Хакеры начали использовать новые методы для кражи аккаунтов Telegram, которые не требуют установки вирусов или поиска уязвимостей в системе.

Специалисты компании CYFIRMA зафиксировали волну фишинговых атак, нацеленных на пользователей мессенджера. Атаки построены так, чтобы максимально походить на легитимный процесс входа в Telegram. Это позволяет злоумышленникам получить полный доступ к аккаунтам без использования вредоносного ПО.

Механизм атаки основан на стандартных процедурах авторизации. Пользователю предлагается ввести номер телефона и код подтверждения или использовать QR-код через поддельную страницу, которая внешне повторяет интерфейс Telegram. При этом задействуются реальные запросы к системе аутентификации, но с параметрами, контролируемыми злоумышленниками. После согласия пользователя на вход через уведомление в официальном приложении, хакеры получают действующую сессию аккаунта.

Ключевой инструмент атакующих — социальная инженерия. Фальшивые страницы сопровождаются подсказками вроде «проверка безопасности» или «подтверждение учётной записи», что снижает подозрительность и побуждает пользователя одобрить вход. С технической стороны процесс выглядит полностью корректно, поэтому аномалии практически не замечаются.

Инфраструктура фишинговой кампании централизована: конфигурация загружается с удалённого сервера, что позволяет быстро создавать новые копии сайтов на разных доменах. Отмечена поддержка нескольких языков, включая китайский, что указывает на глобальные цели злоумышленников. Ранее аналогичные операции приводили к массовому захвату аккаунтов, а взломанные профили использовались для рассылки новых ссылок контактам и группам.

CYFIRMA отмечает, что текущие атаки повторяют знакомую стратегию: меняются адреса сайтов, но сценарий обмана остаётся прежним. Такой подход позволяет быстро восстанавливать сеть ловушек после блокировок. В будущем ожидается появление новых языковых версий и историй, связанных с восстановлением доступа и проверкой устройств.

Аналитики подчёркивают, что злоумышленники всё чаще используют законные функции платформ, а не взлом, что усложняет выявление атак и увеличивает вероятность успешного захвата аккаунтов даже при включённых дополнительных методах защиты.