最近，混合开发的即时通讯工具Telegram盗号事情高发，犯罪分子根据非法行为窃取客户Telegram账号，并且以假冒朋友的形式进行诈骗。

针对近期的盗号诈骗事情，Beosin 安全性研究院给大家汇总了Telegram 比较常见的诈骗方法，教你如何警惕与防范。

一、诈骗方法

?骗领 TG 短信验证码截屏

最近很有创意的诈骗盗号，诈骗者假冒好友真实身份找各种理由骗领闲聊页面截图，看起来没什么风险，但此时骗子已经试着运用你的手机号码登录 Telegram，当推送的截图网页页面包括了官方网上传的登录短信验证码（Login code），即能被骗子运用取得成功登录你 TG 账号。骗领详尽步骤如下所示：

1.最先获得你 TG 账号的手机号。

假如你 TG 账号权限设置成所有人由此可见，往往会被生疏账号见到手机号；或者骗子最先获得你好友账号，随后查到你的号码。

2.骗领登录短信验证码。

骗子找各种理由，对你说账号有什么问题，骗领你聊天记录截图。与此同时，骗子在一台新机器键入你的手机号码试着登录。

比如下列二种销售话术种类：

（1）聊天页面含有两个一样的手机联系人：我们对某一手机联系人打开了数据加密聊天的时候，闲聊目录就容易出现两个一样的手机联系人，如下图所示数据加密的对话通讯会到名称前加一把锁。

（2）朋友辅助解封账号：骗子称账号被官网限定，必须朋友发送验证码帮助解除限制账号。

3.登陆你账号再次诈骗。

如果你在不知不觉中把包括登录短信验证码的聊天记录截图发给对方时，假如账号没打开双重认证，骗子则可以通过短信验证码立即登录你账号。接着骗子会删除每一个机器设备，修改密码，然后又骗手机通讯录里的别人。

?假冒官方诈骗短消息

诈骗短消息假冒Telegram 官方网账号，宣称该用户的 TG 账号违背了账号使用规范要被禁止使用，必须登陆网站消除受到限制。如果用户不小心点链接，账户会失窃。

?带侧门的第三方程序流程

因为 Telegram 并没有汉语安装文件，一般用户一般会应用第三方百度搜索引擎来搜索相对应的汉语安装流程，因而诈骗分子结构根据 SEO 提升为自己 Telegram 汉化版网站引流，诱发客户免费下载排名靠前的应用程序。

当客户下载并安装了含有侧门的 TG 程序流程，能被自动识别闲聊里的区块链详细地址，而且当检验到用户闲聊信息里的钱包地址时，会把钱包地址换成诈骗分子结构自身地址，导致客户资产损害。

如下所示案件中，客户在 http://www.telegram-china.org（现阶段已失效）链接下载一个中文版的手机客户端，再通过这一汉化版推送一个 trx 的钱包地址：

Beosin 检测结果

这时，上传的钱包地址为：TNpEa 9 PoqWsoPcTdTqUUdrYJbqhVLoSVFh

随后关掉手机软件再次开启发觉钱包地址被替换为另外一个详细地址。

Beosin 检测结果

?故意 Telegram 汉化版系统语言

前不久某 TG 汉化版频道栏目（https://t.me/zh_CN_Telegram_zh_CN_CN_zh_ch_zn）被曝出是假冒频道栏目，真正意义上的简体中文版系统语言维护保养频道栏目是 https://t.me/zh_CN，因为缺乏工作人员适用现阶段翻译员已停止。该假冒频道栏目被曝出时会近八十万的关注者，其传播的系统语言是一个含有后门的安装文档。

安保人员剖析该系统语言文档是一个下载工具，运作之后免费下载各种各样控制模块并尝试绕开防护软件的检测。此外，该样版用了检验鼠标移动等形式绕开沙盒剖析。

?Telegram bot 盗取登陆密码

海外安全研究员发觉，有犯罪组织运用 Telegram 智能机器人盗取客户 OTP 动态口令和 SMS 短信验证码并完成 2 FA（双因素身份认证）。网络攻击应用 Telegram 智能机器人获得账号信息内容，包含打电话受害人、假冒银行或合理合法管理等。根据社会工程，网络攻击还蒙骗人们通过移动终端向对方给予 OTP 或其它短信验证码，随后骗子用这些编码来骗领管理员账户里的资产、登陆密码、对话 cookie、登陆凭证信用卡详细资料。

