Чи безпечний Telegram: шифрування, дані та шахрайські схеми

Telegram лишається одним із найпопулярніших месенджерів в Україні, проте його репутація «захищеного» застосунку відповідає дійсності лише частково. Наскрізне шифрування тут не працює за замовчуванням, після справи Павла Дурова компанія розширила співпрацю з правоохоронцями, а в Україні месенджер заборонено на службових пристроях держслужбовців і військових. Для більшості користувачів головна загроза — не злам шифрування, а шахраї, які полюють на акаунти.

Безпечний, але не приватний за замовчуванням

Telegram — хмарний сервіс. Згідно з політикою конфіденційності, повідомлення, фото, відео та документи зі звичайних, або хмарних, чатів зберігаються на серверах компанії, щоб бути доступними з будь-якого пристрою. Дані зберігаються в зашифрованому вигляді, а ключі, за словами компанії, розподілені між дата-центрами в різних юрисдикціях.

Проте від самої компанії вміст таких чатів не захищений. Політика прямо зазначає, що модератори можуть переглядати повідомлення, на які поскаржилися одержувачі, а автоматичні алгоритми — аналізувати хмарні чати на ознаки спаму та фішингу.

Наскрізне шифрування, за якого ключі є лише на пристроях співрозмовників, у Telegram працює в трьох випадках: секретні чати, особисті дзвінки та запроваджені 2025 року групові дзвінки. Групові чати, канали та звичайні особисті листування його не мають — на це окремо вказують дослідники, які аналізували протокол Telegram.

Отже, ймовірність, що хтось зламає саме шифрування Telegram, для пересічного користувача низька. Реальні ризики інші: втратити акаунт через шахраїв або необачно залишити чутливі дані у звичайному чаті.

Як працює шифрування в Telegram

Хмарні та секретні чати

Секретний чат створюється окремо для конкретного співрозмовника і працює лише між двома пристроями. За даними Telegram, такі повідомлення не зберігаються на серверах, компанія не веде їхніх журналів і не може дізнатися їхній вміст. Секретні чати не синхронізуються: відкрити їх можна лише на пристрої, з якого їх надіслано або на який отримано. Для них доступний таймер самознищення повідомлень.

У звичайних особистих чатах будь-хто з двох учасників може видалити будь-яке повідомлення для обох сторін без обмеження в часі. У супергрупах видалені повідомлення та початкові версії відредагованих ще 48 годин зберігаються для адміністраторів у розділі останніх дій.

Дзвінки

Вміст особистих аудіо- та відеодзвінків, згідно з політикою, шифрується наскрізно. 30 квітня 2025 року Telegram запустив групові дзвінки до 200 учасників, які теж захищені наскрізним шифруванням: учасники можуть звірити чотири емодзі на екрані, і якщо вони збігаються, зʼєднання захищене. Компанія стверджує, що технологія, подібна до блокчейну, не дає нікому, зокрема самому Telegram, непомітно приєднатися до розмови як слухач.

Такі дзвінки запускаються без створення групового чату — з наявної розмови, через вкладку дзвінків або за посиланням. Це окрема функція, не тотожна відеочатам у групах і трансляціям у каналах, які Telegram запровадив ще 2021 року.

MTProto: власний протокол і його критика

Для захисту звʼязку між застосунком і серверами Telegram використовує власний протокол MTProto замість галузевого стандарту TLS. У 2021 році дослідники Royal Holloway (Лондонський університет) та ETH Zurich опублікували аналіз його симетричної частини і виявили чотири вразливості. Найпростішу з них можна було використати тривіально: зловмисник у мережі міг змінювати порядок повідомлень, що надходять від клієнта на сервер. Інші атаки були складними або суто теоретичними — зокрема, атака «людина посередині» на початкове узгодження ключа вимагала б надіслати мільярди повідомлень на сервер Telegram за лічені хвилини.

