Telegram OPSEC — как пользоваться приложением, которое тебя выдаёт, не выдавая себя

Что Telegram на самом деле шифрует

Отнеситесь к “Telegram зашифрован” так же, как к “Gmail зашифрован”: транспорт — TLS, хранение — AES, но Telegram держит ключи от твоих чатов по умолчанию. Важная модель угроз — компрометация сервера, повестка, любопытство сотрудников — не покрыта по умолчанию.

• Облачные чаты (дефолт для всего). Зашифрованы на стороне сервера в покое. Telegram может читать каждое сообщение. Подлежат запросу суда в любой юрисдикции, где у Telegram есть инфраструктура. Синхронизируются между всеми устройствами, индексируются для поиска, хранятся пока не удалишь.
• Секретные чаты. Настоящий E2E. Привязаны к устройству, без синхронизации, без пересылки. Доступны только в личных 1:1, не в группах, каналах или ботах. Опциональный таймер самоуничтожения.
• Группы и каналы. Никогда не E2E. Всегда в облаке. “Приватная” группа на 1000 участников — в одной повестке от полного раскрытия.
• Голосовые / видеозвонки (1:1). E2E через MTProto с эмодзи-отпечатками ключа, которые обе стороны должны сверить при первом звонке.

Регистрация — номер телефона это главный ID

Ты регистрируешься по номеру телефона, и Telegram использует его как идентичность аккаунта навсегда, даже после того, как ты установил username. Номер, который ты выбираешь при регистрации, — самое важное OPSEC-решение на платформе.

• Настоящая SIM — минимум трения, максимум деанона. Любой, кто знает твой номер, попадает прямо к твоему аккаунту; принудительное раскрытие у оператора выдаёт, кто ты; SIM swap = захват аккаунта. Приемлемо только если ты уже согласен, что Telegram знает твою настоящую личность.
• Долгоживущий VoIP — JMP.chat (оплата в Bitcoin/Monero, под XMPP), MySudo или предоплата в дружественной юрисдикции. Аккаунт привязан к номеру, которым ты владеешь независимо от реальной личности. Переживает потоки восстановления 2FA, потому что номер остаётся твоим месяцами.
• Одноразовый SMS — 5sim, sms-activate и т.п. Ты получаешь код активации один раз, потом номер уходит в оборот. Аккаунт работает, но: потерял пароль 2FA = нет пути восстановления. Используй для одноразовых / однозадачных аккаунтов, которые можешь себе позволить бросить.
• Анонимные номера на Fragment. Собственный TON-маркетплейс номеров Telegram. Функционально псевдоним, но платишь в TON в публичном реестре, и номер всё равно в сети Telegram — полезно для компартментализации, бесполезно для анонимности от государства.

Четыре бытовые утечки: username, фото, был в сети, контакты

Дефолтные настройки видимости слишком разрешительные во всех клиентах Telegram. Фикс — одна прогулка по настройкам, пять минут, и она закрывает самые частые пути деанона.

• Номер телефона. По умолчанию “Мои контакты”. Поставь Никто. Побочный эффект: люди, у которых твой номер уже в книге, всё равно найдут тебя обратным поиском, если не отключить “Найти меня по моему номеру” — делай оба пункта.
• Был в сети + онлайн-статус. По умолчанию виден контактам. Любой, кто пишет тебе в личку, может вывести твой график сна и примерный часовой пояс. Поставь Никто; можно вырезать исключения по контактам.
• Аватар. Настоящее лицо = автоматический OSINT-идентификатор. Обратный поиск картинок схлопывает альт-аккаунты в момент общей фотки. Используй общую картинку, абстрактное искусство или вообще без фото для высоко-OPSEC аккаунтов.
• Имя пользователя. Если @handle совпадает с твоим хендлом на X / GitHub / Reddit, аккаунт уже деанонимизирован по определению. Бери новый хендл на каждую идентичность или вообще не ставь username и принимай, что к тебе можно обратиться только по авто-сгенерированному user ID.
• Био. Ссылки на твои другие хендлы графируемы. Не рекламируй связь — даже “https://t.co/foo” в био отменяет остальную работу.
• Синхронизация контактов. Всегда выключена. Поведение по умолчанию подтягивает твою книгу и сверяет каждый сохранённый номер с графом Telegram — если коллега с твоим настоящим номером когда-нибудь поставит Telegram, твой альт-аккаунт всплывёт ему как “Возможный контакт”.

