پاسخ کوتاه
در کلاهبرداری با کد QR در تلگرام، بخش خطرناک داخل یک تصویر است، جایی که فیلتر متن چیزی نمی‌بیند. بدترین نوعش کد QR ورود به تلگرام را به‌عنوان مرحلهٔ احراز هویت نشان میدهد: اگر آن را از بخش «دستگاهها» اسکن کنید، کلاهبردار وارد حساب شما می‌شود. هیچ‌وقت برای تأیید هویت کدی اسکن نکنید و در «تنظیمات»، بخش «دستگاهها»، به نشست‌های ناشناس پایان دهید.
نکات کلیدی
- تلگرام دستگاه تازه را وقتی وارد حساب می‌کند که برنامه‌ای که از قبل وارد حساب شده، کد QR روی صفحهٔ آن دستگاه را اسکن کند. کلاهبردار می‌تواند همان کد را به شما نشان بدهد.
- برنامه‌های خود تلگرام کد QR ورود را این‌طور توصیف می‌کنند: با این کد می‌شود به کسی اجازه داد وارد حساب تلگرام شما شود.
- احراز هویت واقعی در گروه هیچ‌وقت به اسکن QR با حساب شما نیاز ندارد و هیچ‌وقت کد ورودتان را نمی‌خواهد.
- فیلتری که فقط متن میخواند تصویر را فقط تصویر می‌بیند. متن کلاهبرداری و لینک داخلش خوانده‌نشده رد می‌شوند.
- کد QR به‌خودی‌خود چیز بدی نیست. تلگرام اجازه میدهد هر لینک دعوتی به کد QR تبدیل شود.
- اختیارات تلگرام انواع محتوا را برای همهٔ اعضا یک‌جا محدود می‌کند. محدودیت فقط برای تازه‌واردها ربات میخواهد.
چرا کلاهبرداران از تصویر و کد QR استفاده می‌کنند؟
چون بیشتر فیلترها متن می‌خوانند و تصویر متنی ندارد. جمله‌ای که در یک اسکرین‌شات تایپ شده پیکسل است. لینک داخل کد QR هم پیکسل است. فهرست کلمات، قفل لینک و ربات کلیدواژه همه به پیام نگاه می‌کنند و چیزی برای بررسی پیدا نمی‌کنند.
دلیل دوم هم هست. کد QR مقصدش را پنهان می‌کند. پیش از اسکن نمیتوانید نشانی را بخوانید و روی گوشی، اسکن اغلب مقصد را بلافاصله باز می‌کند.
این کلاهبرداری‌ها چه شکلی دارند؟
| کلاهبرداری | چه چیزی نشانتان می‌دهند | اسکن یا دنبال کردنش چه می‌کند |
|---|---|---|
| سرقت حساب با QR ورود | یک صفحه یا تصویر «احراز هویت» با کد QR ورود به تلگرام | دستگاه کلاهبردار را وارد حساب تلگرام شما می‌کند |
| ربات «اسکن کنید تا تأیید شوید» | ربات یا صفحه‌ای که می‌گوید اعضای جدید باید اسکن کنند تا ثابت شود انسان‌اند | همان، یا شما را به صفحه‌ای می‌برد که کد ورودتان را میخواهد |
| کد QR کیف پول | کدی برای «claim»، «همگام‌سازی» یا «تأیید» با کیف پول ارز دیجیتالتان | کیف پولتان را به سایت کلاهبردار وصل می‌کند و بعد آن سایت از شما میخواهد درخواستی را تأیید کنید |
| متن کلاهبرداری در تصویر | اسکرین‌شاتی از یک «اطلاعیه»، قرعه‌کشی یا پیشنهاد کار، با یک لینک یا یک نام کاربری برای پیام دادن | شما را به یک سایت یا چت خصوصی می‌کشاند که کلاهبرداری اصلی آنجا اتفاق می‌افتد |
| «اسکن کنید و جایزه بگیرید» | تصویری که فقط یک کد QR و یک وعده دارد | لینکی را باز می‌کند که هیچ‌چیز در چت نمی‌توانست بررسی‌اش کند |
وعدهٔ قرعه‌کشی و «claim» به شکل متن ساده هم می‌رسد. کلاهبرداری ایردراپ و قرعه‌کشی جعلی آن طرف ماجرا را پوشش میدهد.
