Conta do Telegram invadida: a janela de 24 h que te salva

Uma mensagem chega de um contato conhecido, ou de alguém que se apresenta como suporte, com um pedido que parece pequeno: "me manda aquele código que chegou aí". Poucos minutos depois o canal está no ar como sempre, mas você não entra mais. Conta do Telegram invadida quase nunca é uma história de invasão técnica. É uma história de alguém que conseguiu, por convencimento, o único item que o Telegram usa para identificar você.

Resposta primeiro: o Telegram já bloqueia a forma mais óbvia desse golpe, porque o servidor invalida sozinho qualquer código de login repassado dentro do próprio aplicativo. Por isso o golpe precisa te levar para fora, para outro aplicativo, para um print, para uma ligação. E, por isso mesmo, a defesa que funciona não é desconfiar melhor: é a senha de duas etapas, que transforma o código em item insuficiente.

Este artigo lê a documentação oficial do Telegram para mostrar três coisas que quase ninguém sabe: por que o código repassado dentro do app não serve, por que existe uma janela de 24 horas em que só você consegue derrubar a sessão do invasor, e por que a recuperação sem e-mail cadastrado custa sete dias que o invasor pode zerar.

Conta do Telegram invadida: o número é a chave inteira

Resposta primeiro: no Telegram, quem controla o número controla a conta, e a plataforma diz isso com todas as letras.

No FAQ oficial, na resposta sobre celular roubado, está escrito que "o número de telefone é a única forma de identificarmos um usuário do Telegram no momento" e que a empresa não coleta informação adicional sobre você, de modo que "quem tem o número, tem a conta". A mesma resposta conclui que o suporte não consegue ajudar quem não tiver acesso ao número ou ao Telegram em algum outro aparelho.

Para quem vende, isso muda a natureza do risco. O número que recebe o código costuma ser o mesmo que está no chip do celular pessoal, que por sua vez pode ser portado por engenharia social na operadora. É a mesma porta pela qual entram três coisas distintas: o golpe de convencimento, a troca de chip, e o simples empréstimo do aparelho.

Repare no que isso implica para a operação: o canal, o bot e a base de assinantes não têm dono separado. Eles pertencem a uma conta, e a conta pertence a um número. Quem quer proteger a receita precisa proteger a camada de baixo, não a de cima.

O golpe precisa te tirar do Telegram, e o motivo está na documentação

Resposta primeiro: encaminhar o código dentro do Telegram não funciona para o golpista, porque o servidor cancela o código nesse instante.

A documentação de autenticação é explícita: "os servidores do Telegram invalidam automaticamente códigos de login se eles forem enviados pelo usuário para outra conversa do Telegram, seja encaminhando, seja enviando dentro de uma mensagem". A mesma página vai além e recomenda que os aplicativos invalidem o código manualmente e de imediato se o usuário tentar tirar print ou encaminhar a mensagem do serviço de notificação de login, a conta de identificador 777000.

Essa proteção existe há anos e explica o formato que o golpe adotou. Como o caminho de dentro está fechado, o pedido chega sempre por um desvio:

• Para outro aplicativo: "me manda no WhatsApp", "me chama no direct", "manda por SMS".
• Sem ser mensagem: "lê o número para mim", uma ligação, um áudio, um print recortado.
• Digitando em outro lugar: um formulário falso de suporte, um site de sorteio, um bot que promete verificação.

O sinal comum a todos é o desvio em si. Nenhum atendimento legítimo do Telegram vai pedir que você tire o código de dentro do Telegram. Quando o pedido vem de um contato conhecido, a explicação mais provável é que a conta dele já caiu e está sendo usada para pegar a sua, o que é o padrão de propagação desse golpe.

Vale um cuidado extra para quem vende: o mesmo pretexto costuma vir fantasiado de rotina comercial. "Preciso confirmar sua conta para liberar o pagamento" e "manda o código que apareceu para validar o cadastro" imitam exatamente o vocabulário de gateway e de suporte. Nenhum meio de pagamento sério precisa de um código de login do Telegram.

A senha de duas etapas é o que torna o código insuficiente

Resposta primeiro: com verificação em duas etapas ativa, o código sozinho não conclui login nenhum, e isso está no protocolo, não em uma recomendação genérica.