Секретные чаты vs облачные — и ошибка таймера

Если нужен настоящий E2E внутри Telegram, нужен секретный чат. Они не дефолт, и люди регулярно об этом забывают.

• Как начать. Открой профиль целевого пользователя → меню → Начать секретный чат. Новый тред рядом с облачным. Сравни эмодзи-отпечатки ключа в первом сообщении — это проверяет, что ты не разговариваешь через MITM, перехвативший рукопожатие.
• Привязка к устройству. Секретные чаты НЕ синхронизируются между устройствами. Переключился с телефона на десктоп = новый секретный чат с новыми ключами. Это by design; мульти-девайс управление ключами ослабило бы гарантию.
• Таймер самоуничтожения. Обе стороны авто-удаляют через N секунд после прочтения. Полезно, но: таймер НЕ предотвращает скриншоты, OCR или copy-paste до его срабатывания. Воспринимай как “снижает случайное сохранение”, не как “останавливает решительную сторону”.
• Где секретные чаты не подходят. Группы и каналы никогда не E2E — “приватная” группа на 50 человек всё равно в облаке. Для таких разговоров переходи на SimpleX / Session / Signal и используй группу Telegram как канал рандеву, не как канал разговора.

Мульти-аккаунт компартментализация

Telegram поддерживает до 3 аккаунтов на установку (мобильный) и больше через Premium / десктоп. Используй агрессивно — один аккаунт на поверхность идентичности это OPSEC-эквивалент отдельных email-алиасов.

• Один номер на аккаунт, точка. Публичный аккаунт “основателя” на настоящей SIM, комьюнити-аккаунт на номере JMP, трейдинг-аккаунт на анонимном номере Fragment. Никогда не используй номера повторно между идентичностями.
• Не дели фотки, био или стиль между аккаунтами. Один и тот же эмодзи-паттерн в двух био уже даёт случайному наблюдателю коррелировать. Одно и то же фото профиля схлопывает всё через обратный поиск.
• Сетевая атрибуция всё ещё важна. Никогда не логинься в альт-аккаунт из сети, привязанной к настоящей личности (домашний wifi, офисный IP) без Tor или мульти-хоп VPN. Telegram сохраняет “страна / регион” на сессию, и твой IP попадает в дата-центр, даже если контент чата — нет.
• Никогда не пиши между своими аккаунтами через свою книгу контактов. Функции графа контактов Telegram (“Возможный контакт”, “Общий контакт”) выдадут связь любому, у кого оба номера в книге.
• Не вставляй текст альт-аккаунта в LLM-инструменты. Всё, что ты отправляешь сторонним AI с включённой телеметрией, может хранить таймстампы, которые коррелируют с твоим использованием той же тулзы под настоящей личностью.

Метаданные стикеров, файлов и пересланных сообщений

Telegram удаляет меньше метаданных, чем люди думают. Дефолты текут способами, которые из UI не видны.

• Пересланные сообщения сохраняют ссылку на источник. “Переслано от John” тянется за каждой повторной пересылкой по умолчанию — пересылаешь не в тот канал и деанонишь John. Фикс: Настройки → Конфиденциальность → Пересланные сообщения → Никто. Твои пересылки будут выглядеть как анонимные цитаты при повторной пересылке.
• Фото vs Файл. Telegram срезает EXIF на загрузках, отправленных как “Фото” (с включённым сжатием), но СОХРАНЯЕТ на загрузках, отправленных как “Файл”. Перетаскиваешь JPEG и выбираешь “Отправить как файл” → GPS-координаты, серийник камеры и история редактирования уходят с ним. Отправляй как Фото, если не нужна byte-exact передача.
• Стикеры. У каждого кастомного стикерпака есть создатель. Пак, который ты загрузил под настоящим аккаунтом, публично атрибутируем навсегда. Для OPSEC-аккаунтов используй только встроенные паки или перезаливай существующие через одноразовый аккаунт.
• Документы. PDF из Word, скриншоты с macOS, фото со стоковой камеры Android — все несут метаданные автора / устройства. Пропусти через exiftool -all= перед отправкой, если получатель ещё не доверенный.
• Голосовые. Утечки имени файла нет, но голосовые отпечатки — стабильные идентификаторы; один и тот же говорящий через альт и настоящий аккаунт детектируется. Если ты ведёшь раздельные идентичности, текст безопаснее.

