Как обычно теряют аккаунты
Вход в Telegram устроен через номер телефона и одноразовый код. Код приходит в служебный чат Telegram на уже подключённых устройствах или по SMS. Кто знает код, тот и входит. Поэтому почти все схемы угона сводятся к одному: заставить человека этот код отдать. Пишет «знакомый» с просьбой проголосовать за племянницу, приходит сообщение о бесплатном подарке, «служба поддержки» сообщает о подозрительной активности. Во всех случаях в конце нужно ввести или переслать код.
Есть и другие пути. Аккаунт остаётся открытым на старом телефоне, который продали или отдали. Кто-то из близких знает пароль от телефона. Злоумышленник получает доступ к SIM-карте или к почте, привязанной к облачному паролю. Ниже разберём защиту от каждого из этих случаев. Большинство настроек делается один раз и занимает несколько минут.
Облачный пароль: главная защита
Облачный пароль (двухэтапная аутентификация) добавляет второй шаг при входе на новом устройстве: после кода из SMS Telegram попросит пароль, который знаете только вы. Даже если код украдут, без пароля войти не получится. Если сделать только одно действие из этой статьи, пусть это будет облачный пароль. Путь: Настройки → Конфиденциальность → Облачный пароль.
Обязательно привяжите почту для восстановления и подтвердите её кодом из письма. Без почты забытый облачный пароль восстановить не получится, и доступ к аккаунту на новом устройстве может быть потерян. Саму почту тоже защитите: включите на ней двухэтапный вход, ведь доступ к ней позволяет сбросить пароль Telegram. Порядок действий такой.
- Придумайте пароль, который не используете больше нигде: фразу из нескольких слов запомнить легче, чем набор символов.
- Подсказку пишите так, чтобы она помогала вам, но ничего не говорила постороннему.
- Укажите почту для восстановления и введите код подтверждения из письма.
- Сохраните пароль в менеджере паролей или в надёжном месте офлайн.
Код входа никому не сообщайте
Правило простое: код из SMS или из служебного чата Telegram нужен только для входа, и вводить его можно только в само приложение Telegram, когда входите вы. Сотрудники Telegram никогда не просят прислать код в чат. Ни бот, ни «модератор», ни «банк», ни друг не должны его получать. Если кто-то просит код, значит, этот человек пытается войти в ваш аккаунт.
Насторожиться стоит и в менее очевидных ситуациях. Сайт для «голосования» просит войти через Telegram и ввести номер с кодом. Бот обещает бесплатную подписку Premium после подтверждения. Друг в переписке внезапно просит помочь с кодом, который «случайно пришёл на ваш номер». Если сомневаетесь, позвоните другу по обычной связи и уточните, писал ли он вам. Взломанные аккаунты часто используют именно для рассылки таких просьб по контактам.
Активные сеансы: кто сейчас в вашем аккаунте
Telegram показывает все устройства, на которых открыт ваш аккаунт. Путь: Настройки → Устройства. Там видно модель устройства, приложение, примерное место и время последней активности. Пройдитесь по списку: всё ли вам знакомо? Старый телефон, рабочий компьютер, на котором вы когда-то входили, планшет, отданный ребёнку, всё это открытые двери.
Незнакомый сеанс завершите сразу, нажав на него. Если сомневаетесь, нажмите «Завершить все другие сеансы»: останется только текущее устройство, а на остальных придётся входить заново. В этом же разделе можно настроить автоматическое завершение сеансов, которые долго не использовались. Когда кто-то входит в аккаунт с нового устройства, Telegram присылает уведомление в служебный чат. Если вы такого входа не делали, немедленно завершите этот сеанс и смените облачный пароль.
Проверять список сеансов стоит не только при подозрениях. Возьмите за привычку заглядывать туда раз в месяц, а также после того, как входили в Telegram на чужом компьютере, например в гостях или в офисе. Сеанс в Telegram Desktop на рабочем ноутбуке, который вы сдали при увольнении, остаётся открытым, пока вы его не завершите.
Код-пароль на само приложение
Облачный пароль защищает от входа с чужого устройства, но не от человека, который взял ваш телефон, пока экран открыт. Для этого есть код-пароль: Настройки → Конфиденциальность → Код-пароль. После включения Telegram при открытии будет просить код из цифр, а на телефонах с Face ID или отпечатком пальца можно открывать приложение биометрией.
Задайте время, через которое приложение будет снова запрашивать код, если вы им не пользуетесь. Учтите: если забыть код-пароль, придётся удалить и переустановить приложение, а секретные чаты на этом устройстве пропадут. Обычные чаты сохранятся в облаке. Код-пароль особенно полезен, если телефоном пользуется кто-то ещё или вы часто оставляете его на столе в офисе.
Для особо личных разговоров в Telegram есть секретные чаты. Они шифруются между двумя устройствами, хранятся только на них и не попадают в облако. Их можно настроить на автоматическое удаление сообщений через заданное время. Начать секретный чат можно из профиля собеседника на телефоне.
Настройки приватности
Чем меньше посторонние знают о вас, тем сложнее подготовить убедительную мошенническую схему. Злоумышленники собирают фото, номер и круг знакомых, чтобы писать от имени «коллеги» или «родственника». В разделе Настройки → Конфиденциальность каждая настройка позволяет выбрать «Все», «Мои контакты» или «Никто», а также добавить исключения. Мы рекомендуем пройтись по этим пунктам.
- Номер телефона: показывать только контактам или никому, а поиск по номеру ограничить контактами.
- Время последнего захода: скрыть от посторонних, чтобы по нему нельзя было отслеживать ваш режим.
- Фотография профиля: показывать контактам, если не хотите, чтобы её видели незнакомцы.
- Пересылка сообщений: запретить ссылку на ваш аккаунт при пересылке ваших сообщений.
- Группы и каналы: разрешить приглашать вас только контактам, чтобы не попадать в спам-чаты.
- Звонки: ограничить контактами, если вам звонят незнакомые аккаунты.
Если аккаунт уже взломали
Действуйте быстро. Если у вас остался доступ хотя бы на одном устройстве, откройте Настройки → Устройства и завершите все другие сеансы, затем смените облачный пароль или установите его, если его не было. Проверьте почту для восстановления: не поменял ли её злоумышленник. Предупредите близких, что от вашего имени могли приходить просьбы о деньгах или кодах.
Не забудьте про две вещи, через которые аккаунт могут увести повторно. Первая: SIM-карта. Установите на неё PIN-код в настройках телефона, чтобы украденную или потерянную SIM нельзя было сразу вставить в другой аппарат. Вторая: почта для восстановления облачного пароля. Смените пароль от неё, включите двухэтапный вход и проверьте, нет ли там переадресации писем на чужой адрес.
Если доступа не осталось, попробуйте войти по номеру телефона заново: код придёт по SMS. Если злоумышленник успел поставить свой облачный пароль, обратитесь в официальную поддержку Telegram через приложение или сайт telegram.org. И напоследок о соединении: прокси для Telegram, включая наш личный MTProto-прокси EASY Connect, переписку прочитать не может, потому что сообщения шифруются протоколом MTProto между приложением и серверами Telegram. Безопасность аккаунта зависит от пароля, кода и сеансов.
