Короткий ответ
Проверяйте аккаунты до того, как они смогут писать, ограничьте то, что могут отправлять новички, скройте список участников и защитите каждый аккаунт админа двухэтапной аутентификацией. Удалите ботов, которыми не пользуетесь, закрепите предупреждение, что админы не пишут первыми, и добавьте бота, который читает каждое сообщение, каждую правку и каждую картинку. После этого проверяйте группу раз в неделю.
Ключевые факты
- Большинство схем против участников групп разворачивается в личных сообщениях, по списку участников, скопированному из группы.
- Группы от 100 участников могут скрыть список участников.
- Настоящий бот для верификации никогда не просит код для входа в Telegram, сканирование QR-кода из вашего аккаунта или команду, которую нужно вставить на компьютере.
- Украденный аккаунт админа вредит больше любого мошенника со стороны. Защита от этого: двухэтапная аутентификация, в Telegram она называется «Облачный пароль».
- Забаненный аккаунт попадает в Черный список и не может снова вступить по пригласительной ссылке, пока остается в нем.
Что нужно мошенникам в группе Telegram?
Три вещи, в таком порядке:
- Ваши участники. Список людей с общим интересом, многие из которых держат криптовалюту, стоит больше любого сообщения в чате.
- Ваша репутация. Мошенничество, которое будто бы идет от ваших админов, пользуется доверием, которое заработали вы.
- Ваши аккаунты админов. Один украденный аккаунт админа может писать, закреплять, банить и добавлять ботов.
Десять шагов ниже закрывают все три по очереди.
Как выглядят эти схемы?
| Схема | Где происходит | Что ее останавливает |
|---|---|---|
| Фейковый админ предлагает помощь | Личное сообщение | Скрытый список участников, закрепленное предупреждение, удаление аккаунта-копии |
| Фейковый бот для верификации (клоны «Safeguard») | Ссылка или кнопка в группе | Проверка ботов и знание того, о чем просит настоящая верификация |
| Ссылка на аирдроп, розыгрыш или «claim» | В чате, часто от аккаунта, которому несколько дней | Ограничения для новичков, проверка сообщений |
| Мошенничество в картинке или QR-коде | В чате | Бот, который читает изображения |
| Дружелюбный участник, который переходит к предложению позже | В чате, в течение нескольких дней | Бот, который оценивает переписку, а не отдельные слова |
| Предложение работы или «заданий» | Личное сообщение или чат | Ограничения для новичков, закрепленное предупреждение |
Десять шагов
1. Проверяйте аккаунты на входе
В публичной группе включите Заявки на вступление. В частной создайте пригласительные ссылки с включенным переключателем Заявки на вступление. Разбирать заявки вручную можно в маленькой группе. Дальше используйте задание при входе или назначьте бота стражем группы, чтобы он проверял каждую заявку на вступление. Targa так и работает: проверяет возраст аккаунта, профиль и списки известных спамеров до того, как аккаунт попадет внутрь. Руководство о капча-ботах в Telegram объясняет, что задание при входе останавливает, а что проходит мимо него.
2. Ограничьте новичков
Большинство мошеннических аккаунтов отправляют свое единственное сообщение в первые часы. Запретите новым участникам ссылки, медиа и пересылку и снимите ограничения через несколько дней нормального поведения. Собственные Разрешения Telegram действуют на всех сразу. Для ограничений только для новичков нужен бот.
3. Скройте список участников
Это доступно группам от 100 участников. Если из всей страницы вы сделаете только одно, сделайте это: так вы убираете сырье для мошенничества в личных сообщениях.
4. Защитите аккаунты админов
- Двухэтапная аутентификация на каждом аккаунте админа, без исключений. В настройках Telegram она называется Облачный пароль.
- Меньше админов. Каждый лишний админ означает еще один аккаунт, который можно увести фишингом.
- Минимум прав. Модератору нужно удалять и банить. Назначать админов нужно только владельцу.
- Должности. Дайте каждому админу должность, чтобы участники узнавали настоящих.
5. Проверьте своих ботов
Удалите каждого бота, которым больше не пользуетесь. У каждого, который остается, сверьте точный @username с официальным сайтом проекта.