A documentação de autenticação registra que, quando o usuário tem verificação em duas etapas ativa, o servidor devolve um erro específico no momento do login, sinalizando que falta a senha. Ou seja, o item que o golpe consegue arrancar de você deixa de ser suficiente. Ele passa a ser metade de um par, e a outra metade nunca trafega por SMS.

O FAQ descreve a configuração em Ajustes, Privacidade e Segurança, Verificação em Duas Etapas, e resume o efeito: "uma vez ativada, você vai precisar tanto de um código por SMS quanto de uma senha para entrar". Na mesma resposta, o Telegram trata o e-mail de recuperação como parte do arranjo, o endereço "que vai ajudar a recuperar o acesso, caso você esqueça a senha", com a ressalva de que essa caixa de e-mail também precisa de senha forte e de verificação em duas etapas.

Aqui entra o ponto que costuma ser mal entendido, e ele é documentado. A passkey não substitui a senha. Na resposta sobre passkeys, o FAQ diz que, mesmo com uma passkey configurada, "você ainda pode pedir um código por SMS para entrar", e recomenda, textualmente, que para mais segurança se adicione uma senha extra exigida a cada login. Traduzindo para a operação: a passkey é uma entrada mais cômoda para você, não uma porta fechada para o golpista. Quem ativou passkey e parou por aí continua com o mesmo risco de antes.

A janela de 24 horas: por que a sessão nova é a mais fraca

Resposta primeiro: a sessão recém-criada do invasor não consegue derrubar as suas, e essa assimetria abre uma janela em que só você pode agir.

O método da API que encerra sessões é descrito como aquele que "termina todas as sessões autorizadas do usuário exceto a atual", e traz uma restrição registrada na própria página do método: a chamada falha com a mensagem de que "você não pode encerrar outras sessões se menos de 24 horas se passaram desde que você entrou na sessão atual".

Na leitura deste artigo, isso significa o seguinte na prática: enquanto o invasor estiver com menos de 24 horas de sessão, ele não consegue te expulsar dos seus aparelhos, e a sua sessão antiga, que tem semanas ou meses de vida, consegue expulsar a dele. A janela existe e ela é curta.

Uma honestidade necessária sobre o alcance dessa jogada: derrubar a sessão resolve o acesso de agora, mas não desfaz uma senha de duas etapas que o invasor tenha criado enquanto estava dentro. Essa senha continua no caminho do seu próximo login, e é exatamente aí que começa o segundo relógio.

O relógio de sete dias, e quem tem o poder de zerar ele

Resposta primeiro: sem e-mail de recuperação, apagar a senha de duas etapas leva sete dias, e quem estiver dentro da conta pode cancelar o pedido.

A documentação do protocolo descreve o fluxo sem rodeio: a chamada de redefinição de senha "inicialmente retorna um construtor de espera e inicia um temporizador de sete dias do lado do servidor, durante o qual o usuário pode abortar o processo de redefinição". Passado o prazo, uma nova chamada conclui a redefinição. A mesma página descreve o caminho alternativo, o de recuperação por e-mail, em que um código é enviado ao endereço previamente cadastrado e apaga a senha atual assim que validado.

Leia de novo a expressão "o usuário pode abortar". Do ponto de vista do servidor, o usuário é quem está autenticado na conta. Se a conta está com outra pessoa, é ela quem tem esse botão. É por isso que o e-mail de recuperação vale mais do que parece: ele é a única rota que não passa pelo relógio.

Um exemplo com datas, para dimensionar o estrago. Suponha uma invasão às 21h de 10 de setembro:

Momento	Quando	O que muda
Invasor entra na conta	10/09, 21h00	Sua sessão segue ativa
Sua janela de reação	até 11/09, 21h00	Só você derruba sessão
Sessão dele completa 24 h	11/09, 21h00	Ele pode te derrubar
Você pede a redefinição	11/09, 22h00	Começa o prazo de 7 dias
Fim do prazo, se ninguém abortar	18/09, 22h00	A senha criada é apagada

Coloque receita nessa linha do tempo. Um grupo que fatura R$ 200 por dia perde R$ 1.400 no primeiro ciclo de sete dias, e o dobro se o pedido for abortado uma vez. E isso conta só a venda que não aconteceu, sem contar o assinante que pediu reembolso porque achou que tinha sido enganado.