Telegram підтвердив проблеми та виправив їх в оновленнях застосунків і на серверах. Висновок дослідників: безпосередній ризик для більшості користувачів низький, однак до їхньої роботи Telegram не забезпечував криптографічних гарантій рівня TLS. Вони також наголошують, що нестандартна архітектура MTProto ускладнює безпечну реалізацію протоколу — насамперед для сторонніх клієнтів Telegram. Роботу представлено на конференції IEEE Symposium on Security and Privacy 2022.

Які дані збирає Telegram

Згідно з політикою конфіденційності, Telegram обробляє:

• номер телефону та базові дані профілю — імʼя, фото, опис; імʼя користувача (username), якщо його встановлено, є публічним;
• контакти з адресної книги — лише з дозволу; синхронізацію можна вимкнути та видалити контакти з серверів у розділі «Приватність і безпека» → «Налаштування даних»;
• вміст хмарних чатів, включно з медіафайлами та документами;
• метадані — IP-адресу, пристрої та застосунки Telegram, історію змін імені користувача; їх зберігають щонайбільше 12 місяців.

Вміст приватних чатів і контактів для реклами не використовується. Реклама показується у великих публічних каналах (від 1000 підписників), ботах і результатах пошуку, а після оновлення політики 21 серпня 2026 року її можна налаштовувати на країну та місто — їх визначають приблизно за кодом номера телефону або IP-адресою. Рекламодавцям ці дані не передаються, а передплатники Telegram Premium реклами не бачать.

Боти створюють сторонні розробники, не повʼязані з Telegram. Бот отримує публічні дані профілю й усе, що йому надіслано, а якщо перейти за посиланням бота на сайт, який контролює його розробник, той може дізнатися IP-адресу.

Неактивний акаунт за замовчуванням видаляється разом з усіма даними через 18 місяців; цей строк можна скоротити в налаштуваннях.

Коли Telegram передає дані правоохоронцям

23 вересня 2024 року Telegram змінив розділ політики про співпрацю з правоохоронцями. Отримавши чинне рішення судових органів, яке підтверджує, що користувач є підозрюваним у справі про злочинну діяльність, що порушує правила сервісу, компанія після юридичного аналізу може передати його IP-адресу та номер телефону. Раніше таке передбачалося лише для підозрюваних у тероризмі. Павло Дуров пояснив, що зміни мали відлякати злочинців, які використовували пошук Telegram для продажу заборонених товарів.

Про кожен випадок передачі даних Telegram зобовʼязується повідомляти у щоквартальних звітах про прозорість, доступних через бот @transparency. Вміст листування цей розділ політики серед даних, що можуть бути передані, не згадує.

P2PL: номер телефону в чужому SMS

Окремий ризик для приватності — програма Peer-to-Peer Login (P2PL). Її учасники з Telegram для Android добровільно надають свій номер як ретранслятор SMS із кодами входу для інших користувачів — до 150 повідомлень на місяць — в обмін на підписку Telegram Premium. Витрати на SMS несе сам учасник. Telegram прямо визнає, що не може завадити одержувачу коду побачити номер відправника, і не відповідає за переслідування чи інші наслідки, якщо номер потрапить до сторонніх людей.

Справа Дурова: що змінилося після арешту

24 серпня 2024 року засновника Telegram Павла Дурова затримали в аеропорту Ле-Бурже під Парижем. Французьке слідство закидає йому бездіяльність щодо злочинного використання месенджера — через недостатню модерацію та відмову співпрацювати зі слідчими.

Після арешту Telegram вніс помітні зміни. У вересні 2024 року компанія прибрала функцію «Люди поблизу», якою, за словами Дурова, користувалися менш ніж 0,1% аудиторії, але яку облюбували боти й шахраї; замість неї анонсовано «Бізнеси поблизу» з перевіреними компаніями. Тоді ж оновлено правила передачі даних правоохоронцям.

У листопаді 2025 року з Дурова зняли заборону виїжджати за кордон і обовʼязок відмічатися в поліції, однак розслідування триває. 8 липня 2026 року слідчі судді вчетверте допитали його понад шість годин. Адвокати заявляють, що доказів на підтвердження обвинувачень досі немає; водночас, за даними AFP, французькі правоохоронці фіксують кращу співпрацю з Telegram після арешту його засновника.