?“数字货币项目投资”骗术

诈骗者假冒 Telegram 里的数字货币权威专家，宣传策划对数字货币项目投资有收益的承诺。诈骗者可以通过 Twitter 评价，或者直接在 Telegram 上和你联络，宣称可以为您提供巨额的回报率。

假如参加，诈骗者都会要求你一直在他的独特加密货币交易所设立一个帐户。到时候，他们也会给你展现说明你项目投资已经增大的数据图表，但当你尝试取下个人收入时，骗子连着你账户就消失了。

Beosin 安全建议

对于 Telegram 的安全操作，防止失窃和资金损害，大家给出了下列参照提议。

?打开双重认证

为了能账号安全性，立即设定双重认证登陆密码。该登陆密码只能进新登陆 Telegram 时被要求键入。

开启 Setting（设定）> Privacy and Security（隐私和安全）> Two-step Verification（双重认证）进行设置，并建议在后期流程中设定安全邮箱，目地要在忘掉双重认证登陆密码的情形下，能通过安全邮箱开展重置密码。

?谨慎使用第三方手机客户端

检查一下的软件免费下载方式，假如是网页页面快速下载的安装文件，建议直接卸载掉之后官方网站重新安装。第三方手机客户端有实力获得和控制你账户，载入你所有的聊天记录，搜集你机器设备可识别信息，安全起见，尽量根据 Telegram 官方网站下载使用浏览器。

?不往电文智能机器人推送比较敏感私人信息

谨慎使用电文机器人服务，不泄漏客户信息，包含名字、登录名、手机号码、电子邮箱地址、登陆密码数据信息亦可用以鉴别您身份任何信息。

?警惕路人私聊

路人私信不必轻易相信别人，提升警惕，以免造成资产损害或者被窃取信息内容，假如被打扰能选屏蔽掉；接收到的生疏文档、连接不随便点一下。

?转帐详细地址认证

推送钱包地址和对方数次沟通交流认证；以截屏钱夹二维码的方式给对方推送钱包地址，另一方根据二维码识别钱包地址。

?按时查询 Telegram 的登录机器设备

按时查询机器设备 IP 登录情况，对出现异常登陆的机器 IP 强制下线。

?添加联系人时撤销共享手机号

Telegram 仅有 Contact(手机联系人)，并没有“朋友”这样的说法。加上和删除联系人是单边实际操作，即你加上删除某一手机联系人，并不会导致你一直在另一方手机联系人页面上被增加或是被删除。因而留意在添加联系人时，撤销 Share My Phone Number (共享我的手机号码)，该选择项能被默认设置启用。

?掩藏手机号码和进群限定等

在设置–>个人隐私和安全中挑选设定掩藏手机号码、发布情况、头像图片、分享信息等；设定账号不会被非朋友拉进生疏群，降低上当受骗几率；不能使用 Telegram 附近人作用。

Beosin 官网上线身份验证作用

与此同时，为了能防范 Telegram、Twitter 等渠道的“假冒”诈骗，Beosin 官方网站现阶段上线身份验证作用。

客户可以键入与你关联的Beosin的职工名片信息，假如通过验证，那么就十分安全。

反过来，假如不根据，那么可能您遇到的是假冒 Beosin 职工的骗子，大伙儿一定要多加防范。

好啦，今日的安全分享就没有了，我们下次再见。

Beosin 是一家全球领先的区块链安全公司，在全球范围内 10 多个国家和地区建立了各分部，业务涵盖项目上线前编码网络安全审计、项目运转时的安全性风险监管、预警信息与阻隔、数字货币失窃财产讨回、安全合规 KYT/AML 等“一站式”区块链网络安全产品 服务项目，目前已经为世界 2000 好几个区块链公司提供安全技术服务，财务审计区块链智能合约超出 3000 份，维护用户财产达到 5000 多亿美元。

来源：liurui