Мошенничество с QR-кодами в Telegram и схемы, спрятанные в картинках

Зачем мошенникам картинки и QR-коды?

Потому что большинство фильтров читает текст, а в картинке текста нет. Фраза, набранная на скриншоте, состоит из пикселей. Ссылка внутри QR-кода тоже. Список слов, запрет ссылок и бот с ключевыми словами смотрят на сообщение и не находят ничего для проверки.

Есть и вторая причина. QR-код скрывает, куда он ведет. Адрес нельзя прочитать до сканирования, а на телефоне сканирование часто сразу открывает страницу.

Как выглядят эти схемы?

Розыгрыши и предложения «получить» приходят и обычным текстом. Эту сторону разбирает руководство о фейковых аирдропах и розыгрышах.

Как работает угон аккаунта через QR-вход?

Он использует настоящую функцию Telegram. Когда вы входите на новом компьютере, Telegram показывает на его экране QR-код. Вы открываете на телефоне Настройки > Устройства и сканируете код. После этого новое устройство входит в аккаунт.

Мошенник начинает такой вход на своем устройстве и получает код. Он показывает его вам на странице, которая выглядит как шаг верификации. Если вы сканируете код из раздела «Устройства», вы только что подключили его устройство. Он может читать ваши чаты, писать вашим контактам от вашего имени и захватить группы, которыми вы управляете.

Приложения Telegram описывают код для входа прямо: этот код можно использовать для входа в ваш аккаунт в Telegram. Сканируйте только тот код, который показан на вашем собственном экране при входе, начатом вами.

Похожая схема выманивает код для входа, который вам прислал Telegram. Telegram говорит, что этот код нельзя передавать никому.

Что делать участникам?

• Никогда не сканируйте код ради «проверки». Настоящая верификация выглядит как кнопка, головоломка или вопрос внутри Telegram.
• Никогда не сканируйте QR-код для входа, если вход начали не вы. Если вы прямо сейчас не входите на новом устройстве, сканировать нечего.
• Относитесь к QR-коду как к ссылке, которую нельзя прочитать. Если то же предложение в виде обычной ссылки выглядело бы подозрительно, с кодом все так же.
• Не подключайте кошелек по коду из чата. Зайдите на сайт проекта сами, по адресу, которому уже доверяете.
• Пожалуйтесь. Нажмите на сообщение и выберите Пожаловаться, затем сообщите админам группы.

Если вы уже отсканировали код:

1. Откройте Настройки > Устройства и завершите все сеансы, которые не узнаете.
2. Включите двухэтапную аутентификацию: Облачный пароль в разделе Настройки > Конфиденциальность.
3. Если был задействован кошелек, отключите сайт, отзовите разрешения и переведите то, что осталось, на новый кошелек.
4. Предупредите свои контакты и группу. Мошенник, возможно, уже пишет от вашего имени.

Что могут сделать админы?

1. Ограничьте медиа, если группе они не нужны. Разрешения Telegram могут запретить всем участникам отправлять определенные виды контента.
2. Ограничьте медиа только для новичков. Большинство мошеннических аккаунтов отправляют свою единственную картинку рано. Разрешения Telegram действуют на всех сразу, поэтому для ограничений только для новых участников нужен бот.
3. Закрепите правило. «Мы никогда не попросим вас отсканировать QR-код или сообщить код ради проверки».
4. Проверьте своего бота для верификации. Сверьте его точный @username и посмотрите, о чем он просит новых участников. Подробнее в руководстве как защитить группу от мошенников.
5. Используйте бота, который читает картинки. Он должен читать текст внутри изображения, расшифровывать QR-код и оценивать и то и другое так, как если бы это было набрано текстом.

Не запрещайте QR-коды целиком, если сами этого не хотите. У них есть честное применение: Telegram позволяет превратить в QR-код любую пригласительную ссылку.

Targa читает картинки на каждом тарифе. Фото, стикеры, файлы изображений и обложки видео читаются как текст. Предложение, набранное на скриншоте, или ссылка, спрятанная в QR-коде, проверяется точно так же, как обычное сообщение. Targa может также ограничить ссылки и медиа для новых участников в их первые дни. У каждого действия есть причина, которую можно прочитать по команде /why.

Ограничения, сказанные прямо. Текст внутри изображений читается на английском, русском и китайском, а также на языке, который выбран для вашей группы. Картинку с текстом на другом языке Targa может пропустить. И Targa видит вашу группу, а не сайт мошенника и не личные чаты ваших участников. Код, отправленный в личном сообщении, через бота не проходит никогда. Поэтому закрепленное правило так важно. О том, что происходит в личных сообщениях, читайте в руководстве о фейковом админе, а чтобы увидеть, что раскрывает ваша группа, запустите бесплатную проверку группы.