A resposta curta
Um golpe com código QR no Telegram coloca a parte perigosa dentro de uma imagem, onde um filtro de texto não vê nada. O pior tipo mostra um código QR de login do Telegram como se fosse uma etapa de verificação: ao escanear pelas configurações, em Dispositivos, você conecta o golpista à sua conta. Nunca escaneie um código para verificar, e termine as sessões desconhecidas em Configurações, em Dispositivos.
Pontos-chave
- O Telegram conecta um novo aparelho quando um app já conectado escaneia o código QR que esse aparelho mostra. Um golpista pode mostrar esse código a você.
- Os próprios apps do Telegram descrevem assim um QR de login: o código pode ser usado para permitir que alguém entre na sua conta do Telegram.
- A verificação de verdade de um grupo nunca precisa que você escaneie um código QR com a sua conta, e nunca precisa do seu código de login.
- Um filtro que só lê texto vê uma imagem como imagem. O texto do golpe e o link dentro dela passam sem ser lidos.
- Códigos QR não são ruins por si só. O Telegram permite transformar qualquer link de convite em um.
- As permissões do Telegram restringem tipos de conteúdo para todos os membros de uma vez. Limites só para novatos precisam de um bot.
Por que os golpistas usam imagens e códigos QR?
Porque a maioria dos filtros lê texto, e uma imagem não tem texto. Uma frase digitada em um print são pixels. Um link dentro de um código QR são pixels. Uma lista de palavras, um bloqueador de links e um bot de palavras-chave olham para a mensagem e não acham nada para conferir.
Tem um segundo motivo. Um código QR esconde para onde leva. Você não consegue ler o endereço antes de escanear, e no celular o escaneamento muitas vezes já abre o destino na hora.
Como são esses golpes?
| Golpe | O que mostram a você | O que acontece ao escanear ou seguir |
|---|---|---|
| Roubo de conta por QR de login | Uma página ou imagem de "verificação" com um código QR de login do Telegram | Conecta o aparelho do golpista à sua conta do Telegram |
| Bot de "escaneie para verificar" | Um bot ou página dizendo que novos membros precisam escanear para provar que são humanos | A mesma coisa, ou leva você a uma página que pede seu código de login |
| Código QR de carteira | Um código para "resgatar", "sincronizar" ou "validar" com a sua carteira de cripto | Conecta sua carteira ao site do golpista, que então pede que você aprove uma solicitação |
| Texto de golpe em uma imagem | Um print de um "comunicado", de um sorteio ou de uma vaga, com um link ou um @ para chamar | Leva você a um site ou a uma conversa privada, onde o golpe de verdade acontece |
| "Escaneie para resgatar" | Uma imagem só com um código QR e uma promessa | Abre um link que nada no chat conseguiu conferir |
As ofertas de sorteio e de resgate também chegam em texto puro. Golpes de airdrop e sorteios falsos cobre esse lado.
Como funciona o roubo de conta por QR de login?
Ele abusa de um recurso real do Telegram. Quando você entra em um computador novo, o Telegram mostra um código QR nessa tela. Você abre Configurações > Dispositivos no celular e escaneia. O novo aparelho passa a estar conectado.
O golpista começa esse login no aparelho dele e recebe um código. Ele mostra esse código a você em uma página com cara de etapa de verificação. Se você escanear a partir de Dispositivos, nas configurações, acabou de conectar o aparelho dele. Ele pode ler suas conversas, escrever aos seus contatos como se fosse você e tomar os grupos que você administra.
Os próprios apps do Telegram descrevem um código de login sem rodeios: ele pode ser usado para permitir que alguém entre na sua conta do Telegram. Só escaneie um código que esteja na sua própria tela, de um login que você mesmo começou.
Um roubo parecido pede o código de login que o Telegram mandou para você. O Telegram diz que esses códigos nunca devem ser compartilhados com ninguém.
O que os membros devem fazer?
- Nunca escaneie um código para "verificar". Verificação de verdade é um botão, um quebra-cabeça ou uma pergunta dentro do Telegram.
- Nunca escaneie um QR de login que você não começou. Se você não está entrando em um aparelho novo neste momento, não há nada para escanear.
- Trate um código QR como um link que você não consegue ler. Se a mesma oferta em um link comum pareceria errada, o código também está errado.
