (если получится) и сразу откройте Настройки → Устройства, завершите все чужие сеансы.
Включите облачный пароль или смените его.
Предупредите контакты и админов ваших каналов: от вашего имени могли просить деньги.
Проверьте, какие боты и сервисы имеют доступ к аккаунту, и отключите лишние.
Если войти не получается, напишите в поддержку Telegram из приложения или через сайт telegram.org/support.

Частые вопросы

Достаточно ли одного кода из SMS? Нет, SMS можно перехватить, а код выманить. Облачный пароль добавляет второй шаг, который знаете только вы.

Что будет, если забыть облачный пароль? Если указана резервная почта, пароль можно сбросить через неё. Без почты придётся ждать и терять данные аккаунта, поэтому почту указывайте сразу.

Опасно ли подключать аккаунт к сервисам? Любое подключение создаёт отдельный сеанс с доступом к переписке. Подключайте только сервисы, которым доверяете, и знайте, как завершить сеанс.

Нужен ли облачный пароль, если приложение защищено код-паролем? Да. Код-пароль защищает телефон, облачный пароль защищает вход с любого нового устройства.

Как это устроено в Zion Tools

Когда вы подключаете аккаунт Telegram в кабинете (по QR-коду или по номеру), Zion Tools открывает отдельный сеанс. В Telegram он виден в «Настройки → Устройства» под названием «Zion Tools», и завершить его можно в любой момент оттуда: сервис потеряет доступ сразу. Если у аккаунта включён облачный пароль, кабинет спросит его при входе по QR-коду, а мы нигде не просим код входа по телефону вне самого окна подключения.

Сам кабинет тоже стоит защитить: двухфакторная защита в «Настройки → Безопасность» работает с passkey, Google Authenticator и кодом в Telegram. Чтобы нескольким аккаунтам не мешали друг другу чужие сеансы, держите их в одном окне через Мультиаккинг, а о том, как не получить ограничения при работе с пересылкой, читайте в статье про безопасность пересылки. Если аккаунт выйдет из сети, уведомления расскажут об этом в Telegram.

Зарегистрироваться