Telegram в Україні: чому його обмежили на службових пристроях

19 вересня 2024 року Національний координаційний центр кібербезпеки при РНБО ухвалив рішення заборонити встановлення та використання Telegram на службових пристроях працівників органів державної влади, військовослужбовців, працівників сектору безпеки й оборони та підприємств — операторів критичної інфраструктури. Виняток зроблено лише для тих, чиї службові обовʼязки передбачають роботу з месенджером.

На засіданні начальник ГУР МО України Кирило Буданов, за повідомленням РНБО, навів обґрунтовані дані про доступ російських спецслужб до особистого листування користувачів Telegram, зокрема видалених повідомлень, а також до їхніх персональних даних. Представники СБУ та Генерального штабу ЗСУ заявили, що ворог активно використовує месенджер для кібератак, поширення фішингу та шкідливого ПЗ, встановлення геолокації користувачів і коригування ракетних ударів.

Керівник Центру протидії дезінформації Андрій Коваленко уточнив, що рішення не стосується особистих смартфонів: ідеться про службові компʼютери та пересилання робочих документів, а ведення офіційних каналів державних органів у Telegram не заборонене.

Як шахраї використовують Telegram

Кіберполіція фіксує, що зловмисники заволодівають акаунтами за допомогою фішингових посилань, видаючи себе за офіційні боти або служби підтримки. Захоплений профіль потім використовують, щоб розсилати знайомим жертви фішингові посилання та шкідливе ПЗ або просити від її імені гроші в борг.

«Проголосуйте за дитину»: фішинг через співчуття

У січні 2026 року Центр протидії дезінформації попередив про масові розсилки з проханням проголосувати за дитину в «благодійному проєкті» чи «конкурсі малюнків» нібито заради «гранту на лікування». Посилання веде на фішингові сторінки або підроблені форми входу в Telegram. ЦПД також зафіксував тактику, коли шкідливе посилання ховають усередині згадки користувача (@username), що виглядає як звичайне посилання на профіль. Такі повідомлення часто надходять від уже зламаних акаунтів знайомих.

Фальшива служба підтримки та «офіційні» боти

Повідомлення нібито від служби безпеки Telegram із вимогою «підтвердити акаунт», інакше його заблокують, — поширений сценарій зламу. Кіберполіція наголошує: офіційні представники компаній і державних органів ніколи не просять одноразові коди підтвердження. Код входу в Telegram не можна пересилати нікому і вводити на сторонніх сайтах.

«Подарований» Premium і колекційні подарунки

З жовтня 2024 року в Telegram можна дарувати віртуальні подарунки за внутрішню валюту Stars, а згодом їх дозволили перетворювати на колекційні, які можна передавати й продавати через блокчейн. Інтерес до таких подарунків і до підписки Premium експлуатують шахраї: наприклад, повідомлення про «подарований» Telegram Premium веде на фішинговий сайт, де просять ввести номер телефону й пароль.

Справжні подарунки та Premium активуються всередині застосунку. Вони ніколи не вимагають входу через сторонній сайт, передачі коду підтвердження чи підключення криптогаманця до невідомого бота.

Інвестиційні групи та «криптосигнали»

Користувачів додають до груп і каналів, де «експерти» обіцяють гарантований прибуток від криптовалют чи акцій. Скриншоти «виплат» і тисячі «учасників» мають створити враження успіху. Після першого внеску жертву просять сплатити «комісію за виведення» чи «активацію рахунку», а гроші не повертаються. Характерні ознаки: обіцянка гарантованого доходу, тиск терміновістю, перехід до особистого листування з «менеджером».

Шкідливі файли

Під час засідання НКЦК представники СБУ та Генштабу назвали Telegram одним із каналів поширення шкідливого ПЗ. На Android таким файлом може бути APK, замаскований під «оновлення», корисний застосунок чи документ. Встановлювати застосунки безпечніше лише з офіційних магазинів.