О фейковых ботах для верификации стоит предупредить отдельно. Копии известных ботов для верификации просят «нового участника» отсканировать QR-код, ввести код для входа, который прислал Telegram, или вставить команду на компьютере. Каждое из этих действий отдает аккаунт или устройство участника. Настоящая верификация выглядит как кнопка, головоломка или вопрос внутри Telegram. Она никогда не просит код или загрузку файла. Руководство о фейковом боте Safeguard подробно разбирает самого копируемого из них.
6. Закрепите предупреждение
Одно сообщение, закрепленное и повторенное в приветствии:
Админы никогда не пишут первыми. Никто из этой группы не попросит у вас сид-фразу, код для входа или оплату. Если кто-то просит, сообщите об этом здесь.
7. Дайте участникам способ пожаловаться
Участники видят мошенничество раньше админов. Жалоба должна занимать одно действие и не должна раскрывать того, кто пожаловался. В Targa команда /report зовет админов и скрывает жалобу от других участников. Участники могут также переслать боту мошенническое сообщение, которое получили.
8. Проверяйте каждое сообщение
Настройки оценивают аккаунты на входе. То, что они пишут потом, должен оценивать бот: каждое сообщение, каждую правку и текст внутри картинок и QR-кодов. Он должен объяснять каждое действие, чтобы ошибочное решение можно было отменить, а верное отстоять. Шесть требований перечислены в разделе чего ждать от антиспам-бота, а на этой странице описано, как их выполняет Targa. Если у вас уже стоит Combot или Rose, страница о Combot и страница о Rose показывают, где заканчивается задокументированная защита каждого из них.
9. Подготовьте план на случай рейда
Решите сейчас, кто что делает, когда за минуту приходит сто аккаунтов: кто сбрасывает пригласительную ссылку, кто включает одобрение, кто пишет объявление. Бот должен на несколько минут оставить внезапную волну новичков без права писать и спросить админов, ждут ли они этих людей. Настоящий запуск тоже приводит волну вступлений, поэтому решение должно оставаться за человеком.
10. Проверяйте раз в неделю
- Читайте журнал действий. Смотрите, что было удалено и почему.
- Смотрите, кто вступал пачками.
- Сбрасывайте пригласительные ссылки, которыми больше не пользуетесь.
- Запустите бесплатную проверку группы, чтобы увидеть, что ваша группа раскрывает тому, кто смотрит снаружи.
Чего бот не может
Он не может читать личные сообщения, поэтому не остановит мошенника, который уже скопировал ваш список участников. Он не защитит аккаунт админа за самого админа. Он не заменит закрепленное предупреждение. Шаги 3, 4 и 6 остаются за вами, что бы вы ни установили.
Частые вопросы
Какое мошенничество в группах Telegram встречается чаще всего?
Личное сообщение от фейкового админа или фейковой поддержки участнику, который только что попросил о помощи. Для него нужен список участников группы, поэтому скрытый список и закрепленное предупреждение дают больше любого фильтра.
Стоит ли сделать группу в Telegram частной?
Это немного помогает и стоит вам роста. Пригласительные ссылки утекают, а участникам частной группы все равно можно написать, как только кто-то оказался внутри. Одобрение участников, скрытый список участников и проверка сообщений защищают публичную группу лучше, чем одна только закрытость.
Как понять, что бот для верификации настоящий?
Сверьте его точный @username с официальным сайтом проекта и посмотрите, о чем он просит. Настоящая верификация не выходит за пределы Telegram: кнопка, головоломка или вопрос. Бот, которому нужен код для входа, сканирование QR-кода из вашего аккаунта или команда, запущенная на компьютере, крадет аккаунт.
Какие права администратора давать боту-модератору?
Права «Удаление сообщений» и «Блокировка пользователей». Этого хватает, чтобы удалять спам и ограничивать спамеров. Никогда не давайте боту право назначать новых админов и не включайте ему «Анонимность».
Как часто проверять безопасность группы?
Журнал действий и пачки новых участников проверяйте раз в неделю, а также после каждого рейда и каждой жалобы на мошенничество. Раз в месяц сбрасывайте ненужные пригласительные ссылки и заново проверяйте списки админов и ботов.
Посмотрите, что мошенник видит в вашей группе
Бесплатная проверка группы читает ее открытые сигналы и показывает, где она уязвима. Аккаунт не нужен.