O que cai junto com a conta, e o que não cai

Resposta primeiro: o canal e o bot seguem a conta, não a pessoa, e é por isso que a recuperação começa sempre pela conta.

Três ativos costumam estar amarrados ali:

• O canal ou grupo VIP. A propriedade é um atributo da conta. Quem está dentro dela é o dono para todos os efeitos, inclusive para transferir a titularidade a terceiros, como explicamos em transferir canal do Telegram.
• O bot de vendas. Ele foi criado por uma conta e responde a quem tem o token. Trocar o token é a primeira providência se a conta que fala com o BotFather foi comprometida.
• A base de contatos. É o ativo que não se recompra. Manter uma lista própria de assinantes fora do Telegram é o que permite avisar as pessoas quando o canal principal cai.

O que não cai junto é o dinheiro, se o recebimento estiver desenhado direito. Quando a cobrança é feita por PIX com repasse direto para a sua conta bancária, o saldo não mora dentro do Telegram e não muda de mãos com a conta. O golpista até pode publicar uma chave PIX própria no canal, e é por isso que o aviso à base precisa ser rápido, mas ele não alcança o que já foi recebido.

O que fazer nas primeiras horas

Resposta primeiro: a ordem importa, porque cada passo fecha uma porta que o passo seguinte precisa encontrar fechada.

1. Entre em outro aparelho ainda logado e vá em Ajustes, Aparelhos, ou Privacidade e Segurança, Sessões Ativas. Encerre tudo que não for seu. Lembre que a trava de 24 horas vale para a sessão que está pedindo: use um aparelho antigo, não um recém-conectado.
2. Ative ou troque a senha de duas etapas e cadastre o e-mail de recuperação. Se o invasor já tinha criado uma senha, aqui é onde você descobre e onde o pedido de redefinição começa.
3. Peça o novo chip à operadora se houver qualquer suspeita de troca de chip. Enquanto o número estiver com outra pessoa, todo o resto é remendo.
4. Avise a base pelo canal reserva, com um recado curto dizendo que nenhuma chave nova é sua. Se você ainda não tem esse plano montado, o roteiro está em conta banida no Telegram.
5. Revogue o token do bot e confira os administradores do canal, removendo qualquer conta que você não reconheça.
6. Guarde as evidências com prints datados, para o caso de precisar registrar boletim de ocorrência ou responder a contestações de pagamento.

Erros comuns

• Achar que ativar passkey resolve. O próprio FAQ diz que o código por SMS continua disponível. Sem a senha extra, a porta antiga segue aberta.
• Deixar o e-mail de recuperação em branco para não ter mais uma coisa para lembrar. É a diferença entre voltar em minutos e esperar uma semana.
• Usar a senha de duas etapas igual à do e-mail de recuperação. Se uma cai, cai o par inteiro.
• Tentar derrubar as sessões pelo aparelho novo que você acabou de conectar. A trava de 24 horas vai te impedir justamente no pior momento.
• Avisar só no canal invadido. Quem está com a conta apaga o aviso em segundos. O recado precisa sair por uma via que não esteja comprometida.
• Repassar o código "só para conferir". Não existe conferência legítima que precise dele.

Conclusão

Uma conta do Telegram invadida raramente é falha de tecnologia. É a exploração de um desenho que a própria plataforma explica: o número identifica a conta, e o código que chega nele basta para entrar. O que muda o jogo é reduzir a importância do seu discernimento no dia em que a mensagem chegar. A senha de duas etapas faz isso, e o e-mail de recuperação faz o resto, tirando você do relógio de sete dias que outra pessoa pode zerar.

Se a sua operação vive de um canal e de um bot, gaste os cinco minutos de hoje: ative a verificação em duas etapas, cadastre o e-mail de recuperação, confira as sessões ativas e monte o canal reserva. O panorama completo das outras frentes está no guia de segurança ao vender no Telegram.

E se você quer que o dinheiro fique na sua conta bancária, e não dentro de um aplicativo que pode mudar de dono, crie sua conta na Afroditte e cobre por PIX com repasse direto, com taxa fixa de R$ 0,69 por transação e sem mensalidade.