Знайомства та «друг у біді»

Романтичні шахраї та прохання терміново позичити гроші від імені знайомих у Telegram так само поширені, як і в інших месенджерах. Якщо знайомий раптом просить переказати гроші, прохання варто перевірити телефонним дзвінком або через інший канал звʼязку: його акаунт міг бути зламаний.

Як налаштувати Telegram безпечно

Назви пунктів меню можуть відрізнятися залежно від версії застосунку та платформи; у новіших версіях частина налаштувань доступна через розділ «Профіль».

1. Увімкнути двоетапну перевірку. «Налаштування» → «Приватність і безпека» → «Двоетапна перевірка». Для входу з нового пристрою, крім коду, знадобиться хмарний пароль. Варто вказати пошту для відновлення та час від часу перевіряти, чи її не змінили.
2. Додати ключ доступу (passkey). Вхід за біометрією або кодом розблокування пристрою замість SMS-коду захищає від фішингових сайтів-двійників. Покрокова інструкція зі встановлення passkey у Telegram.
3. Регулярно перевіряти активні сеанси. Розділ «Пристрої» показує всі входи в акаунт. Невідомі сеанси слід завершити, а за найменших сумнівів — натиснути «Завершити всі інші сеанси».
4. Приховати номер телефону. «Приватність і безпека» → «Номер телефону» → «Ніхто» або «Мої контакти». Детальніше — у матеріалі про те, як приховати номер телефону в Telegram.
5. Обмежити запрошення до груп. У «Приватності і безпеці» для параметра запрошень до груп і каналів варто обрати «Мої контакти» — так незнайомці не зможуть масово додавати акаунт до шахрайських груп.
6. Обмежити пряме зʼєднання в дзвінках. У розділі дзвінків параметр пірингового зʼєднання (peer-to-peer) для незнайомців краще вимкнути: під час прямого зʼєднання співрозмовник може побачити IP-адресу.
7. Не зберігати паролі та документи у «Збереженому». Хмарні чати, включно зі «Збереженим», першими потрапляють до рук зловмисників після зламу. Варто очистити «Збережене» від чутливих даних, а для конфіденційних розмов використовувати секретний чат.
8. Скоротити строк самознищення акаунта. Замість стандартних 18 місяців можна встановити коротший період неактивності, після якого акаунт і всі дані буде видалено.

Якщо незнайомий користувач пише вперше, його можна одразу заблокувати й поскаржитися модераторам, торкнувшись панелі вгорі чату.

Що робити, якщо акаунт Telegram зламали

Кіберполіція радить діяти за таким алгоритмом:

1. Звернутися до служби підтримки Telegram, детально описати проблему, вказати посилання на акаунт і номер телефону, за потреби додати скриншоти. Заявку бажано подавати з пристрою, на якому використовувався Telegram.
2. Попередити знайомих через інші канали звʼязку, що акаунт зламано і повідомлення від нього можуть бути шахрайськими.
3. Попросити співрозмовників, з якими обмінювалися документами, фото документів або фінансовими даними, видалити це листування для обох сторін.
4. Вважати скомпрометованими всі паролі, що зберігалися в Telegram, змінити їх і увімкнути двофакторну автентифікацію на інших сервісах.
5. Повторювати спроби входу, зокрема вночі. Після успішного входу отримувати код через SMS або електронну пошту, а не повідомленням у самому Telegram.

Якщо відновити доступ не вдалося, акаунт можна видалити: листування буде втрачено, але зловмисники також втратять профіль. Якщо доступ зберігся, а активність підозріла, слід завершити невідомі сеанси, увімкнути двоетапну перевірку та перевірити пошту для відновлення пароля. Про інцидент можна повідомити кіберполіцію.

Висновок

Telegram — зручний інструмент для читання каналів і повсякденного спілкування, але вважати його захищеним месенджером за замовчуванням не варто. Для конфіденційних розмов доречніші секретні чати або месенджери з наскрізним шифруванням усіх листувань, а для самого акаунта — двоетапна перевірка та passkey. Українським користувачам варто враховувати й воєнний контекст: службові документи та робоче листування через Telegram не пересилають.