Как устроен вход и где слабые места
Вход в Telegram привязан к номеру телефона. При входе на новом устройстве приложение присылает код в другой сеанс или в сообщении. Если у вас включён облачный пароль, после кода потребуется ещё и он. Отсюда следует главное: доступ к номеру и умение выманить код — основные способы, которыми пользуются злоумышленники.
Типичные сценарии таковы. Вас просят назвать код «для подтверждения участия», «для доставки» или «для проверки аккаунта». Присылают ссылку на страницу, которая просит ввести номер и код. Уговаривают отсканировать QR-код для «входа» или «выигрыша». В каждом из этих случаев вы сами передаёте посторонним возможность войти в ваш аккаунт.
Ещё один риск — перевыпуск SIM-карты: если посторонний получает копию вашей карты, он получает и коды. От этого защищает облачный пароль, который не приходит по SMS. Поэтому его нужно включать всем без исключения.
Важно помнить и о том, что переписка в обычных чатах хранится на серверах сервиса, а не только на вашем устройстве, поэтому доступ к аккаунту означает доступ к истории сообщений. Это ещё одна причина не оставлять без внимания незнакомые сеансы. Отдельно подумайте о резервной копии номера: если вы меняете SIM-карту, заранее убедитесь, что облачный пароль включён и вы его помните, чтобы не потерять доступ в момент смены.
Облачный пароль и резервные способы
Облачный пароль, который в приложении называют двухэтапной аутентификацией, добавляется к коду из сообщения. Включается он в настройках конфиденциальности: ищите раздел с названием вроде «двухэтапная аутентификация» или «облачный пароль». Названия пунктов зависят от версии приложения.
При настройке приложение предложит указать подсказку и резервную почту для восстановления пароля. Подсказка не должна раскрывать пароль. Резервная почта должна быть вашей и защищённой, потому что через неё можно сбросить облачный пароль. Если почта слабо защищена, вы создаёте лазейку.
Пароль должен быть длинным и уникальным. Не используйте тот же пароль, что и в других сервисах. Запишите его или сохраните в менеджере паролей. Если вы его забудете и потеряете доступ к почте, восстановить аккаунт будет сложно.
Не вводите облачный пароль нигде, кроме самого приложения на вашем устройстве. Просьба ввести его на сайте или в чужом боте — признак обмана.
Активные сеансы: как посмотреть и завершить
Telegram показывает список устройств, на которых выполнен вход, и позволяет завершать сеансы. Найдите этот раздел в настройках, в пункте про устройства. Посмотрите название устройства, приложение, местоположение и время последней активности. Незнакомый сеанс завершите сразу, после этого смените облачный пароль.
Настройте срок автоматического завершения неактивных сеансов, если такая функция доступна: это уменьшает риск, что старая забытая сессия окажется чужой. Не входите в аккаунт на чужих устройствах без необходимости, а если входите, обязательно завершайте сеанс.
Отдельно проверьте функцию входа по QR-коду. Сканировать нужно только тот код, который показывает ваше собственное новое устройство на странице входа. Код из чата, с картинки или из объявления сканировать нельзя: он привязывает к вашему аккаунту чужое устройство.
Приватность: номер, звонки, группы
Настройки конфиденциальности позволяют ограничить, кто видит ваш номер телефона, время последнего посещения, фото профиля, кто может звонить, писать и добавлять вас в группы. Разумная база: номер виден никому, а находить вас по номеру могут только контакты; добавлять в группы могут только контакты.
| Настройка | Разумное значение | Зачем |
|---|---|---|
| Номер телефона | Никто или только контакты | Затрудняет сбор данных о вас |
| Кто может добавлять в группы | Мои контакты | Меньше спама и приглашений в подозрительные чаты |
| Кто может звонить | Контакты | Меньше нежелательных звонков |
| Пересылка сообщений | Ограничить по ситуации | Защита от использования ваших слов |
| Автоудаление сеансов | Короткий срок | Меньше забытых сеансов |
Также отключите автоматическую загрузку файлов от незнакомых и не открывайте вложения от неизвестных контактов. Подозрительные чаты с «инвестициями» и «работой» покидайте без обсуждения: их цель — привлечь вас к схеме.
Порядок настройки по шагам
Один раз потратьте несколько минут и пройдите по списку.
- Откройте настройки и найдите раздел конфиденциальности.
- Включите облачный пароль и настройте резервную почту.
- Проверьте, что резервная почта защищена собственным вторым фактором.
- Просмотрите список устройств и завершите незнакомые сеансы.
- Ограничьте видимость номера и круг тех, кто может писать и добавлять в группы.
- Отключите автозагрузку файлов от незнакомых.
- Проверьте, что вы не привязывали чужие устройства через QR-код.
- Запомните: коды входа и облачный пароль никому не называют.
Повторяйте проверку сеансов раз в несколько месяцев. Заодно проверьте, нет ли на устройстве непонятных приложений и расширений, которым вы выдали большие права: такие программы иногда способны читать сообщения.
Полезно регулярно вспоминать, какие боты и мини-приложения вы подключали. Некоторые из них запрашивают доступ к контактам и данным профиля, а часть может использоваться для рассылок или сбора сведений. Удалите те, которыми не пользуетесь, и не вводите в ботах пароли, коды и реквизиты карты. Настоящие сервисы такие данные через чат-бота не запрашивают.
Если аккаунт уже взломан
Если вы потеряли доступ, войдите заново по номеру телефона: приложение отправит код. Если вход выполнен, сразу завершите все чужие сеансы и смените облачный пароль. Если облачный пароль не работает, воспользуйтесь резервной почтой. Затем предупредите контакты другим способом, что от вашего имени могли писать с просьбами денег или ссылками. Порядок восстановления подробно разобран в отдельной статье о взломе аккаунта в Telegram.
Не переводите деньги «за возврат аккаунта» и не сообщайте данные тем, кто предлагает помощь в личных сообщениях: часто это те же мошенники. Если посторонний использовал ваш аккаунт для просьб о деньгах, сохраните доказательства и при необходимости обратитесь в правоохранительные органы. Если у вас возникло подозрение на перевыпуск SIM-карты, свяжитесь с оператором связи.