سرقت حساب با QR ورود چطور کار می‌کند؟
از یک قابلیت واقعی تلگرام سوءاستفاده می‌کند. وقتی روی یک رایانهٔ تازه وارد حساب می‌شوید، تلگرام روی همان صفحه یک کد QR نشان میدهد. شما روی گوشی تنظیمات ← دستگاهها را باز می‌کنید و آن را اسکن می‌کنید. دستگاه تازه وارد حساب می‌شود.
کلاهبردار همین ورود را روی دستگاه خودش شروع می‌کند و یک کد می‌گیرد. آن را در صفحه‌ای به شما نشان میدهد که شبیه مرحلهٔ احراز هویت است. اگر آن را از بخش «دستگاهها» اسکن کنید، همین حالا دستگاه او را به حسابتان وصل کردهاید. او می‌تواند چت‌هایتان را بخواند، به جای شما به مخاطبانتان پیام بدهد و گروه‌هایی را که مدیریت می‌کنید تصاحب کند.
برنامه‌های خود تلگرام کد ورود را بی‌پرده توصیف می‌کنند: با آن می‌شود به کسی اجازه داد وارد حساب تلگرام شما شود. فقط کدی را اسکن کنید که روی صفحهٔ خودتان است، برای ورودی که خودتان شروع کردهاید.
یک سرقت مشابه، کد ورودی را میخواهد که تلگرام برایتان فرستاده است. تلگرام می‌گوید این کدها را هیچ‌وقت نباید به کسی داد.
اعضا چه باید بکنند؟
- هیچ‌وقت برای «تأیید هویت» کدی اسکن نکنید. احراز هویت واقعی یک دکمه، یک پازل یا یک سؤال داخل تلگرام است.
- هیچ‌وقت QR ورودی را که خودتان شروع نکرده‌اید اسکن نکنید. اگر همین حالا در حال ورود روی یک دستگاه تازه نیستید، چیزی برای اسکن وجود ندارد.
- با کد QR مثل لینکی رفتار کنید که نمیتوانید بخوانید. اگر همان پیشنهاد به شکل یک لینک ساده مشکوک به نظر می‌رسید، کد هم مشکوک است.
- کیف پول را از روی کدی که در چت آمده وصل نکنید. خودتان به سایت پروژه بروید، از نشانی‌ای که از قبل به آن اعتماد دارید.
- گزارشش کنید. روی پیام بزنید و گزارش را انتخاب کنید، بعد به مدیران گروه خبر بدهید.
اگر اسکن کردهاید:
- تنظیمات ← دستگاهها را باز کنید و به هر نشستی که نمیشناسید پایان دهید.
- در تنظیمات ← حریم خصوصی و امنیت، تأیید دو مرحلهای را روشن کنید.
- اگر پای کیف پول در میان بوده، اتصال سایت را قطع کنید، مجوزها را لغو کنید و هرچه باقی مانده را به یک کیف پول تازه منتقل کنید.
- به مخاطبانتان و به گروه خبر بدهید. شاید کلاهبردار همین حالا دارد به جای شما پیام میدهد.
مدیران چه می‌توانند بکنند؟
- اگر گروه به رسانه نیاز ندارد، آن را محدود کنید. با اختیارات تلگرام می‌شود جلوی فرستادن انواع مشخصی از محتوا را برای همهٔ اعضا گرفت.
- رسانه را فقط برای تازه‌واردها محدود کنید. بیشتر حساب‌های کلاهبرداری همان یک عکسشان را زود می‌فرستند. اختیارات تلگرام برای همه یک‌جا اعمال می‌شود، پس محدودیت فقط برای اعضای تازه ربات میخواهد.
- قانون را سنجاق کنید. «ما هیچ‌وقت از شما نمی‌خواهیم برای تأیید هویت کد QR اسکن کنید یا کدی را به ما بدهید.»
- ربات احراز هویتتان را بازبینی کنید. @username دقیقش را بررسی کنید و ببینید از اعضای جدید چه میخواهد. راهنمای محافظت از گروه در برابر کلاهبرداران را ببینید.
- از رباتی استفاده کنید که تصویر را میخواند. باید متن داخل تصویر را بخواند، کد QR را رمزگشایی کند و دربارهٔ هر دو طوری قضاوت کند که انگار تایپ شده‌اند.
