Фейковый бот Safeguard в Telegram: как устроена схема с верификацией

Что такое схема с фейковым ботом Safeguard?

Многие группы Telegram, и криптогруппы в первую очередь, требуют от новичков пройти проверку, прежде чем те смогут писать. Safeguard входит в число настоящих ботов, которые это делают. Его имя и внешний вид всем знакомы, и именно этим пользуются мошенники.

Мошенники создают группу или канал, похожие на настоящий проект. На входе стоит бот с именем как у Safeguard и с той же картинкой. Вы нажимаете Verify («Подтвердить»), и сама «верификация» оказывается кражей.

Компания SlowMist, специализирующаяся на безопасности, описала эту схему в январе 2025 года и назвала два варианта. Один отбирает ваш аккаунт Telegram. Другой ставит на ваш компьютер вредоносную программу.

Как работает схема, шаг за шагом?

Как вы туда попадаете. По ссылке, обычно не из Telegram. В январе 2025 года ссылки публиковали в X фейковые аккаунты известных людей, под настоящими постами, с предложением «эксклюзивной» или «официальной» группы. Издание BleepingComputer сообщило об одной такой волне: в ней использовали фейковые аккаунты Росса Ульбрихта (Ross Ulbricht) в первые дни после его помилования.

Вариант первый: ваш аккаунт.

1. Фейковый бот открывает страницу, похожую на вход в Telegram.
2. Она просит номер телефона, затем код для входа, который вам только что прислал Telegram, а иногда и пароль двухэтапной аутентификации.
3. С этими данными мошенник входит в аккаунт от вашего имени. Он читает ваши чаты, пишет вашим контактам и захватывает любую группу, где вы админ.

Вариант второй: ваш компьютер.

1. Фейковый бот показывает проверку, которая не проходит, или список шагов для «ручной верификации».
2. Тем временем страница незаметно копирует команду в буфер обмена.
3. Инструкция велит нажать клавиши Windows и R, вставить скопированное и нажать Enter.
4. Команда скачивает и запускает вредоносную программу. SlowMist обнаружила программы удаленного доступа, которые забирают файлы кошельков, сид-фразы, приватные ключи и сохраненные пароли.

Второй вариант работает потому, что ничто не выглядит опасным. Саму команду вы не видите. Вы вставляете ее в окно, и она исчезает.

Как отличить настоящую верификацию от фейковой?

Все это умещается в одно правило. Код для входа вводят только в приложении Telegram и больше нигде, а настоящая проверка никогда не заставляет запускать команду.

Обратите внимание и на то, как вы сюда попали. Если ссылка пришла из ответа в X, из личного сообщения или от «админа», который написал вам первым, проверьте группу до вступления. Подробнее в руководстве как проверить, настоящая ли группа в Telegram.

Что делать, если вы на это попались?

Действуйте в этом порядке. Важнее всего первые минуты.

Если вы ввели номер телефона и код:

1. В Telegram откройте Настройки, затем Устройства и завершите все сеансы, кроме своих.
2. В разделе Конфиденциальность задайте Облачный пароль. Если старый пароль вы ввели на фейковой странице, смените его.
3. Предупредите контакты и сообщите владельцу каждой группы, где вы админ.

Полный список есть в руководстве что делать, если взломали аккаунт Telegram.

Если вы вставили команду:

1. Отключите компьютер от интернета.
2. С другого устройства смените пароли, начиная с электронной почты.
3. На чистом устройстве создайте новый кошелек с новой сид-фразой и переведите средства. Сид-фраза, которая была на зараженном компьютере, известна уже не только вам.
4. Не пользуйтесь этим компьютером, пока его не очистит специалист или пока вы не переустановите систему.

В обоих случаях: пожалуйтесь на фейкового бота в Telegram и сообщите настоящим админам проекта, под который он подделывался.

Что могут сделать админы группы?

Мошенники целятся в ваших участников, а само мошенничество происходит за пределами вашей группы, где вы его не видите. Вот что в ваших силах:

1. Опубликуйте точное имя пользователя вашего бота для верификации в закрепленном сообщении и на своем сайте. «Мы используем только этого бота, и он никогда не попросит код или команду».
2. Проводите верификацию внутри Telegram. Для одобрения участников, которое в Telegram называется заявками на вступление, внешняя страница не нужна. Подробнее в руководстве как работают заявки на вступление.
3. Повторяйте правило почаще. Админы никогда не пишут первыми. Ни одна проверка не просит код.
4. Следите за копиями вашей группы. Время от времени ищите название своего проекта в Telegram и жалуйтесь на группы, которые подделываются под вашу.

Targa помогает с тем, что происходит внутри вашей группы. Как бот-страж Telegram (Guardian) она проверяет заявки на вступление внутри Telegram, поэтому участников никогда не отправляют на внешнюю страницу. Она сравнивает имена, фото и имена ботов с вашими админами, сначала нормализуя похожие символы, поэтому бот или аккаунт, замаскированный под одного из ваших, не останется незамеченным. Она читает ссылки, картинки и QR-коды в сообщениях, а приглашения в фейковые группы обычно публикуют именно так.

Об ограничении стоит сказать прямо: Targa видит вашу группу. Она не видит X, личные сообщения и фейковую группу, которую создал кто-то другой. Поэтому закрепленное сообщение важнее любого бота.