Коды логина, перехват SMS и пароль 2FA

Логин по умолчанию через SMS, а SMS — самое слабое звено во всём стеке. Усиление здесь — фикс с самым высоким ROI на Telegram.

• SS7-перехват. Работает против любого оператора, в любой точке, сегодня. Государственные противники (и хорошо финансируемые частные) могут вытащить код логина Telegram, не трогая твой телефон. Уже раскрыто и не патчится на уровне протокола.
• SIM swap. Гражданская атака. Социалка у оператора → перенос номера на SIM атакующего → атакующий запрашивает код логина Telegram → полный захват аккаунта. Очень распространено в 2026.
• Защита. Настройки → Конфиденциальность → Двухэтапная проверка. Теперь логин требует И SMS-код, И выбранный тобой пароль. Одного SIM swap уже мало.
• Email восстановления. Используй алиас (SimpleLogin / AnonAddy / Tutanota), не настоящий адрес. Email восстановления хранится у Telegram и виден сотрудникам поддержки. Алиас компартментализирует утечку.
• Активные сессии. Настройки → Устройства. Просматривай еженедельно; “Завершить” всё неузнанное. Поставь Авто-Завершение Сессии на 1 месяц, чтобы заброшенные планшеты / ноуты не висели как старые точки опоры.

Удаление аккаунта — что реально стирается

Поведение удаления Telegram тоньше, чем “сообщения исчезают”. Знай, что выживет, прежде чем полагаться на этот рубильник.

• Облачные чаты. Сообщения с твоей стороны удаляются у обеих сторон при удалении аккаунта. Сообщения, которые тебе отправил собеседник, тоже удаляются у обеих сторон.
• Секретные чаты. Уже удалены таймером или вручную; удаление аккаунта окончательно.
• Созданные тобой каналы. Если есть другие админы, владение передаётся старшему админу, и контент остаётся в сети. Каналы с единственным админом становятся бесхозными, но видны, пока Telegram их не соберёт сборщиком мусора (недели-месяцы).
• Username + номер телефона. Освобождаются через задержку (~недели) и могут быть забраны другими пользователями. Регистрация заново на тот же номер даёт свежий аккаунт, НЕ восстановление удалённого.
• Авто-удаление по неактивности. Настройки → Конфиденциальность → Удалить мой аккаунт → Если меня нет. Поставь 1–6 месяцев. Если ты замолкаешь, аккаунт самоуничтожается без необходимости логиниться, чтобы это запустить — идеально для высокорискованных аккаунтов, где конфискация устройства не должна означать доступ к годовому архиву.
• Авто-удаление по чату. Настройки → Конфиденциальность → Авто-удаление сообщений → 1 день / 1 неделя / 1 месяц. Самое недоиспользованное усиление на Telegram. Позволяет продолжать пользоваться приложением, не накапливая многолетний архив, который сольётся при компрометации аккаунта.

Когда Telegram — не тот инструмент, точка

Некоторые разговоры не место в Telegram, сколько усиления ни накладывай. Три категории к миграции:

• Всё, что чувствительно к повестке. Telegram сотрудничает с судебными постановлениями в некоторых юрисдикциях; облачные чаты восстановимы. Если разговор был бы проблемой при повестке, его место в SimpleX / Session / Signal, а не в группе Telegram.
• Группы, где не знаешь каждого участника. Ты неявно согласился на любую сборку данных, которую запускает любой участник. Боты, скраперы, скриншотеры — всё в зоне действия. Считай любую группу больше ~20 участников фактически публичной.
• Бот-взаимодействия для чувствительных сервисов. Всё финансовое, идентичность, сброс пароля — оператор бота видит каждое сообщение, и логи бэкенда редко E2E. Боты — удобство, не безопасность.

Telegram — правильный инструмент для: публичных каналов, обсуждений в комьюнити, async-координации низких ставок, broadcast-объявлений. Это неправильный инструмент для всего, где модель угроз включает саму платформу. Фикс не в том, чтобы уйти, — а в том, чтобы использовать правильный канал для каждого разговора.