کدهای QR را یکسره ممنوع نکنید، مگر اینکه خودتان بخواهید. کاربرد درست هم دارند: تلگرام اجازه میدهد هر لینک دعوتی به کد QR تبدیل شود.
Targa در همهٔ طرح‌ها تصویرها را میخواند. عکس‌ها، استیکرها، فایل‌های تصویری و کاور ویدیوها مثل متن خوانده می‌شوند. پیشنهادی که در اسکرین‌شات تایپ شده، یا لینکی که در کد QR پنهان شده، دقیقاً مثل یک پیام متنی ساده بررسی می‌شود. Targa می‌تواند لینک و رسانه را هم برای اعضای تازه در روزهای اولشان محدود کند. هر اقدام دلیلی دارد که می‌توانید با /why بخوانید.
محدودیت‌ها را هم روشن بگوییم. متن داخل تصویر به انگلیسی، روسی و چینی خوانده می‌شود، به‌علاوهٔ زبانی که برای گروهتان تنظیم شده است. تصویری که به زبان دیگری نوشته شده ممکن است از قلم بیفتد. و Targa گروه شما را می‌بیند، نه سایت کلاهبردار یا چت‌های خصوصی اعضایتان را. کدی که در پیام خصوصی فرستاده شود هیچ‌وقت از جلوی ربات رد نمی‌شود. برای همین است که قانون سنجاق‌شده اهمیت دارد. برای آنچه در پیام خصوصی می‌گذرد کلاهبرداری مدیر جعلی را ببینید، و برای اینکه ببینید گروهتان چه چیزهایی را در معرض دید گذاشته، بررسی رایگان گروه را اجرا کنید.
پرسش‌های رایج
آیا کسی می‌تواند با کد QR حساب تلگرام مرا تصاحب کند؟
بله، اگر کد ورود به تلگرام باشد و شما آن را از «تنظیمات»، بخش «دستگاهها» اسکن کنید. تلگرام دستگاه تازه را همین‌طور به حساب وصل می‌کند. کلاهبردار یک صفحهٔ ورود باز می‌کند، کد QR آن را به‌عنوان مرحلهٔ احراز هویت به شما نشان میدهد و اسکن شما دستگاه او را وارد حسابتان می‌کند.
یک کد QR اسکن کردهام و حالا نگرانم. چه کنم؟
«تنظیمات» و بعد «دستگاهها» را باز کنید و به هر نشستی که نمیشناسید پایان دهید. در «حریم خصوصی و امنیت»، «تأیید دو مرحلهای» را روشن کنید. اگر کیف پولی وصل کردهاید، اتصال سایت را در کیف پول قطع کنید، هر مجوزی را که دادهاید لغو کنید و داراییتان را جابهجا کنید.
چرا فیلتر گروهم کلاهبرداریای را که به شکل عکس فرستاده شد نگرفت؟
چون متن میخواند و عکس متنی ندارد. پیشنهاد، لینک و کد QR همه پیکسلاند. گرفتن اینها رباتی میخواهد که متن داخل تصویر را بخواند و کد QR را رمزگشایی کند و بعد دربارهٔ آنچه پیدا کرده قضاوت کند.
آیا اسکن کد QR فرستادهشده در یک گروه تلگرام امن است؟
با آن مثل لینکی رفتار کنید که نمیتوانید بخوانید. کد QR از یک حساب تازه که وعدهٔ جایزه، تأیید هویت یا «claim» میدهد تقریباً همیشه کلاهبرداری است. کدی که مدیران شناختهشدهٔ پروژه برای هدفی مشخص، مثلاً لینک دعوت، فرستادهاند عادی است.
آیا باید عکس را در گروهم ممنوع کنم؟
فقط اگر گروهتان به آن نیاز ندارد. اختیارات تلگرام رسانه را برای همهٔ اعضا خاموش می‌کند. راه ملایم‌تر این است که رسانه را فقط برای اعضای تازه ببندید و بعداً محدودیت را بردارید، که ربات میخواهد.
ببینید کلاهبردار در گروه شما چه می‌بیند
بررسی رایگان گروه نشانه‌های عمومی یک گروه را میخواند و نشان میدهد کجا آسیب‌پذیر است. نیازی به حساب نیست.