- Não conecte uma carteira a partir de um código em um chat. Vá você ao site do projeto, por um endereço em que já confia.
- Denuncie. Toque na mensagem e escolha Denunciar. Depois avise os administradores do grupo.
Se você já escaneou:
- Abra Configurações > Dispositivos e termine todas as sessões que você não reconhece.
- Ative a Verificação em Duas Etapas em Configurações > Privacidade e Segurança.
- Se tinha carteira envolvida, desconecte o site, revogue as aprovações e mova o que sobrou para uma carteira nova.
- Avise seus contatos e o grupo. O golpista pode já estar escrevendo em seu nome.
O que os administradores podem fazer?
- Restrinja a mídia se o grupo não precisa dela. As Permissões do Telegram podem impedir todos os membros de postar tipos específicos de conteúdo.
- Restrinja a mídia só para novatos. A maioria das contas de golpe posta sua única imagem logo no começo. As permissões do Telegram valem para todo mundo de uma vez, então limites só para novos membros precisam de um bot.
- Fixe a regra. "Nunca vamos pedir que você escaneie um código QR nem que passe um código para verificar."
- Revise seu bot de verificação. Confira o @username exato dele e o que ele pede aos novos membros. Veja como proteger um grupo de golpistas.
- Use um bot que lê imagens. Ele deve ler o texto dentro de uma imagem, decodificar um código QR e julgar os dois como se tivessem sido digitados.
Não proíba códigos QR de vez, a não ser que você queira. Eles têm usos honestos: o Telegram permite transformar qualquer link de convite em um.
A Targa lê imagens em todos os planos. Fotos, figurinhas, arquivos de imagem e capas de vídeo são lidos como texto. Uma proposta digitada em um print, ou um link escondido em um código QR, é analisada exatamente como uma mensagem comum. Ela também pode limitar links e mídia para novos membros nos primeiros dias. Toda ação vem com um motivo que você lê com /why.
Os limites, sem rodeios. O texto dentro de imagens é lido em inglês, russo e chinês, além do idioma configurado para o seu grupo. Uma imagem escrita em outro idioma pode passar despercebida. E a Targa enxerga o seu grupo, não o site do golpista nem as conversas privadas dos seus membros. Um código enviado em uma mensagem privada nunca passa por um bot. É por isso que a regra fixada importa. Para o lado das mensagens privadas, veja o golpe do falso administrador, e para ver o que o seu grupo expõe, rode a verificação gratuita do grupo.
Perguntas frequentes
Dá para alguém tomar minha conta do Telegram com um código QR?
Dá, se for um código de login do Telegram e você escanear em Configurações, em Dispositivos. É assim que o Telegram conecta um novo aparelho. O golpista abre uma tela de login, mostra o código QR dela como etapa de verificação, e o seu escaneamento conecta o aparelho dele à sua conta.
Escaneei um código QR e agora estou com medo. O que eu faço?
Abra Configurações, depois Dispositivos, e termine todas as sessões que você não reconhece. Ative a Verificação em Duas Etapas em Privacidade e Segurança. Se você conectou uma carteira, desconecte o site na carteira, revogue as aprovações que deu e mova seus fundos.
Por que o filtro do meu grupo não pegou um golpe postado como imagem?
Porque ele lê texto, e uma imagem não tem texto. A proposta, o link e o código QR são só pixels. Para pegar isso é preciso um bot que lê o texto dentro das imagens e decodifica códigos QR, e depois julga o que encontrou.
É seguro escanear um código QR postado em um grupo do Telegram?
Trate como um link que você não consegue ler. Um código QR postado por uma conta nova, prometendo uma recompensa, uma verificação ou um resgate, é quase sempre golpe. Um código postado pelos administradores conhecidos do projeto, com uma finalidade conhecida, como um link de convite, é normal.
Devo proibir imagens no meu grupo?
Só se o seu grupo não precisa delas. As permissões do Telegram desligam a mídia para todos os membros. Uma opção mais leve é bloquear mídia só para novos membros e retirar o limite depois, o que exige um bot.
Veja o que um golpista vê no seu grupo
A verificação gratuita lê os sinais públicos de um grupo e mostra onde ele está exposto. Não precisa de conta.